핵심 POINT
한 교육사이트 위탁 운영업체가 해킹돼 공공기관과 기업 노동조합 등 20여 곳의 이용자 정보가 유출됐습니다.
일부 기관은 시스템 교체 전 과거 데이터를 파기하지 않고 보관하다 피해를 입었습니다.
기업은 위탁사의 개인정보 보관 현황과 파기 증빙을 점검해야 합니다.
교육사이트 개인정보 유출 20여 곳, 우리 위탁업체는 안전할까? 점검 5가지
2026년 9월 19일, 외부 공격자가 온라인 교육사이트를 위탁 운영하는 업체의 서버에 침입했습니다. 이튿날인 20일 개인정보가 탈취된 것으로 확인됐습니다. 이 업체는 9월 25일 고객센터 공지에서 9월 22일 문자 발송 대행사로부터 비정상 발송 정황을 전달받아 공격을 인지했다고 밝혔습니다. 한국인터넷진흥원과 개인정보보호위원회에도 신고했습니다.
2026년 10월 6일, 이 업체가 운영하던 한 공공 교육 플랫폼에서 이용자 약 10만 명의 정보가 유출됐다는 사실이 알려졌습니다. 해당 기관은 시스템 교체 이전의 과거 데이터를 파기하지 않고 보관하다 피해를 입은 것으로 파악된다고 설명했습니다. 같은 날 교육부는 산하기관 400여 곳에 긴급 보안 권고문을 보냈습니다. 2026년 10월 7일에는 한 대기업 공장 노동조합 조합원 약 5,000명의 이름, 사번, 전화번호가 같은 업체를 통해 유출된 사실이 알려졌습니다.
이번 글에서는 위탁업체 서버 한 곳이 공공기관과 기업 노동조합 등 20여 개 기관의 유출로 번진 과정을 살펴봅니다. 이어서 개인정보 보호법이 정한 파기와 위탁 관리 기준, 기업이 위탁사에 확인해야 할 점검 5가지, 교육사이트 이용자가 오늘 해야 할 대응을 정리합니다. 사고 원인은 관계 기관이 조사 중이므로 공개된 범위 안에서만 설명하겠습니다.
■ 위탁사 서버 한 곳이 여러 기관의 유출로 번진 이유
출처: AI(ChatGPT) 생성 이미지
교육사이트는 기관이 직접 만들기보다 전문 업체에 운영을 맡기는 경우가 많습니다. 이 경우 회원 가입 정보와 수강 이력은 기관이 아니라 위탁업체의 서버에 쌓입니다. 이용자는 각 기관의 사이트에 가입했다고 생각하지만, 실제 데이터는 같은 업체가 관리하는 서버에 모여 있을 수 있다는 뜻입니다.
2026년 10월 8일, 교육부 유관기관의 이용자 약 4만 명 정보가 유출된 사실이 알려졌습니다. 해당 기관은 홈페이지 공지에서 위탁 운영 중인 시스템에 비인가 접근이 발생해 회원 개인정보가 유출된 사실을 확인했다고 밝혔습니다. 유출 항목에는 성명, 소속기관, 생년월일, 주소, 이메일, 아이디, 비밀번호가 포함된 것으로 전해졌습니다. 앞서 알려진 공공 교육 플랫폼 약 10만 명, 한 대기업 공장 노동조합 조합원 약 5,000명 등을 합쳐 20여 개 기관과 단체가 피해를 입은 것으로 알려졌습니다.
위탁업체는 공지에서 공격자 IP 차단, 백도어 삭제, 서버 접근 키 변경, 관리자 2단계 인증 적용 등 보안 조치를 마쳤다고 설명했습니다. 다만 공지에는 유출 항목과 규모가 구체적으로 적혀 있지 않습니다. 기관마다 공개한 규모도 달라 전체 피해자 수를 단순 합산하기는 어렵습니다. 공격자가 업체 발신번호를 이용해 무작위 휴대폰 번호로 스팸 문자를 보낸 정황도 확인돼, 유출 이후의 2차 피해에도 주의가 필요합니다.
