20261018_IT_학생정보유출

비밀번호 하나가 뚫리자 벌어진 일

이번 사고의 대상은 캘리포니아 교육부와 계약을 맺고 학생 표준화 시험을 운영하는 비영리 평가기관 ETS(Educational Testing Service)입니다. 공격자는 2026년 5월 22일부터 9월 18일까지, ETS가 파일을 주고받는 SFTP(보안 파일 전송) 서버에 탈취된 로그인 정보 하나로 들어와 학생 데이터를 복사해 갔습니다. ETS가 이상 징후를 발견한 건 9월 25일이었습니다.

규모가 큽니다. 최근 3년간 캘리포니아 공립학교에 다닌 학생 전원에, 2006년까지 거슬러 올라가는 일부 과거 학생까지 포함돼 약 700만 명이 영향을 받았습니다. 열쇠 한 개가 새는 것만으로 이렇게 큰 둑이 무너졌다는 점에서, 로그인 없이 문이 열려 있던 의약품안전나라 사고와 본질이 같습니다. 시스템을 아무리 복잡하게 지어도 ‘열쇠 한 개’ 관리가 뚫리면 나머지 방어는 전부 무의미해집니다.

“비밀번호는 안 샜다”가 안심할 일이 아닌 이유

유출된 항목을 보면 왜 가볍게 볼 수 없는지 드러납니다.

반대로 사회보장번호(SSN·미국의 주민등록번호 격)·금융계좌·비밀번호·부모 정보는 유출되지 않았다고 발표됐습니다. 그런데 여기서 방심하면 안 됩니다. 아이들은 신용카드도 대출 기록도 없는 ‘깨끗한 신원’이라, 명의가 도용돼도 자라서 처음 금융거래를 하기 전까지 수년간 아무도 눈치채지 못합니다. 그래서 어린이 정보는 사기꾼 입장에서 성인 정보보다 수명이 길고 값집니다. 당장 티가 안 날 뿐 시한이 긴 위험이라는 뜻입니다.

우리 아이 정보는 괜찮을까

솔직히 말하면 이번 유출의 직접 대상은 캘리포니아 공립학교에 다닌 학생입니다. 해당된다면 CDE·ETS가 11월 초까지 보내는 안내 통지를 반드시 확인하세요. 하지만 대부분의 국내 독자에게 이 사건의 의미는 다른 데 있습니다. “해외 서비스에 올린 아이 정보는 유출돼도 내가 모른다”는 점입니다.

자녀가 쓰는 해외 학습 앱, 글로벌 게임 계정, 외국 SNS에 실명과 생년월일을 넣어본 적이 있다면 같은 구조에 노출돼 있는 셈입니다. 더 곤란한 건 해외 기업이 사고를 내도 한국어 통지가 오지 않고, 통신사 명의도용방지서비스나 금융권 개인정보노출자 등록 같은 우리나라 보호 제도가 자동으로 커버해주지 않는다는 점입니다. 정보가 해외로 흘러간 룩핀 유출 대응 사례도 함께 참고할 만합니다.

지금 할 수 있는 3가지