'비밀번호 7만 4,246개가 무단 변경됐다'는 명단이 샜다는 뜻이 아니라 계정이 열렸다는 뜻입니다 — 대전은 변경 안내를 이미 이틀 전에 보냈습니다

2026년 10월 13일 12시 44분 교육플러스가 '대전 이어 서울도 학생 구글계정 탈취…교육부, 전국 교육청에 긴급 비밀번호 변경 지시'를 단독 보도하고, 같은 날 16시 30분 뉴스웍스가 같은 내용을 보도했습니다. 교육부 사이버안전센터가 10월 5일 대전시교육청의 구글 계정 침해 사고를 접수한 데 이어 10월 12일 서울시교육청에서도 관련 사고를 접수했고, 교육부는 10월 13일 전국 시·도교육청에 긴급 공문을 보냈습니다. 요구 사항은 네 가지입니다. 첫째 학생·교직원 구글 계정 비밀번호를 대소문자·숫자·특수문자를 섞은 보안성 높은 조합으로 전면 변경, 둘째 관리자 계정부터 2단계 인증 필수 적용, 셋째 졸업·전학 등으로 장기간 사용하지 않는 계정의 비활성화 또는 삭제, 넷째 비밀번호를 다른 사이트와 돌려쓰지 않도록 안내하고 의심스러운 접속이나 무단 변경을 즉시 신고하도록 하는 것입니다. 결과는 1차 10월 16일, 2차 10월 20일까지 공문으로 보고해야 하고, 침해가 의심되면 사이버안전센터에 즉시 신고하도록 했습니다. 표적이 된 계정의 정체도 공문에 적혔습니다. 코로나19 시기 원격수업을 위해 학교가 만든 구글 워크스페이스 업무용 계정입니다. 서울의 피해 규모와 계정 내 자료 접근 여부는 10월 13일 보도 시점까지 확인되지 않았습니다. 먼저 숫자를 정확히 맞춰 두겠습니다. 대전일보 2026년 10월 6일 16시 54분 보도에 따르면 대전에서 비밀번호가 무단 변경된 계정은 7만 4,246개이고, 내역은 학교 계정 7만 2,773개와 기관 계정 1,473개입니다. 대상 200곳의 내역도 학교 195곳과 기관 5곳입니다. 더해 보면 7만 2,773+1,473=7만 4,246이고 195+5=200으로 맞습니다. 다른 보도에 나오는 '7만 5,000여 개'와 '7만여 개'는 이 7만 4,246개를 반올림하거나 어림한 값이어서, 서로 다른 집계가 아닙니다.

이 사고를 읽을 때 가장 먼저 바꿔야 할 것은 사고의 이름입니다. 공개된 사실관계에서 확인된 것은 '개인정보 유출'이 아니라 '비밀번호 무단 변경'입니다. 둘은 단계가 다릅니다. 명단이 복사돼 나갔다는 것은 데이터가 밖으로 나간 사건이지만, 비밀번호가 바뀌었다는 것은 누군가 그 계정에 들어가서 소유권을 바꿔 놓았다는 뜻입니다. 계정 통제권이 넘어가면 그 계정으로 접근할 수 있는 모든 것이 함께 열립니다. 구글 워크스페이스 교육용 계정에는 보통 클래스룸의 과제와 수업 자료, 드라이브에 쌓인 파일, 계정에 묶인 메일이 들어 있습니다. 교육플러스와 뉴스웍스가 10월 13일 보도에서 공통으로 '아직 확인되지 않았다'고 적은 항목이 바로 이 지점입니다. 실제로 몇 개 계정에 로그인이 이뤄졌는지, 클래스룸이나 드라이브의 자료가 열람되거나 빠져나갔는지가 공개되지 않았습니다. 대전시교육청은 10월 6일 기준으로 개인정보 유출이 확인되지 않았고 내부망 침입 흔적도 없으며 2차 피해 신고도 접수되지 않았다고 밝혔습니다. 다만 이것은 '유출이 없었다'와 같은 말이 아니라 '아직 확인되지 않았다'입니다. 충청투데이 10월 13일 보도에서 교육청 관계자는 공식적으로 확인된 유출 항목은 아이디와 비밀번호이며 성명·소속 학교·연락처 등이 함께 새어 나갔을 가능성은 배제하지 못한다고 설명했고, 로그 분석이 진행 중이라고 했습니다. 즉 지금은 통지가 나갈 단계가 아니라 조사가 진행되는 단계입니다. 학교나 교육청의 개별 통지문을 기다렸다가 움직이면 늦습니다.