■ 대기업 공장 노동조합까지 이어진 위탁 교육 시스템 피해
2026년 10월 7일, 한 대기업 공장 노동조합 조합원 약 5,000명의 정보가 같은 업체를 통해 유출된 사실이 알려졌습니다. 이 노조는 조합원 온라인 교육을 위해 시스템과 서버 관리를 위탁업체에 맡겨 왔습니다. 유출 항목은 이름, 사번, 전화번호로 전해졌습니다. 노조 관계자는 전화번호가 암호화된 상태로 유출돼 실제 피해 가능성은 높지 않다고 설명했습니다. 현재까지 실질적인 피해는 확인되지 않은 것으로 알려졌습니다.
업체는 전수조사 과정에서 노조원 정보 유출을 확인해 9월 25일 노조에 알렸습니다. 노조는 이튿날 전 조합원에게 피해 사실을 공지하며 출처가 불분명한 문자나 링크를 누르지 말라고 당부했습니다. 다른 공장 직원 일부의 정보도 유출됐는지는 노조가 현황을 조사 중입니다. 위탁업체는 사과문에서 보안 체계 전반을 재점검하고 보안강화 대책을 시행하겠다고 밝혔습니다.
이 사례에서는 두 가지를 짚어볼 수 있습니다. 하나는 노조처럼 구성원이 가입한 조직의 교육 시스템도 외부 업체에 위탁될 수 있다는 점입니다. 다른 하나는 이름, 사번, 전화번호가 함께 유출되면 사내 담당자를 사칭한 문자나 전화에 쓰일 가능성이 있다는 점입니다. 구성원 대상 안내 경로를 미리 마련해 두는 것이 좋습니다.
■ 이미 끝난 시스템의 데이터가 사고로 이어진 과정
출처: AI(ChatGPT) 생성 이미지
2026년 10월 6일, 공공 교육 플랫폼 측이 밝힌 내용에 따르면 유출된 데이터베이스는 2025년 4월 시스템 교체 이전의 자료였습니다. 지금 운영하지 않는 시스템의 데이터가 위탁업체 서버에 남아 있었던 셈입니다. 그 서버가 공격을 받으면서 유출 대상에 포함됐습니다. 2026년 10월 11일에는 일부 기관에서도 시스템 교체 후 파기했어야 할 과거 데이터가 남아 있었다는 내용이 전해졌습니다.
개인정보 보호법 제21조 제1항은 보유기간의 경과, 처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 정하고 있습니다. 다만 다른 법령에 따라 보존해야 하는 경우는 예외이며, 이때는 다른 개인정보와 분리해서 저장·관리해야 합니다. 파기할 때에는 복구 또는 재생되지 않도록 조치해야 합니다. 수탁자에게도 제21조가 준용됩니다. 시스템을 교체한 뒤 이전 DB가 남아 있으면 유출 시 피해 대상이 넓어질 수 있습니다.
공공 교육 플랫폼 측은 후속 조치로 최근 3년간 위탁사업 전체의 개인정보 파기 현황을 전수조사하고 있다고 밝혔습니다. 사업 종료 후 파기 확인과 증빙 절차에 대한 관리·감독도 강화하겠다고 설명했습니다. 파기를 위탁사에만 맡기지 않고 실제로 지워졌는지 확인해 기록으로 남기는 단계가 필요하다는 뜻으로 볼 수 있습니다.
■ 위탁사 관리·감독 책임의 범위
업무를 외부에 맡겨도 위탁하는 쪽의 감독 책임이 사라지는 것은 아닙니다. 개인정보 보호법 제26조 제1항은 개인정보 처리 업무를 위탁할 때 위탁업무 수행 목적 외 처리 금지, 기술적·관리적 보호조치 등을 담은 문서로 하도록 정하고 있습니다. 제4항은 위탁하는 쪽이 정보주체의 개인정보가 유출되지 않도록 수탁자를 교육해야 한다고 규정합니다. 처리 현황 점검 등을 통해 수탁자가 개인정보를 안전하게 처리하는지 감독해야 한다는 내용도 함께 담겨 있습니다.
