[보안 이슈] 연세대 포털에서 학번·전화번호 1만여 건이 유출됐습니다 — 민감정보는 빠졌지만 ‘학교 사칭’ 연락은 지금부터입니다
연세대 포털 해킹으로 재학생·졸업생·교직원 약 1만여 명의 학번·전화번호·이메일이 유출됐습니다. 핵심 정보는 빠졌지만, ‘학교 사칭’ 연락의 위험은 지금부터입니다.
안녕하세요, dailybetter입니다.
연세대학교 포털서비스가 외부 해킹 공격을 받아 재학생·졸업생·교직원 등 약 1만여 명의 학번·휴대전화번호·이메일이 유출됐습니다. 다행히 비밀번호와 주민등록번호 같은 핵심 정보는 빠져나가지 않았습니다.
그렇다고 “안심해도 되나?” 하고 넘기면 안 됩니다. 이번 유출의 진짜 위험은 정보 자체가 아니라, 그 정보를 재료로 삼은 ‘학교 사칭’ 문자·메일이 지금부터 날아온다는 데 있습니다. 내 정보가 샜는지 확인하는 법부터 오늘 당장 할 일까지 분석가 관점에서 정리했습니다.
무슨 일이 있었나: 이틀에 걸쳐 두 차례 뚫렸다
연세대 정보통신처는 10월 22일 “연세 포털서비스에 대한 외부의 비인가 접근으로 일부 구성원의 개인정보가 유출된 사실이 확인됐다”고 공지했습니다. 침입은 10월 20일 오후 7시 41~43분, 그리고 10월 21일 오전 10시 4~11분 두 차례 일어났습니다. 짧은 시간이지만 이틀에 걸쳐 반복됐다는 건, 단발성 실수가 아니라 취약한 경로가 열려 있었다는 뜻입니다.
학교는 유출 경로를 차단하고 10월 21일 개인정보보호위원회에 신고했으며 수사기관에 수사를 의뢰했습니다. 피해 추산 규모는 약 1만여 명입니다.
유출된 정보, 하나씩 뜯어보면
| 유출 항목 | 무엇을 의미하나 |
|---|---|
| 학번·직번, 성명 | 나를 특정하는 기본 신상입니다. 그 자체로 금전 피해를 주진 않지만, 사칭 연락을 “진짜처럼” 보이게 만드는 재료가 됩니다. |
| 휴대전화번호 | 스미싱(문자 사기)·보이스피싱의 직접 타깃이 됩니다. |
| 이메일 주소 | 피싱 메일 발송 대상이 됩니다. |
| 일부 시스템 관리정보 | 로그인 식별키, 비밀번호 오류 횟수, 사용자 상태코드, 최종 로그인 일시 등 계정 관리용 내부 값으로, 비밀번호 원문은 아닙니다. |
반대로 주민등록번호 같은 고유식별정보와 민감정보, 비밀번호는 유출되지 않았다는 것이 학교의 설명입니다. 주민번호 유출 시 생기는 명의도용 계좌·대출 같은 최악의 시나리오는 이번엔 가능성이 낮다는 뜻이라 중요합니다.
비밀번호도 주민번호도 안 샜는데, 왜 조심해야 하나
핵심은 “조합의 위력”입니다. 전화번호만 알면 불특정 다수에게 뿌리는 스팸밖에 못 보냅니다. 하지만 ‘연세대 학번 + 이름 + 전화번호’가 한 세트로 묶이면, 공격자는 “연세대학교입니다. ○○○님, 학번 20××××× 관련 보안 조치가 필요합니다”처럼 나만 아는 정보를 콕 집어 말할 수 있습니다.
받는 사람은 “학교가 내 학번까지 아는 걸 보니 진짜구나” 하고 링크를 누르게 됩니다. 이렇게 상대를 특정해 정교하게 설계한 사기를 스피어피싱이라고 합니다. 학교도 “학교를 사칭한 문자·전화·이메일, 출처가 불분명한 링크를 주의하라”고 당부했습니다. 즉 2차 피해는 ‘지금부터’ 시작됩니다.
지금 당장 해야 할 3가지
1. 내 정보가 샜는지부터 확인하세요. 연세대는 10월 22일 오후 1시부터 대표 홈페이지 공지사항에서 개인별 유출 여부와 항목을 확인하도록 안내했습니다. 단, “확인하라”며 온 문자 속 링크는 누르지 말고, 브라우저에 연세대 공식 주소를 직접 입력해 들어가세요.
2. 학교발(發) 연락은 일단 의심하세요. ‘연세대’ 명의의 문자·메일에 URL이 있으면 클릭하지 않는 것이 원칙입니다. 등록금 환급·장학금 신청·보안 점검 같은 그럴듯한 명목이 가장 흔한 미끼입니다. 진위가 궁금하면 문자에 적힌 번호가 아니라 학교 대표번호로 직접 전화해 확인하세요.
3. 같은 비밀번호를 다른 곳에도 썼다면 바꾸세요. 이번엔 비밀번호 원문이 유출되지 않았습니다. 그래도 포털 비밀번호를 쇼핑몰·메일 등 여러 곳에 똑같이 돌려쓰고 있었다면, 사이트별로 다르게 바꾸고 2단계 인증을 켜 두길 권합니다. 비밀번호 재사용은 한 곳만 뚫려도 전부 열리는 열쇠와 같습니다.
의심 문자를 받았다면 국번 없이 118(KISA 불법스팸대응센터)로 신고할 수 있습니다.
“내 정보를 이미 아는 것처럼 말하는 연락일수록, 더 의심하세요.”
💡 dailybetter 분석가 Note
주민번호가 안 샜다는 발표에 안심하기 쉽지만, 보안 사고의 피해는 ‘무엇이 샜나’보다 ‘샌 것들이 어떻게 조합되나’에서 갈립니다. 이번처럼 실명·학번·연락처가 한 묶음으로 넘어간 경우, 공격자에게 가장 가치 있는 건 각 항목이 아니라 ‘진짜 연세대처럼 보일 수 있는 신뢰’입니다.
그래서 당분간 학교 사칭 연락이 늘어날 가능성이 높습니다. 결국 방어의 핵심은 기술이 아니라 습관입니다 — “내 정보를 이미 아는 것처럼 말하는 연락일수록 더 의심한다”는 원칙 하나면 2차 피해 대부분을 막을 수 있습니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요