어제 오전 9시, 초등 수업 플랫폼 유출 사고의 「추가 유출」 통지가 7개월 만에 다시 나갔습니다 — 털린 것은 교사의 이름·휴대전화·소속 학교였고, 교육부가 3월에 주의 공문을 보낸 대상은 교사가 아니라 학부모였습니다

어제 2026년 10월 25일 오전 9시경, 초등 교사용 디지털 수업 플랫폼을 운영하는 한 교육업체가 해당 교사들에게 문자를 보냈습니다. 개인정보가 추가로 유출된 사실이 확인됐다는 내용입니다. 에듀프레스 장재훈 기자가 10월 25일 10시 58분에 입력하고 14시 53분에 수정한 단독 보도에 따르면, 회사는 지난 3월 사고를 자체 점검하는 과정에서 3월에 확인하지 못한 유출 내역이 있다는 점을 확인했다고 설명했습니다. 해커가 경로를 알 수 없는 방법으로 2025년 6월경 시스템에 접속해 개인정보를 조회한 것으로 추정된다는 것이 회사 설명입니다. 현재까지 파악된 유출 항목은 아이디, 이름, 이메일, 닉네임, 생년월일, 성별, 휴대전화번호와 학교명·학교 주소·학교 연락처입니다. 비밀번호와 결제정보는 유출되지 않았다고 회사는 덧붙였습니다. 추가로 확인된 유출 인원이 몇 명인지는 공개되지 않았습니다. 사고의 경과를 날짜로 정리하면 이렇습니다. 2026년 3월 8일 보안 사고가 발생했고, 3월 11일 회사가 홈페이지에 일부 회원의 개인정보가 외부로 유출됐다고 공지했으며, 사실을 인지한 즉시 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고하고 긴급 보안 점검과 시스템 보완 조치를 진행했다고 밝혔습니다(전자신문 에듀플러스 이지희 기자 3월 15일 14시). 즉 어제 통지는 새로운 사고가 아니라 같은 사고의 추가 확인분이고, 3월 공지로부터 약 7개월, 해커 접속 추정 시점으로부터 약 16개월 뒤에 나온 통지입니다.

발견 경위를 한 번 더 보면 이 사고의 성격이 달라집니다. 회사가 자체 점검으로 처음 찾아낸 것이 아닙니다. 머니투데이 황예림 기자가 6월 10일 16시 20분에 보도한 바에 따르면, KISA가 다른 기관의 유출 사고를 조사하던 중 유출된 정보 안에서 이 업체 회원 정보를 발견해 회사에 정황을 전달했고, 회사는 통보를 받은 뒤 수시간 내에 신고 조치를 마쳤습니다. 규모는 보도마다 다릅니다. 같은 머니투데이 기사는 조사가 최근 마무리됐다며 약 20만건으로 파악됐다고 적었고, 뉴스1 조수빈 기자는 3월 17일 10시 9분 기사 제목에 교사 17만명을 적으면서 일주일째 규모가 공개되지 않고 있다고 보도했으며, 회사 공식 공지에는 규모가 들어 있지 않습니다. 머니투데이는 전국 초등교원을 작년 기준 약 19만3000명으로 인용해 전국 초등교사 대부분이 피해를 입었을 가능성을 제기하면서도, 실제 피해 교사 수가 확인된 것은 아니라고 같은 기사에서 분명히 적었습니다. 공식 통계로 모수를 확인하면 2026년 교육기본통계 기준 초등학교 교원은 191,472명으로 전년보다 1,599명 줄었고, 초등학교는 6,191개교, 초등학생은 2,219,370명, 초등 학급당 학생 수는 18.6명입니다(교육부 8월 26일 발표). 여기서 계산을 하나 하지 않고 넘어가야 합니다. 20만건은 레코드 기준 추산치이고 191,472명은 사람 수이므로, 20만 ÷ 191,472 같은 나눗셈으로 피해율을 만들 수 없습니다. 중복 계정이나 교사가 아닌 회원이 섞여 있을 수 있기 때문입니다. 두 숫자에서 확인할 수 있는 것은 비율이 아니라 자릿수가 같다는 사실까지입니다. 그리고 그 자릿수가 보도의 대부분이라는 표현을 낳았습니다.