제7항에 따라 수탁자가 위탁받은 업무와 관련해 이 법을 위반해 발생한 손해배상책임에 대해서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 계약서에 파기 의무를 적는 것에 더해, 계약 시점과 사업 종료 시점, 시스템 교체 시점마다 데이터가 어디에 남아 있는지 확인하는 감독 절차가 필요합니다. 여러 기관의 서비스를 한 업체가 운영하는 구조에서는 위탁사 한 곳의 보안 수준이 위탁한 기관들에 영향을 줄 수 있습니다.
■ 위탁사와 보관 데이터를 점검하는 5가지 기준
출처: AI(ChatGPT) 생성 이미지
아래 다섯 가지는 이번 사고에서 드러난 문제를 정리한 점검 포인트입니다. 법령이 정한 의무 목록이 아니라 실무에서 확인해 볼 만한 항목으로 활용하시기 바랍니다.
| 점검 항목 | 주요 확인 내용 |
|---|---|
| 1. 위탁 현황과 데이터 위치 파악 | 위탁사별로 어떤 개인정보를 맡겼는지, 그 데이터가 어느 서버와 백업에 있는지 목록으로 관리하는지 확인합니다. 사내 교육이나 노조·동호회처럼 조직 단위로 맡긴 시스템이 있는지도 확인합니다. |
| 2. 시스템 교체와 사업 종료 시 처리 계획 | 시스템을 바꾸거나 계약이 끝날 때 이전 DB와 백업을 언제까지 어떻게 지울지 사전에 정해 두었는지 점검합니다. |
| 3. 파기 확인과 증빙 수령 | 파기 사실을 말로만 전달받지 않고 파기 일시, 대상, 방법이 적힌 확인서나 로그를 받아 보관합니다. |
| 4. 수탁사 보안 수준 정기 점검 | 접근통제, 계정 관리, 로그 보관, 취약점 점검 결과를 정기적으로 제출받고 미흡한 항목의 보완 여부를 확인합니다. |
| 5. 사고 통보와 이용자 안내 체계 | 수탁사에서 사고가 나면 위탁한 쪽에 즉시 알리는 절차와, 임직원과 이용자에게 사칭 문자 주의를 안내하는 경로를 미리 정해 둡니다. |
[표] 위탁사 개인정보 관리 점검 5가지
다섯 항목 가운데 가장 먼저 해볼 일은 첫 번째입니다. 어디에 무엇이 있는지 모르면 파기도 감독도 시작할 수 없기 때문입니다. 위탁 계약서 목록과 실제 운영 중인 시스템 목록을 나란히 놓고, 계약은 끝났는데 데이터가 남아 있는 곳이 없는지부터 대조해 보시기 바랍니다.
■ 교육사이트 이용자 대응과 기업의 위탁 보안 점검
여러 기관의 교육사이트에 가입한 적이 있다면 이번 사고와 직접 관련이 없더라도 아래 세 가지를 확인해 두는 것이 좋습니다.
❶ 같은 비밀번호를 쓰는 사이트 바꾸기
위탁업체는 해당 사이트의 비밀번호뿐 아니라 같은 비밀번호를 쓰는 다른 사이트의 비밀번호도 함께 바꾸라고 안내했습니다. 비밀번호가 암호화된 상태로 유출됐더라도 재사용 중인 비밀번호는 한 번 바꿔 두는 편이 안전합니다.
❷ 기관 이름을 내세운 문자와 링크 누르지 않기
위탁업체는 기관 명의라도 링크가 포함됐거나 결제와 개인정보를 요구하는 문자는 누르지 말라고 밝혔습니다. 수강이나 환급, 자격 갱신을 이유로 링크가 포함된 문자를 받으면 기관 공식 홈페이지나 대표번호로 직접 확인하시기 바랍니다. 스미싱이 의심되면 118(한국인터넷진흥원)에, 금전 피해가 생기면 112(경찰청)에 신고하시면 됩니다.
