서강대 해킹으로 재학생·졸업생 개인정보 무더기 유출…대학 보안 취약점 다시 도마에

서강대학교가 외부 해킹 공격을 받아 재학생, 졸업생, 교직원의 개인정보가 유출되는 사고가 발생했다. 유출 항목에는 성명, 소속, 이메일, 휴대전화번호, 암호화된 비밀번호가 포함된 것으로 확인됐다. 대학 측은 교육부와 개인정보보호위원회에 신고를 마치고 정확한 피해 규모 파악에 나섰다.

---

사고 개요 및 경위

이번 해킹 공격은 서강대학교의 CMS(콘텐츠 관리 시스템)와 레거시 인증 시스템을 대상으로 이뤄졌다. 공격자는 상대적으로 보안 업데이트가 미흡한 구형 시스템의 취약점을 파고든 것으로 추정된다.

유출된 개인정보 항목은 다음과 같다.

유출 항목	민감도	2차 피해 위험
성명·소속	중	스피어피싱 표적화
이메일·휴대전화번호	상	스미싱, 보이스피싱
암호화된 비밀번호	상	크리덴셜 스터핑 공격

특히 비밀번호가 암호화되어 있다 하더라도, 암호화 방식이 취약하거나 사용자가 동일 비밀번호를 타 서비스에서 재사용할 경우 크리덴셜 스터핑(Credential Stuffing) 공격에 악용될 수 있어 주의가 요구된다.

---

대학 정보보호 체계의 구조적 취약점

이번 사고는 국내 대학들이 공통적으로 안고 있는 보안 취약점을 여실히 드러냈다.

첫째, 레거시 시스템의 방치 문제다. 많은 대학이 예산 부족을 이유로 10년 이상 된 인증 시스템을 운영하고 있다. 보안 패치가 중단된 시스템은 해커들에게 '열린 문'이나 다름없다.

둘째, 분산된 IT 거버넌스 구조다. 대학 내 각 단과대학·부서별로 독립적인 시스템을 운영하면서 통합 보안 관제가 어려운 실정이다. CMS처럼 외부에 노출된 시스템이 중앙 보안팀의 모니터링 사각지대에 놓이는 경우가 빈번하다.

셋째, 보안 인력과 예산의 절대적 부족이다. 민간 기업 대비 대학의 정보보호 투자는 현저히 낮은 수준에 머물러 있다.

---

향후 대응 방안

서강대는 현재 보안 모니터링을 강화하고 침해 경로 분석에 착수한 상태다. 그러나 사후 대응을 넘어 근본적인 체질 개선이 필요하다.

▲ 단기 조치
- 전체 사용자 대상 비밀번호 강제 변경 안내
- 레거시 시스템 긴급 보안 점검 및 접근 통제 강화
- 유출 피해자 대상 2차 피해 예방 안내문 발송

▲ 중장기 대책
- ISMS-P 인증 취득을 통한 관리체계 고도화
- 레거시 시스템의 단계적 클라우드 전환
- 전담 정보보호 조직 신설 및 예산 확대

교육부 역시 대학 정보보호 실태 점검을 정례화하고, 보안 투자에 대한 재정 지원을 확대해야 한다는 목소리가 높다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 유출 시 법적 통지 의무 (개인정보보호법 제34조)

>

개인정보처리자는 유출 사실을 인지한 때 지체 없이(72시간 이내) 정보주체에게 ①유출 항목, ②유출 시점·경위, ③피해 최소화 방법, ④대응조치·피해구제 절차, ⑤담당부서 연락처를 알려야 한다. 1천 명 이상 유출 시 개인정보보호위원회와 전문기관(KISA)에 신고해야 하며, 위반 시 5년 이하 징역 또는 5천만 원 이하 벌금에 처해질 수 있다.

---

백남정 기자 privacywatch@news.com