그렇다면 학부모는 이 뉴스를 어떻게 읽어야 할까요. 가장 먼저 눈에 들어오는 문장은 학생과 학부모 정보가 유출됐다는 확인이 없다는 것입니다. 머니투데이는 학급 알림 서비스와 AI 디지털교과서가 이 수업 플랫폼과 분리된 외부 클라우드 서버에서 운영돼 학부모·학생 피해는 제한적일 것으로 봤습니다. 3월 보도에서 한 서울 성북구 초등 교사가 플랫폼에 학생 이름과 얼굴이 들어 있어 걱정된다고 말했지만, 학생 정보가 실제로 유출됐다는 확인은 어느 보도에도 없습니다. 그런데 바로 이 지점에서 많은 가정이 잘못된 안심으로 넘어갑니다. 교육부가 지난 3월 2차 피해를 막기 위해 주의 촉구 공문을 보낸 대상이 교사가 아니라 학부모였다는 사실이 그 이유를 말해 줍니다. 교육부는 "유출사고로 인한 2차 피해가 발생하지 않도록 학부모 주의 촉구 공문 발송 등 대응하고 있다"고 밝혔고, "개인정보보호위원회가 유출 사고를 조사하고 있고, 우리도 모니터링하면서 필요시 적극 협조할 계획"이라고 설명했습니다(뉴시스 이현주 기자 3월 16일 15시 50분 등록·16시 20분 수정). 교사노동조합연맹은 교사의 이름·연락처·학교 정보가 결합돼 노출되면 스팸·피싱·사칭·악성 민원·스토킹 등 다양한 2차 피해로 이어질 위험이 크다고 지적했습니다. 이 다섯 가지 가운데 사칭의 표적은 교사 본인이 아닙니다. 담임의 이름을 알고, 담임의 휴대전화번호를 쓸 수 있고, 그 담임이 어느 학교 소속인지 아는 사람이 연락할 상대는 그 반 학부모입니다. 사칭 문자를 만드는 데 필요한 재료는 학부모 본인의 이름이나 전화번호가 아니라 「교사 실명 + 휴대전화번호 + 소속 학교」이고, 이번에 한 줄로 묶여 나간 것이 정확히 그 세 가지입니다. 그래서 내 정보는 유출되지 않았다는 사실은 이 사고에서 안전의 근거가 되지 못합니다. 유출 항목에 비밀번호가 없다는 설명도 같은 방식으로 읽어야 합니다. 비밀번호가 빠졌다는 것은 계정을 빼앗길 위험이 낮다는 뜻이고, 사칭은 비밀번호를 필요로 하지 않습니다.

정확하게 짚어야 할 지점이 두 가지 더 있습니다. 첫째, 보도 제목에 등장하는 학교 정보는 그 자체로 비밀이 아닙니다. 학교명과 소재지 주소는 공공데이터포털에 올라 있는 전국초중등학교위치표준데이터에서 누구나 내려받을 수 있는 공개정보입니다. 이 데이터셋은 한국교육시설안전원이 제공하고 소관 기관은 교육부이며, 제공 항목은 학교ID, 학교명, 학교급구분, 설립일자, 설립형태, 본교분교구분, 운영상태, 소재지지번주소, 소재지도로명주소, 시도교육청명, 교육지원청명, 위도, 경도 등이고 데이터기준일자는 2026년 10월 1일입니다. 눈여겨볼 점은 이 공개 데이터셋에 학교 전화번호 항목이 없다는 것입니다. 학교 대표번호는 각 학교 홈페이지에 공개돼 있으므로 찾기 어려운 정보는 아니지만, 공공 표준데이터로 한꺼번에 배포되는 항목은 아닙니다. 그래서 이번 유출로 새로 생긴 위험은 공개정보가 공개됐다는 데 있는 것이 아니라, 어느 학교의 누가 어느 휴대전화번호를 쓰는지가 한 줄로 결합됐다는 데 있습니다. 공개정보 세 칸과 비공개 정보 한 칸이 같은 행에 놓이는 순간 전체가 사칭 재료로 바뀝니다. 둘째, 통지가 늦었다는 인상을 법 위반으로 바로 연결하지 않는 것이 정확합니다. 「개인정보 보호법」 제34조와 같은 법 시행령 제40조에 따른 72시간은 유출이 일어난 시점이 아니라 유출을 알게 된 때부터 계산됩니다. 신고 대상은 1천명 이상 정보주체의 개인정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 처리시스템이나 기기에 대한 외부로부터의 불법적인 접근으로 유출된 경우이고, 기간 내 신고하지 않으면 같은 법 제75조 제2항 제18호에 따라 3천만원 이하의 과태료가 부과됩니다(개인정보보호위원회 유출신고 안내). 따라서 2025년 6월경 접속 추정과 2026년 10월 25일 통지 사이의 약 16개월이라는 간격만으로 위법 여부를 판단할 수는 없습니다. 학부모가 가져갈 함의는 법적 판단이 아니라 시간 감각입니다. 처음 발견이 회사가 아니라 KISA의 다른 사건 조사에서 나왔고, 3월 공지 뒤 7개월이 지나 추가 유출분이 나왔습니다. 통지는 사건의 종료 신고가 아니라 중간보고이고, 어제 통지도 마지막이라고 전제할 근거가 없습니다. 참고로 개인정보보호위원회는 조사 결과를 바탕으로 과징금 부과 여부와 수준을 결정하게 되며, 아직 결정되지 않았습니다.

