[보안 이슈] 107만 명 털린 학습앱 매스스페이스 — 유출된 건 성적이 아니라 ‘가족 이메일’이었습니다
성적표도 비밀번호도 아니었습니다. 이번에 빠져나간 건 학생과 학부모 107만 9,819명의 이름과 이메일, 다시 말해 “누가 이 학습앱을 쓰는 가족인지”였습니다.
안녕하세요, dailybetter입니다.
이번 사건의 무대는 호주·뉴질랜드에서 쓰이는 수학 학습 플랫폼 매스스페이스라, 국내 독자 대부분은 직접 피해자가 아닐 가능성이 큽니다. 그런데도 이 사건을 꺼내는 이유는, 유출 항목의 조합이 “성적은 안 털렸으니 괜찮다”는 안심을 정확히 배신하기 때문입니다.
자녀가 에듀테크(교육정보기술)를 쓰는 가정이라면 남의 일이 아닌 예고편에 가깝습니다.
무슨 일이 있었나
매스스페이스는 2026년 9월 3일 침해 사실을 확인했습니다. 피해자는 호주·뉴질랜드의 학생, 학부모·보호자, 학교 교직원, 직원까지 107만 9,819명입니다.
침입 통로는 사내 데이터 분석용 오픈소스 도구 메타베이스였습니다. 메타베이스는 8월 6일, 비밀번호 재설정 기능에서 로그인(인증) 없이도 데이터베이스를 조작할 수 있는 취약점을 공개하고 같은 날 패치했습니다. 문제는 매스스페이스가 이 권고를 놓친 것입니다. 공격자는 8월 10일 관리자 권한을 얻고 8월 27일 데이터를 내려받았으며, 회사가 패치한 건 8월 29일이었습니다. 하루면 막을 수 있던 구멍이, 취약점 관리 절차의 공백 탓에 3주 넘게 열려 있던 셈입니다.
성적은 그대로인데 왜 위험할까
| 유출됨 | 유출 안 됨 |
|---|---|
| 이름, 사용자 ID, 이메일 | 비밀번호(해시 포함) |
| 계정 유형(학생/학부모/교직원) | 성적·학습기록·평가 결과 |
| 국가·시간대 | SSO 토큰, API 인증정보 |
| 이메일 인증 여부, 가입일, 마지막 로그인·활동일 | 계정과 소속 학교를 잇는 정보 |
비밀번호와 성적이 무사한 건 다행입니다. 계정이 곧바로 탈취되거나 아이 성적이 노출되는 시나리오는 아닙니다. 하지만 진짜 무기는 왼쪽 칸에 있습니다.
이름 + 이메일 + 계정 유형이 한 세트로 묶이면, 공격자는 “OO 학부모님, 자녀 수학 학습 결제가 실패했습니다”처럼 대상을 정확히 겨눈 정밀 피싱(스피어피싱) 메일을 보낼 수 있습니다. 마지막 로그인·활동일까지 붙으면 지금 실제로 쓰는 활성 계정만 골라내고, 국가·시간대로 현지 시간에 맞춘 문자를 보냅니다. 즉 “계정을 여는 열쇠”가 아니라 “누구를 어떻게 속일지 알려주는 명단”이 새어 나간 사건입니다. 앞서 티빙 개인정보 1,953만 명 유출 때도 핵심 위험은 연락처를 미끼로 한 사칭이었고, 구조가 똑같습니다.
우리 집이 지금 해야 할 세 가지
둘째, 그 이메일로 다른 사이트에서 비밀번호를 돌려 썼다면 지금 바꾸세요. 이메일이 곧 로그인 아이디면, 어디선가 털린 비밀번호를 여러 사이트에 대입하는 크리덴셜 스터핑(무차별 로그인 시도)의 표적이 됩니다. 자녀 계정도 예외가 아니니, 가족이 공유하는 이메일부터 2단계 인증을 켜 두세요.
셋째, 국내 에듀테크를 쓴다면 지금이 점검 타이밍입니다. 개인정보보호위원회와 교육부는 2026년 5월 말부터 이용률 높은 7개 에듀테크 서비스를 대상으로 개인정보 보호 합동 실태점검에 착수했습니다. 아동 정보 수집 절차, 접근권한·접속기록 관리가 핵심입니다. 우리 아이가 쓰는 서비스가 어떤 정보를 모으는지는 학교 에듀테크 통합서비스 ‘에듀집(edzip.kr)’과 각 서비스의 개인정보 처리방침에서 확인할 수 있습니다.
첫째, 학습앱을 사칭한 메일·문자를 무조건 의심하세요. 결제 오류·로그인 확인·환불 안내로 링크 클릭을 유도하면 십중팔구 피싱입니다. 앱은 문자 속 링크가 아니라 공식 앱스토어나 즐겨찾기로만 접속하는 게 최선의 방어입니다.
Q. 비밀번호가 안 털렸는데도 왜 계속 조심해야 하나요?
이번 유출의 무기는 로그인 정보가 아니라 “정확한 대상 명단”입니다. 명단은 시간이 지나도 낡지 않아 몇 달 뒤 피싱에 재활용될 수 있습니다.
Q. 국내 서비스도 이렇게 뚫릴 수 있나요?
원인이 된 메타베이스 취약점으로 8월 한 달간 여러 해외 기업이 비슷하게 당했습니다. 자체 서버에 오픈소스 도구를 올려 쓰는 구조라면 국내외를 가리지 않습니다.
“성적이 무사하다는 안내에 안심하고 손을 놓는 순간이 공격자가 가장 노리는 지점입니다.”
💡 dailybetter 분석가 Note
이번 사건의 본질은 해커의 고난도 기술이 아니라 “하루면 막을 수 있던 취약점을 놓친 관리 공백”입니다. 보안 사고 상당수는 새로운 공격이 아니라 이미 패치가 나온 구멍을 제때 막지 못해 벌어집니다. 학부모가 통제할 수 없는 영역이지만, 통제할 수 있는 건 분명합니다. 유출된 이메일을 미끼로 한 사칭에 걸리지 않는 것, 비밀번호 재사용을 끊는 것. 성적이 무사하다는 안내에 안심하고 손을 놓는 순간이 공격자가 가장 노리는 지점입니다.
※ 참고: Mathspace, 「Mathspace data breach: what happened and what affected users should know」
※ 참고: 개인정보보호위원회·교육부, 「에듀테크 분야 개인정보 보호 실태점검」
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요