대학가 해킹 '몸살'…부경대 학생 5106명 정보 유출

수협은행 캠퍼스e모아시스템 취약점 악용…공격 사흘 만에 금전 요구받고 인지

서강대학교와 연세대학교에 이어 국립부경대학교에서도 해킹으로 학생과 교직원의 개인정보가 유출됐다. 피해자는 학생 5106명과 직원 2명이다. 대학은 공격이 시작된 지 사흘 만에 해커의 금전 요구를 받고서야 사고를 알았다.

부경대에 따르면 외부 공격자는 수협은행의 캠퍼스e모아시스템 취약점을 악용해 비인가 관리자 계정을 만들었다. 공격은 지난 17일 낮 12시57분부터 18일 오전 9시27분까지 20시간 넘게 이어졌다.

학생은 이름, 학번, 학과, 등록금 수납액, 가상계좌 번호가 유출됐다. 직원은 이름, 부서, 직급, 내선전화와 휴대전화 번호, 이메일이 나갔다. 주민등록번호는 포함되지 않았다.

국립부경대학교 웹사이트 홈화면. (사진=부경대)

부경대는 20일 오후 9시40분쯤 금전 요구를 받고 유출 사실을 확인했다. 이후 수협은행과 긴급회의를 열어 신규 회원가입을 막고 비인가 계정을 비활성화했다. 교육부와 개인정보보호위원회에 신고했고, 경찰에 수사를 의뢰했다. 

피해자에게는 개별 통지하고, 수협은행이 운영하는 콜센터도 열었다. 회원가입 인증은 강화하고 대량 조회는 제한할 계획이다.

학교 관계자는 보이스피싱과 스미싱 피해가 우려된다며 공식 채널로 사실을 확인하라고 당부했다.

대학 해킹은 최근 3개월 사이 잇따랐다. 서강대는 8월11일 발생한 유출을 14일 인지하고, 15일 전현직 학생 등 18만여건이 빠져나갔다고 밝혔다. 계정 정보를 무차별로 대입하는 공격이 원인으로 지목됐고, 서울경찰청이 수사 중이다.

서울사이버대는 10월4일 한국인터넷진흥원 통보로 유출 정황을 확인하고 다음 날 신고했다. 학생과 교직원의 이름, 연락처가 유출됐다. 연세대는 20일과 21일 두 차례 포털 정보가 유출돼 학생 등 1만여명이 피해를 봤다고 22일 공지했고, 서울경찰청 사이버범죄수사대가 내사에 착수했다.

교육부 자료에 따르면 지난해 전국 대학 380곳에서 탐지되거나 신고된 사이버 침해는 8만310건이다. 2024년 6만856건보다 32.0% 늘었고, 올해는 상반기에만 5만5226건이 탐지되거나 신고됐다.

9월11일 시행된 개정 개인정보 보호법은 반복되거나 중대한 위반에 매출의 최대 10%까지 과징금을 물릴 수 있게 했고, 대표자의 책임도 명시했다. 국회 정무위원회에는 관련 법안 6건이 계류 중이다.