미·영 교육부와 학교, 대학이 연달아 타사 서비스 침해 여파로 학생·교직원 정보를 유출하며 교육 분야 공급망 보안의 허술함이 드러나다
- Dark Reading에 따르면 최근 미국과 영국의 교육기관 다수가 직접 해킹이 아닌 ‘제3자 서비스 침해’로 인해 민감한 학생 기록, 재무 정보, 인사 데이터가 유출되는 사건이 연이어 발생하고 있으며, 학사 시스템, 학습관리시스템(LMS), 급식·교통 관리 솔루션, 대학 후원자 관리 시스템 등 다양한 SaaS와 위탁업체가 공격자 침투 경로로 악용되었다.
- 기사에서는 여러 사례를 묶어 분석하면서, 한 교육 기술 공급업체의 클라우드 환경이 침해되자 이를 사용하는 수십 개 학교와 대학의 데이터가 동시에 노출되었고, 또 다른 사례에서는 재무·기숙사 관리 서비스를 제공하는 외부 업체의 보안 설정 오류로 인해 수년치 학생 재무 기록과 기숙사 배정 정보가 인터넷에서 열람 가능해졌음을 지적하며, 교육기관이 자체 보안에 투자하면서도 정작 위탁업체와 SaaS의 보안 수준을 체계적으로 검증하지 못하고 있다고 비판했다.
- 정량적으로는 일부 사건에서 수십만 명에 달하는 학생·교직원 데이터가 영향을 받았으며, 한 사례에서는 약 300개 교육기관이 동일한 서드파티 침해의 여파를 공유했다고 전해졌다. 피해 데이터에는 이름, 주소, 성적, 건강 정보, 재정지원 기록, 계좌 정보 등이 포함되어, 장기적인 신원 도용과 금융 사기, 표적 피싱 위험을 높이고 있다.
- 이러한 제3자 침해 확산은 교육기관이 예산과 인력 부족으로 자체 시스템 개발 대신 SaaS와 외주에 의존하면서, 공급망 전체의 보안 수준이 최약 고리 수준으로 떨어지는 구조적 문제를 반영한다. 특히 클라우드 기반 학습 플랫폼, 온라인 시험 시스템, 디지털 도서관 서비스 등이 중앙집중식 타깃이 되어, 단 한 번의 침해로 전국 또는 국제적으로 다수 기관 데이터를 동시에 노출시키는 사례가 늘고 있다.
- 한국 교육부와 시·도 교육청, 대학들은 디지털 전환 정책을 추진하며 LMS, 원격 수업, 전자학적부, 급식·교통 시스템 등에서 해외·국내 SaaS에 대한 의존도가 빠르게 증가하고 있다. 따라서 Dark Reading이 지적한 사례를 반면교사로 삼아, 교육기관이 이용하는 모든 서드파티 서비스에 대해 보안 인증, 침해 대응 능력, 로그 보관, 데이터 암호화, 하도급 관리 등을 요구하는 표준 계약 조항을 마련하고, 일정 규모 이상의 교육 SaaS를 국가 중요정보통신기반시설에 준하는 수준으로 관리하는 방안을 검토해야 한다.
- 또한 한국 정부는 교육 분야를 사이버 안보 정책의 주변이 아닌 핵심 영역으로 간주할 필요가 있다. 학생·교직원 데이터는 미래 인재와 공공 부문 인력의 기반 정보이자, 사회 공학 공격과 정치적 표적화에 활용될 수 있는 민감 데이터인 만큼, 교육기관 공급망 보안을 강화하면 장기적으로 국가 안보와 민주주의 보호에 기여하는 효과가 있다.
교육기관의 연쇄적인 제3자 침해는 ‘학교 보안’을 넘어 ‘국가 데이터 공급망 안보’ 문제로, 한국은 교육 SaaS와 위탁업체에 대한 최소 보안 기준과 사고 통보 의무를 법제화해야 한다.
주요 용어: 제3자 침해(직접 공격이 아닌 외부 서비스·위탁업체를 통해 발생하는 침해), SaaS(클라우드를 통해 제공되는 소프트웨어 서비스), 교육 공급망 보안(교육 시스템 운영에 참여하는 모든 외부 서비스와 업체의 보안을 포함한 개념)
출처: Dark Reading