[보안 이슈] 학습 플랫폼 매스스페이스 107만 명 유출 — 비밀번호는 무사, 그런데 ‘이메일’이 위험합니다
호주·뉴질랜드 학생·학부모·교사 107만 9,819명의 이름과 이메일이 학습 플랫폼 매스스페이스에서 통째로 빠져나갔습니다. 그런데 비밀번호와 성적은 무사합니다 — 진짜 위험은 ‘정밀 피싱’입니다.
안녕하세요, dailybetter입니다.
온라인 수학 학습 서비스 ‘매스스페이스’가 2026년 9월 3일 대규모 개인정보 유출을 공식 발표했습니다. 국내 국제학교·유학생 등 이 플랫폼을 쓰는 한국 이용자도 있을 수 있습니다.
무엇보다 “무엇이 털렸는가”를 정확히 아는 것이 불필요한 공포와 진짜 대응을 가르는 핵심이라, 이 사건을 구조적으로 짚어봅니다.
무슨 일이 있었나 — 학습 서비스 내부 시스템이 뚫렸다
매스스페이스는 시드니에 본사를 둔 에듀테크 기업입니다. 공격자는 이 회사가 내부 데이터 분석에 쓰던 오픈소스 도구 ‘메타베이스’의 보안 구멍을 파고들어 학생·학부모·교사와 직원의 기록을 내려받았습니다. 침입 시작은 8월 10일, 데이터 유출은 8월 27일로 확인됐습니다.
데이터 갈취 조직 ‘샤이니헌터스’가 자신들의 소행이라 주장했는데, 이들은 훔친 데이터를 “공개하지 않는 대가로 돈을 내라”고 협박하는 방식으로 악명 높습니다. 다행히 현재까지 유출 자료가 공개·거래된 정황은 확인되지 않았습니다.
무엇이 털렸고, 무엇은 무사한가
이 사건에서 가장 중요한 부분입니다. 유출 항목과 안전한 항목을 명확히 구분해야 올바로 대응할 수 있습니다.
| 구분 | 항목 |
|---|---|
| 빠져나간 정보 | 이름, 사용자 ID·아이디, 이메일 주소, 이메일 인증 여부, 국가, 시간대, 가입일, 최근 로그인·활동일 |
| 안전한 정보 | 비밀번호와 해시값, 통합인증 토큰, 응용프로그램인터페이스 인증정보, 학습기록·성적·평가결과, 계정과 학교를 연결하는 정보 |
‘해시값’이란 비밀번호를 원문이 아니라 복원이 사실상 불가능한 형태로 변환해 저장한 값인데, 이번엔 이 해시조차 빠져나가지 않았습니다. 성적·학습기록·학교 소속 정보도 유출 대상이 아니었습니다. 즉 새어 나간 것은 ‘누가, 어떤 이메일을 쓰는 사람인가’라는 신원·연락처 정보에 국한됩니다.
‘신용대출 피해’는 이번 건과 맞지 않습니다 — 진짜 위험은 정밀 피싱
일부에선 이번 유출이 신원도용·신용대출 사기로 번질 수 있다고 우려합니다. 하지만 명의도용 대출에는 주민등록번호·신분증·금융 인증정보가 필요한데, 이번 유출 항목에는 이런 것이 전혀 없습니다. 근거 없이 “대출 사기가 온다”고 겁을 주면 오히려 진짜 위험을 놓치게 됩니다.
실제 위험은 정밀하게 조준된 피싱·스미싱입니다. 공격자는 이제 “이 이메일의 주인은 매스스페이스를 쓰는 학생 또는 학부모”라는 맥락을 압니다. 여기에 이름과 가입 시점까지 붙으면 “계정 보안 조치가 필요합니다”, “자녀 학습 결제 정보를 확인하세요” 같은 그럴듯한 사칭 메일을 만들 수 있습니다. 이름이 정확히 들어간 맞춤형 메일은 스팸함에 걸러지지 않고 받는 사람이 진짜라 믿을 확률이 훨씬 높습니다. ‘이메일과 이름만 털려도 위험하다’는 진짜 이유가 이것입니다.
왜 뚫렸나 — ‘패치 공백’이 만든 사고
문제가 된 취약점은 CVE-2026-72898로, 위험도를 0~10으로 매기는 국제 점수 CVSS(Common Vulnerability Scoring System)에서 최고점 10.0을 받은 심각한 결함입니다. 성격은 SQL 인젝션 — 웹서비스가 데이터베이스에 보내는 질문(쿼리)에 공격자가 몰래 명령을 끼워 넣어 인증 없이 데이터베이스를 열람·조작하는 기법입니다.
메타베이스 개발사는 8월 6일 취약점을 공개하고 같은 날 패치를 냈지만, 매스스페이스는 이를 조치 대상에 올리지 못해 실제 패치는 8월 29일에야 적용됐습니다. 그 사이 침입이 일어난 것입니다. 이미 실제 공격에 악용되던 ‘제로데이(패치 적용 전에 이미 뚫리는 상태)’였던 만큼, 며칠의 지연이 곧바로 사고로 이어졌습니다.
지금 해야 할 3가지
비밀번호는 안 털렸지만, 방심하면 안 되는 이유
- 매스스페이스에서 쓰던 비밀번호를 다른 사이트에서도 쓰고 있었다면 지금 바꾸세요. 비밀번호는 유출되지 않았지만, 이메일이 노출된 이상 ‘이메일+아무 비번’ 조합을 여러 사이트에 대입하는 자동 공격의 표적이 됩니다. 재사용이 가장 큰 약점입니다.
- 주요 계정에 2단계 인증을 켜세요. 이메일·간편결제·SNS는 비밀번호 외에 문자·인증앱 확인을 추가하면 비번이 새어도 로그인을 막을 수 있습니다.
이것만 주의하세요 — 사칭 메일·문자
매스스페이스·학교·결제를 사칭한 ‘보안 확인’, ‘결제 오류’, ‘계정 정지’ 안내 속 링크는 누르지 말고, 주소창에 공식 도메인을 직접 입력해 접속하세요. 이름이 정확해도 방심 금물 — 그 이름이 바로 이번에 유출된 정보입니다.
“안도보다 경계심이 필요한 순간이 있습니다. 오늘의 대응이 내일의 나를 지킵니다.”
💡 dailybetter 분석가 Note
이번 사건의 본질은 ‘해킹 기술의 정교함’이 아니라 ‘이미 나와 있던 패치를 제때 못 붙인 관리 공백’입니다. 최고 위험도(10.0) 취약점의 패치 공개부터 실제 적용까지 약 3주, 그 틈이 107만 명의 데이터로 대가를 치렀습니다.
개인이 통제할 수 있는 건 회사의 패치 속도가 아니라 ‘한 비밀번호를 여러 곳에 재사용하지 않기’와 ‘유출된 이메일로 올 정밀 피싱을 알아채기’입니다. 비밀번호가 안 털렸다는 안도보다, 내 이메일이 이제 ‘표적 명단’에 올랐다는 경계심이 지금 더 필요합니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요