2025.9.08 제주 중학생 교내 수백명 개인정보·성적 유출

 

사건 개요

• A군(촉법소년)이 일부 교사·학생의 구글 워크스페이스 계정에 무단 접속한 사건.
• 교육청 설명에 따르면 학교가 교사·학생에게 일정한 패턴의 아이디와 동일한 초기 비밀번호를 배포했고, 일부가 비밀번호를 변경하지 않아 침입이 가능해짐.
• A군은 초기 비밀번호를 추측·시도하다 비밀번호를 변경하지 않은 계정에 접근한 것으로 추정됨.
• 학교는 즉시 교육청·교육부에 신고하고 정보주체에게 유출 통지, 유출자료 삭제, 비밀번호 전면 변경 조치를 시행했으며 총괄대응본부를 설치해 피해 접수·구제 안내 중.
• A군은 촉법소년(형사미성년자) 처리 대상이며 생활교육위원회 결과에 따라 처분 예정. 학교는 학부모·학생에게 사과문 발송.

 

피해 규모(정황·영향)

• 교육청은 A군이 지난 3월 이후 일부 계정에 무단 접속해왔음을 확인했으나, 자료의 외부 유포는 확인되지 않음.
• 학교 측은 유출된 자료를 모두 삭제하고 비밀번호 변경 등 2차 피해 차단 조치를 완료.
• 피해 대상은 교사·학생 일부 계정으로 범위가 제한적이나, 계정에 따라 개인정보(이름·이메일 등) 및 수업 자료·학사 정보 접근 가능성 존재.
• 교육청은 모든 학교에 구글 워크스페이스 등 민간·공공 교수학습 플랫폼 보안 관리 강화를 공문으로 권고.

 

사고 원인(기술적·관리적 요인)

• 관리적 취약성: 초기 계정·비밀번호 배포 방식이 일정 패턴으로 고정되어 있었고, 비밀번호 변경 강제화와 같은 기본 보안수칙이 제대로 작동하지 않음.
• 사용자 교육·관리 미흡: 일부 교사·학생이 초기 비밀번호를 변경하지 않아 단순 추측으로도 접근 가능해짐.
• 기본 보안 통제 부재: 2단계 인증(2FA) 미적용, 초기 비밀번호 정책 및 주기적 점검·모니터링 부족 등이 복합적으로 작용한 것으로 보임.