두 번째로 볼 것은 시간 순서입니다. 교육플러스 10월 8일 13시 21분 보도로 복원되는 대전의 기록은 이렇습니다. 9월 28일부터 10월 1일 사이 로그인 실패와 비정상 접근이 확인됐고, 10월 1일 교육청이 구글에 원인 분석과 공격 차단을 요청했고, 10월 2일 각 학교에 비밀번호 변경을 안내했고, 10월 3일 구글의 차단 시도가 실패했고, 10월 4일 22시 13분 구글이 대량 비밀번호 변경을 통보하자 교육청이 그날 밤 전 계정을 비활성화해 로그인을 차단했습니다. 10월 7일 교육청과 구글의 첫 대면 회의가 열렸습니다. 대전일보 보도도 10월 4일 22시경 무단 변경을 확인했고 9월 28일부터 10월 1일 사이 계정 장애가 있어 서버 점검을 했다고 적어 두 보도의 날짜가 일치합니다. 여기서 눈에 걸리는 것은 10월 2일과 10월 4일의 간격입니다. 교육부가 10월 13일 전국에 지시한 1번 조치, 즉 비밀번호 변경은 대전에서 이미 10월 2일에 각 학교로 안내됐던 조치입니다. 그리고 그 이틀 뒤에 7만 4,246개 계정의 비밀번호가 무단으로 바뀐 것이 확인됐습니다. 안내 공문이 실제로 몇 개 계정의 변경으로 이어졌는지는 공개되지 않았으므로 '비밀번호를 바꿔도 뚫렸다'고 단정할 수는 없습니다. 확인되는 것은 여기까지입니다. 공문 한 장과 사고 종결 사이에 이틀의 간격이 있었고, 로그인을 실제로 멈춘 조치는 변경 안내가 아니라 계정 전면 비활성화였다는 것입니다. 학부모 입장에서 이 간격이 뜻하는 바는 분명합니다. 학교에서 '비밀번호를 바꾸라'는 안내가 오면 그것은 조치의 완료가 아니라 시작이고, 안내문을 받아 둔 것과 실제로 바꾼 것은 다릅니다. 교육부 조치 1번은 집에서 미루면 아무도 대신 해 주지 않는 항목입니다.

세 번째가 이 사고에서 가장 덜 다뤄진 지점이고, 학부모가 놓치기 가장 쉬운 곳입니다. 위험이 큰 계정은 지금 쓰는 계정이 아니라 아무도 쓰지 않는 계정입니다. 충청투데이 10월 13일 보도에 따르면 대전에서는 계정 보관 기간과 삭제 시점에 통일된 기준이 없었고, 졸업생과 퇴직 교직원의 계정을 지울지는 학교·기관 관리자 각자의 판단에 맡겨져 있었습니다. 그래서 오래된 계정이 그대로 남아 있었고, 졸업생과 퇴직 교직원의 개인정보도 유출 가능성이 거론됐습니다. 대전시교육청은 사고 인지 나흘쯤 뒤인 10월 8일 개인정보보호 담당자 연수를 열어 더 이상 쓰지 않는 졸업생 계정을 비활성화하거나 삭제하라고 안내했습니다. 교육부가 10월 13일 전국 공문에 넣은 3번 조치도 같은 지점을 겨냥합니다. 왜 이 계정이 더 위험한지는 2번 단락에서 본 탐지 구조를 뒤집어 보면 드러납니다. 이번 사고에서 가장 먼저 울린 경보는 보안 장비가 아니라 '로그인이 안 된다'는 사용자의 신고였습니다. 그런데 졸업하거나 전학한 아이의 계정에는 로그인하는 사람이 없습니다. 비밀번호가 바뀌어도 아무도 로그인을 시도하지 않으므로 실패가 발생하지 않고, 따라서 유일한 조기 신호도 발생하지 않습니다. 가장 조용한 계정이 가장 늦게 발견되는 계정입니다. 그리고 그 계정 안에는 코로나19 원격수업 시기에 제출한 과제와 사진, 당시 쓴 메일이 그대로 남아 있을 수 있습니다. 학부모 대부분은 그 계정이 아직 살아 있다는 사실 자체를 기억하지 못합니다. 지금 중학생이나 고등학생인 자녀가 초등학교 때 받은 계정, 이사하면서 전학한 전 학교의 계정, 이미 졸업한 큰아이의 계정이 모두 여기에 해당합니다.