❸ 소속과 사번까지 아는 연락 경계하기
일부 기관에서는 소속기관, 생년월일, 주소, 사번 같은 정보가 유출 항목에 포함된 것으로 전해졌습니다. 이름과 소속, 사번을 정확히 아는 메일이나 전화라도 먼저 신뢰하지 말고, 첨부파일 열기나 앱 설치, 금전 요구가 있으면 일단 멈추고 확인해야 합니다.
기업 입장에서는 위탁사가 운영하는 시스템의 보안 수준과 개인정보 보관 현황을 직접 점검하는 일이 이용자 안내만큼 중요합니다. SK쉴더스는 개인정보 보호 컨설팅과 웹·앱·인프라 취약점 진단, 모의해킹, 보안관제 등 위탁 운영 환경을 점검하고 사고에 대비하는 다양한 보안 서비스를 제공합니다. 위탁사 관리가 걱정되신다면 SK쉴더스와 함께 점검 범위와 우선순위부터 정리해 보시기 바랍니다.
■ 자주 묻는 질문
Q. 위탁사가 해킹되면 위탁한 기업에도 책임이 있나요?
A. 개인정보 보호법 제26조 제4항은 위탁하는 쪽이 정보주체의 개인정보가 유출되지 않도록 수탁자를 교육하고, 처리 현황 점검 등을 통해 안전하게 처리하는지 감독하도록 정하고 있습니다. 구체적인 책임 범위는 사고 경위와 감독 이행 여부에 따라 달라질 수 있으므로, 개별 사안은 법무 부서나 전문가와 함께 확인하시기 바랍니다.
Q. 사용하지 않는 옛 시스템의 데이터는 언제 지워야 하나요?
A. 개인정보 보호법 제21조 제1항은 보유기간의 경과나 처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 정하고 있습니다. 시스템을 교체했다면 이관이 끝난 시점에 이전 DB와 백업의 파기 여부를 확인하는 것이 좋습니다. 다른 법령에 따라 보존해야 하는 정보는 다른 개인정보와 분리해 저장·관리해야 합니다.
Q. 비밀번호가 암호화돼 있다고 했는데 그래도 바꿔야 하나요?
A. 위탁업체는 공지에서 같은 비밀번호를 쓰는 다른 사이트의 비밀번호도 함께 변경하라고 안내했습니다. 암호화됐더라도 단순한 비밀번호나 여러 사이트에서 재사용 중인 비밀번호는 위험이 남을 수 있어 변경해 두는 것이 안전합니다.
Q. 이름과 사번, 전화번호가 유출되면 어떤 점을 주의해야 하나요?
A. 사내 담당자나 교육기관을 사칭한 문자와 전화에 쓰일 가능성이 있어, 링크가 포함된 문자나 앱 설치, 금전 요구는 응하지 않고 공식 경로로 확인하시기 바랍니다. 노조 관계자는 전화번호가 암호화된 채 유출돼 실제 피해 가능성은 높지 않다고 설명했지만, 유출된 정보가 어떻게 쓰일지는 단정하기 어렵습니다.
Q. 교육기관 이름으로 수강 관련 문자가 왔는데 진짜일 수도 있나요?
A. 위탁업체는 회사와 교육기관이 문자로 링크를 보내 개인정보를 요구하지 않는다고 밝혔습니다. 링크가 포함된 문자는 누르지 말고, 기관 공식 홈페이지나 대표번호로 직접 확인하시기 바랍니다.
[콘텐츠 출처]
위탁 운영업체 고객센터 공지, 개인정보 유출 침해 사고 관련하여 추가 안내드립니다, 2026-09-25
파이낸셜뉴스, 산하기관 10만명 개인정보 유출 시스템 교체 후 미파기 원인, 2026-10-06
강원도민일보, 교육행정직 4만 명 정보 유출 비상, 2026-10-08
파이낸셜뉴스, 금융권 해킹 불똥 공공·대학·교회로 전방위 확산, 2026-10-11
서울경제, 결국 산업계도 덮친 해킹 직원 5000여명 사번 등 개인정보 털렸다, 2026-10-07
