2026년 8월 15일 서강대 통합 로그인 시스템에서 재학생·졸업생·교직원 18만 건의 개인정보가 유출됐다. 박근혜 전 대통령 정보까지 포함된 이유와 사고 경위.
2026년 8월 15일 오후, 서강대학교는 통합 로그인 시스템에서 개인정보 약 18만 건이 유출됐다고 공식 발표했다. 재학생과 졸업생, 교직원의 학번, 이름, 이메일, 휴대전화번호, 암호화된 비밀번호가 노출됐다. 유출 대상엔 이 학교 전자공학과 70학번 졸업생인 박근혜 전 대통령의 정보도 포함돼 있었다.
서강대에 따르면 신원 미상의 외부 공격자가 통합 로그인 계정 정보에 비인가 접근을 시도했다. 학교 측은 이 과정에서 일부 정보의 유출 정황을 확인했다고 밝혔다. 유출된 항목은 학번(또는 사번), 이름, 소속, 이메일 주소, 휴대전화번호, 그리고 암호화된 통합 비밀번호였다. 주민등록번호 같은 고유식별정보는 유출 대상에 포함되지 않았다고 학교 측은 설명했다.
학교는 사고를 인지한 직후 공격 IP를 차단하고 해당 서비스 접근을 제한했다. 망분리 조치도 함께 시행했다. 개인정보보호위원회와 교육부에도 신고했다.
공격 방식에 대한 공식 발표는 "신원 미상의 외부 공격"이라는 표현에 그쳤다. 로그인 시스템을 노린 대규모 데이터 유출에서 흔히 나타나는 패턴은 무작위 대입(credential stuffing·brute force)이다. 서강대가 구체적으로 어떤 방식을 특정했는지는 이번 발표에서 확인되지 않았다.
무작위 대입 공격은 짧은 시간 안에 같은 로그인 페이지로 수많은 시도가 몰린다는 특성이 있다. 로그인 실패율 급증, 특정 IP·대역에서 오는 비정상적 요청 빈도, 짧은 시간에 여러 계정을 순차 시도하는 패턴이 대표적인 탐지 신호다. 다른 사이트에서 이미 유출된 아이디·비밀번호를 그대로 대입하는 크리덴셜 스터핑(credential stuffing)은 성공률이 더 높아 공격자에게 유리한 변형이다.
이번 사고에서 정확히 어떤 방식이 쓰였는지는 서강대 발표로 특정되지 않았다. 다만 통합 로그인 시스템처럼 계정 수와 평소 로그인 시도량이 많은 환경에서는, 공격 신호가 정상 트래픽에 묻혀 탐지가 더 어려워진다.
기사 제목만 보면 특정 인물을 노린 표적 공격처럼 읽히지만, 실제로는 그렇지 않다. 박근혜 전 대통령은 서강대 전자공학과 70학번 졸업생이다. 이번에 유출된 건 재학생·졸업생·교직원을 아우르는 통합 데이터베이스 18만 건 전체다. 그 안에 졸업생 신분으로 박 전 대통령의 정보도 포함돼 있었을 뿐이다.
서강대는 유출 대상 여부를 확인할 수 있는 조회 페이지를 마련했다. 이름과 학번을 입력하면 본인 정보가 유출 대상에 포함됐는지 안내받는 방식이다. 유명 인사의 정보가 섞여 있었다는 사실이 이번 사고를 더 눈에 띄게 만들었을 뿐, 공격의 성격 자체를 바꾸는 요소는 아니다.
대학교 통합 로그인 시스템은 매력적인 표적이다. 재학생부터 수십 년 치 졸업생까지 누적된 개인정보가 한 데이터베이스에 쌓여 있고, 시스템은 학사 행정 편의를 위해 여러 서비스(도서관, 학사포털, 이메일, 취업 플랫폼)와 연동돼 접점이 많다. 반면 보안 투자는 상대적으로 기업보다 후순위로 밀리는 경우가 많다.
학번을 아이디로 쓰는 관행도 위험을 키운다. 학번은 입학연도와 학과 코드가 포함된 예측 가능한 형식이라, 무작위 대입 공격에서 아이디 후보를 줄이는 데 유리하게 작용할 수 있다.
여기에 졸업생 계정이라는 특성도 겹친다. 재학생과 달리 졸업생은 학교 시스템에 로그인할 일이 거의 없다 보니, 비밀번호를 오랫동안 바꾸지 않았거나 다른 사이트와 같은 비밀번호를 쓰고 있을 가능성이 상대적으로 높다. 이번 유출 대상에 수십 년 전 졸업생까지 포함된 것도 이런 구조와 무관하지 않다.
이번이 처음도 아니다. 2024년 7월 전북대학교 통합정보시스템 '오아시스'가 세 차례에 걸친 공격 끝에 뚫려 재학생·졸업생·평생교육원 회원 32만여 명의 개인정보가 유출됐다. 유출 항목도 이름·주민등록번호·주소·가족관계까지 서강대보다 많았다. 두 사고 모두 표적은 "학교 하나가 수십 년 치 데이터를 모아둔 통합 시스템"이라는 같은 구조였다.
서강대 재학생·졸업생이라면 학교가 마련한 유출 확인 페이지에서 본인 정보 포함 여부를 먼저 확인하는 게 첫 단계다. 확인 절차는 다음과 같이 정리할 수 있다.
이번 사고는 특정 개인을 겨냥한 표적 공격이 아니라 시스템 전체를 노린 대규모 유출이다. 다른 국내 대학·교육기관의 통합 로그인 시스템에도 같은 위험이 잠재해 있다고 볼 수 있다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.