서강대학교 해킹 피해, 재학생·졸업생·교직원 개인정보 무더기 유출

---

국내 주요 대학이 외부 해킹 공격에 뚫리며 수만 명의 개인정보가 유출되는 사고가 발생했다. 서강대학교는 재학생, 졸업생, 교직원의 성명·연락처·이메일 등 5개 항목이 외부로 빠져나간 사실을 확인하고 관계 기관에 신고했다. 교육기관을 겨냥한 사이버 공격이 잇따르면서 대학 정보보호 체계 전반에 대한 점검이 시급하다는 지적이 나온다.

---

사건 개요

서강대학교는 최근 외부 해킹 공격을 받아 개인정보 유출 사실을 인지했다고 밝혔다. 유출된 정보는 성명, 소속, 이메일, 휴대전화번호, 암호화된 비밀번호 등 5개 항목이다. 대학 측은 사고 인지 즉시 교육부와 개인정보보호위원회에 신고를 완료했으며, 현재 정확한 피해 규모와 공격 경로를 파악하고 있다.

서강대는 재학생 약 1만여 명, 교직원 수천 명 외에도 수십 년간 축적된 졸업생 데이터를 보유하고 있어 실제 유출 규모는 수만 명에 달할 가능성이 있다. 비밀번호가 암호화된 상태로 유출됐다고는 하나, 해시 알고리즘의 강도에 따라 복호화 위험이 존재하며, 동일 비밀번호를 타 서비스에서 사용하는 이용자는 2차 피해에 노출될 수 있다.

---

대학 해킹, 왜 반복되나

교육기관은 해커들의 주요 표적으로 부상한 지 오래다. 그 이유는 명확하다.

첫째, 방대한 개인정보 보유다. 대학은 입학부터 졸업까지 학생의 신상정보, 성적, 등록금 납부 내역 등을 장기간 축적한다. 졸업 후에도 증명서 발급 등을 위해 데이터를 반영구적으로 보관하는 경우가 많다.

둘째, 상대적으로 취약한 보안 투자다. 많은 대학이 정보보호 전담 인력과 예산 부족에 시달린다. 노후화된 시스템을 운영하거나, 보안 업데이트가 지연되는 사례가 빈번하다.

셋째, 개방적인 네트워크 환경이다. 연구 협력과 학문적 교류를 위해 외부 접속을 폭넓게 허용하는 대학 특성상 공격 접점이 다양해질 수밖에 없다.

---

대학·기관의 대응 방안

이번 사고를 계기로 교육기관들은 다음과 같은 보안 강화 조치를 점검해야 한다.

• 침입탐지시스템(IDS) 및 침입방지시스템(IPS) 고도화: 실시간 위협 탐지와 자동 차단 역량을 강화해야 한다.

• 비밀번호 해시 알고리즘 점검: SHA-256 이상, 또는 bcrypt·Argon2 등 솔트(salt) 적용 알고리즘을 사용하고 있는지 확인하고, 미흡할 경우 즉시 교체해야 한다.

• 개인정보 보유 현황 재점검: 보유 목적이 달성된 졸업생 정보 등은 파기 절차를 밟아 불필요한 데이터 축적을 줄여야 한다.

• 침해사고 대응 훈련 정례화: 사고 발생 시 72시간 내 신고 의무(개인정보 보호법 제34조)를 준수하기 위한 내부 프로세스를 숙달해야 한다.

• 구성원 보안 인식 교육: 피싱 메일 등 사회공학적 공격에 대한 경각심을 높이는 정기 교육이 필수적이다.

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 보호법 제29조(안전조치의무) 및 개인정보의 안전성 확보조치 기준 고시에서는 개인정보처리자가 비밀번호를 저장할 때 일방향 암호화(해시) 를 적용하도록 규정하고 있다. 단순 해시가 아닌 솔트(Salt) 적용 및 안전한 해시 알고리즘(SHA-256 이상, bcrypt 등) 사용 여부가 적정성 평가의 핵심 포인트다. ISMS-P 인증심사 시 '암호화된 비밀번호 유출'이라 하더라도 해시 강도가 부족하면 안전조치 미흡으로 판단될 수 있다.

---

개인정보보호 전문기자 백남정