네 번째로, 이 사고의 원인 규명 주체가 아직 정리되지 않았다는 점도 함께 알고 있는 편이 낫습니다. 교육플러스 10월 8일 보도에 따르면 구글은 대전시교육청에 자사 시스템에서는 침해 흔적이 확인되지 않았다고 통보하고, 관리자 콘솔의 로그인·비밀번호 변경 기록 추출과 분석, 2단계 인증, 비밀번호 초기화를 지원하겠다고 했습니다. 원인 규명은 사실상 교육청 쪽에 남겨진 모양새였고, 교육청은 관리자 계정에 2단계 인증을 적용하고 있었으며 학생 비밀번호를 저장하지 않고 내부 점검에서 악성코드도 발견되지 않았다고 밝혔습니다. 교육청 로그에서는 파리의 IP 주소로 추적되는 로그인 시도가 확인됐지만, 그것이 공격자인지 경유 서버인지는 불명확합니다. 즉 10월 14일 현재 공개된 범위에서 유입 경로는 확정되지 않았습니다. 전국교직원노동조합 등이 10월 6일 민간 플랫폼 의존 구조와 국가 책임 강화를 요구하며 전국 학교·교육청이 쓰는 온라인 학습 플랫폼의 계정 관리·보안 실태를 전면 점검하라고 촉구한 배경도 이것입니다. 10월 7일 국회 교육위원회 국정감사에서는 강경숙 의원이 코로나19 이후 에듀테크 플랫폼에 표준 관리 매뉴얼이 없다는 점을 지적했고, 최교진 교육부 장관은 사안을 매우 심각하게 보고 있다며 '전수조사를 최대한 실시해 보고드리도록 하겠다'고 답했습니다. 숫자를 읽을 때 주의할 점도 두 가지 적어 둡니다. 하나, 7만 4,246개는 계정 수이지 학생 수가 아닙니다. 교직원 계정과 졸업생·퇴직자 계정이 섞여 있어 그 학교의 현 재학생 수와 일대일로 대응하지 않습니다. 둘, 학교 계정 7만 2,773개를 학교 195곳으로 나누면 한 곳당 평균 373.2개가 되지만(7만 2,773÷195=373.19), 이것은 전체를 학교 수로 나눈 평균일 뿐입니다. 학교 규모와 계정 발급·정리 이력이 학교마다 다르므로 특정 학교의 계정 수를 이 평균으로 가늠하면 안 됩니다. 접수 간격도 보도마다 조금씩 다르게 적혀 있습니다. 교육부 접수일 기준으로 대전 10월 5일에서 서울 10월 12일은 7일 간격이고, 대전 접수에서 전국 공문 발송 10월 13일까지가 8일입니다.

그러니 오늘 할 일은 학교 안내문을 기다리는 것이 아니라, 우리 집에 살아 있는 학교 구글 계정을 세어 보는 것입니다. 교육부가 요구한 네 가지 조치 가운데 1번과 4번은 가정에서만 완결됩니다. 첫째, 자녀에게 학교에서 받은 구글 계정(보통 '아이디@학교 또는 교육청 도메인' 형태)으로 지금 로그인이 되는지 확인하게 하십시오. 로그인이 안 되거나 비밀번호가 바뀌어 있다면 추측하지 말고 바로 학교 담당 교사나 정보 담당 부서에 알리고, 교육부 조치 4번에 따라 무단 변경으로 신고되게 하십시오. 로그인이 된다면 그 자리에서 대소문자·숫자·특수문자를 섞은 새 비밀번호로 바꾸십시오. 둘째, 그 비밀번호를 다른 사이트와 돌려쓰고 있었는지 반드시 물어보십시오. 게임·커뮤니티·메일에 같은 비밀번호를 썼다면 피해 범위가 학교 밖으로 넓어지고, 이것은 학교가 대신 막을 수 없는 항목입니다. 같은 비밀번호를 쓴 곳도 모두 바꾸십시오. 셋째, 졸업하거나 전학한 자녀가 있다면 전 학교의 계정이 아직 살아 있는지 확인하고, 남아 있다면 학교에 비활성화 또는 삭제를 요청하십시오. 교육부 조치 3번의 대상이지만 관리자가 그 계정의 존재를 모르면 정리되지 않습니다. 보호자의 요청이 목록을 만드는 가장 빠른 길입니다. 넷째, 날짜를 기억해 두십시오. 각 교육청은 1차 결과를 10월 16일, 2차 결과를 10월 20일까지 교육부에 보고해야 합니다. 그 사이 학교에서 가정통신문이나 알림 앱으로 비밀번호 변경 안내가 올 가능성이 높습니다. 대전에서 안내와 대량 무단 변경 사이의 간격이 이틀이었다는 점을 생각하면, 안내를 받은 날 바로 처리하는 것과 주말로 미루는 것은 다른 선택입니다. 다섯째, 학교의 정보공시로 확인할 수 있는 항목도 있습니다. 학교알리미(schoolinfo.go.kr)에서 자녀 학교를 찾아 정보공시 항목 중 학교운영위원회와 학교 교육계획 관련 자료를 열어 보면 그 학교가 어떤 온라인 학습 플랫폼을 쓰는지 단서를 얻을 수 있고, 학교운영위원회 회의록이 공개돼 있다면 이번 조치가 언제 어떻게 처리됐는지 안건으로 확인하거나 다음 회의에서 질의할 수 있습니다. 구글 계정을 쓰지 않는 학교라도 다른 플랫폼에 같은 구조의 방치된 계정이 있을 수 있습니다.