학교 밖 업체 사고와는 별개로 하나의 축이 더 있다는 점도 함께 보시는 것이 좋습니다. 경향신문 김원진·김송이 기자가 3월 17일 06시에 보도한 정보공개청구 결과에 따르면, 2021~2025년 5년간 초·중·고교와 대학, 두 개 이상 학교급을 함께 운영하는 통합학교에서 302건의 개인정보 유출 사고가 발생해 최소 266만17명의 학생·교직원 정보가 유출됐습니다. 초·중·고교의 경우 상당수가 외부 해킹이 아니라 교직원 부주의로 발생했고, 그중 약 절반은 성적 정보가 담긴 문서를 SNS 단체대화방에 올려 생긴 일이었습니다. 경기도교육청은 2023~2025년 56건 가운데 20건이 단체대화방에서 발생했고, 지난해 2월 강원의 한 고등학교에서는 반편성 파일이 학급 단체채팅방에 올라가 323명의 성적 정보가 유출됐으며, 같은 달 강원의 한 초등학교에서는 반편성 명부를 복도에 게시해 10명의 학생 정보가 노출됐는데 그 명부에는 학업 부진과 한부모 가정 여부가 표기돼 있었습니다. 두 축을 합쳐 보면 학부모가 관리할 수 있는 영역이 어디인지가 분명해집니다. 업체 서버의 보안은 학부모가 손댈 수 없고 개인정보보호위원회의 조사 결과를 기다려야 하지만, 사칭 연락에 반응하는 방식은 오늘 바꿀 수 있습니다.

그래서 오늘 하실 수 있는 일은 분명합니다. 자녀 학교의 대표번호를 지금 휴대전화에 저장해 두시기 바랍니다. 각 학교 홈페이지 또는 학교알리미(schoolinfo.go.kr)의 학교 검색으로 확인할 수 있습니다. 이 한 가지가 왜 핵심인지는 유출 항목을 다시 보면 알 수 있습니다. 학교 연락처까지 유출됐기 때문에 사칭 문자에 진짜 학교 번호가 적혀 있을 수도 있고, 반대로 담임 휴대전화번호가 바뀌었다며 새 번호를 알려 주는 방식도 가능합니다. 그래서 확인의 원칙은 문자에 적힌 번호로 되걸지 않고, 미리 저장해 둔 대표번호로 직접 전화해 담임 연결을 요청하는 것입니다. 두 번째로, 학교가 공식적으로 쓰는 연락 창구가 무엇인지 가정통신문이나 학교 알림 앱에서 한 번 확인해 두시기 바랍니다. 학급 공지, 결석 신고, 상담 신청이 어느 경로로 오고 가는지 가족이 함께 알고 있으면 그 밖으로 들어오는 연락은 전부 확인 대상이 됩니다. 교육부가 3월에 발송한 학부모 주의 촉구 공문에 따른 안내가 학교에서 왔는지, 어제 10월 25일 추가 유출 확인에 따라 다시 안내가 오는지도 함께 살펴보시면 좋겠습니다. 세 번째로, 기준을 하나 정해 두시기 바랍니다. 담임이나 학교를 자처하는 연락이 금전 송금을 요구하거나, 링크를 눌러 앱을 설치하라고 하거나, 주민등록번호와 계좌번호 같은 정보를 문자로 보내라고 하면, 내용이 아무리 자연스럽고 담임 이름과 학교명이 정확하더라도 그 자리에서 응답하지 않고 저장해 둔 대표번호로 확인합니다. 이름과 학교명이 정확한 것은 이번 사고 이후 신뢰의 근거가 아니라 오히려 확인이 필요하다는 신호에 가깝습니다. 마지막으로, 자녀가 다치거나 사고가 났다는 급박한 내용일 때가 가장 위험합니다. 그럴 때도 순서는 같습니다. 문자에 적힌 번호가 아니라 저장해 둔 학교 대표번호로 먼저 확인하시기 바랍니다.