초등 수학학원 '생각하는황소' 시험 예약 사이트 해킹…강화된 개인정보보호법 시행 일주일 만에 교육 현장 경고

대형 사설 학원의 온라인 시험 예약 사이트가 해킹돼 초등학생과 학부모 개인정보가 새어 나갔을 가능성이 높다. 유출 항목이 보이스피싱에 바로 쓰일 수 있는 조합이라 2차 피해 대비가 먼저다.

초등 심화 수학 전문 학원 '생각하는황소'는 지난 17일 학부모들에게 문자메시지를 보내 시험 예약 사이트에 정체불명의 해커가 침입한 사실을 확인했다고 안내했다. 학원 측은 해커들이 사이트 내 모든 자료를 확보하고 있다고 고지한 점을 들어 시험 예약 과정에서 수집한 개인정보가 유출됐을 가능성이 높다고 밝혔다. 유출 가능성이 높은 정보는 학생 이름과 학교, 학년, 생년월일, 학부모 전화번호 등이다.

해당 사이트는 이른바 '황소고시'로 불리는 입학시험 예약용으로 운영돼 왔다. 이 때문에 재원생뿐 아니라 시험을 치르기 위해 예약한 학생과 학부모의 개인정보도 유출된 것으로 추정된다. 학원은 침입 확인 후 예약 사이트를 임시 폐쇄하고 관계 기관에 유출 사실을 알렸으며, 경찰 수사 요청을 위한 자료도 준비 중이라고 설명했다. 서울시교육청은 학원 측이 개인정보 보호에 필요한 조치를 했는지 조사하겠다는 입장이다. 정확한 해킹 경위와 피해 규모는 아직 공개되지 않았다.

이번 사고는 개정 개인정보보호법 시행 일주일 만에 알려졌다. 개정법은 3년 이내 위반 반복, 1천만 명 이상 대규모 피해, 시정명령 불이행으로 인한 사고 등에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 동시에 사고 전 보안에 투자한 기업의 과징금을 깎아주는 감경 제도를 명시했고, 앞으로는 유출 '가능성'만 확인돼도 정보 주체에게 통지하도록 바뀌었다. 이번 학원 사고가 10% 과징금 대상에 해당하는지는 피해 규모와 고의·중과실 여부가 확인돼야 판단할 수 있다.

여기부터는 기자의 해석이다. 이번 유출 항목은 자녀 이름, 학교, 학년과 부모 전화번호가 한 세트로 묶여 있다. 사기범이 "○○초 ○학년 ○○ 학부모님"이라고 부르며 접근하면 의심하기 어렵다는 점에서, 금전 피해보다 사칭 문자와 전화가 먼저 우려된다. 또 본 서비스가 아닌 '부속 예약 사이트'가 뚫렸다는 점은, 중소 사업자일수록 이벤트나 시험 접수를 위해 따로 만든 사이트가 관리 사각지대가 되기 쉽다는 것을 보여준다.

#개인정보유출 #학원해킹 #생각하는황소 #개인정보보호법 #보이스피싱 #아동개인정보