학생 2억 7,500만 명의 정보가 한 번에 새어나갔다 — 교육 플랫폼이 갖춰야 할 보안 기준

2026년 5월, 랜섬웨어 그룹 ShinyHunters는 세계 최대 LMS 가운데 하나인 Canvas의 운영사 Instructure를 공격해 9,000개 기관, 44개 네덜란드 교육기관을 포함한 전 세계 학생·교사·직원의 데이터 약 2억 7,500만 건과 3.65TB 분량의 자료를 탈취했다고 주장했다. 이름, 이메일, 학번, Canvas 쪽지함과 토론 게시글 내용까지 포함됐다는 것이 이 공격의 실체다. 공격자 측 주장이라 정확한 피해 규모는 검증이 더 필요하지만, 확실한 것 하나는 있다. 단 하나의 벤더가 뚫리는 순간 전 세계 수천 개 학교의 학습 데이터가 동시에 위험에 노출된다는 사실이다. 비슷한 시기 미국 연방거래위원회(FTC)는 K-12 대상 교육 소프트웨어 기업 Illuminate Education이 1,000만 명 넘는 학생의 개인정보를 제대로 보호하지 못했다는 혐의에 대해 2026년 6월 5일 수정된 최종 동의명령을 승인했다.

벤더 하나가 뚫리면 학교 수천 곳이 뚫린다

이 두 사건이 보여주는 구조적 문제는 같다. 학습 데이터는 더 이상 한 기관의 서버 안에만 머물지 않는다. LMS, 학습 분석 도구, 고객지원 시스템, 각종 연동 서비스, 최근에는 AI 기능까지 데이터가 여러 곳을 옮겨 다니며 저장된다. 교육 분야는 보유한 개인정보의 민감도에 비해 정보보호 투자 순위는 낮은 축에 속한다는 지적이 꾸준히 나온다. FTC의 이번 조치가 시사하는 바는 분명하다. '안전하게 보호하겠다'는 약속만으로는 부족하고, 실제 기술적 통제가 뒷받침되지 않으면 규제 당국이 직접 개입한다는 것, 그리고 데이터 보유 기간과 최소 수집 원칙이 이제 단속의 핵심 대상이 됐다는 것이다.

한국 개인정보보호법이 요구하는 것

국내에서 LMS를 운영하거나 도입하는 기업이라면 개인정보보호법상 몇 가지 의무를 놓치기 쉽다.

• 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의를 받아야 하고, 그 동의 여부를 확인할 의무도 함께 진다
• 아동·청소년 대상 서비스는 개인정보 처리 관련 고지를 이해하기 쉬운 양식과 언어로 제공해야 한다
• 가명정보(추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리한 정보)는 통계·연구 목적 등 제한된 범위에서만 활용할 수 있고, 처리 기간이 지나면 파기해야 한다
• 보유 목적을 달성했거나 보유기간이 지난 개인정보는 지체 없이 파기해야 한다

이 조항들은 대부분 '수집 이후 관리'에 초점이 맞춰져 있다. 즉, 처음부터 왜 그 정보가 필요한지, 얼마나 오래 들고 있을 것인지를 설계 단계에서 정해두지 않으면 사후에 손을 대기가 훨씬 어렵다는 뜻이다.

기술적으로 실제 무엇을 갖춰야 하는가

법 조문을 지키는 것과 실제로 안전한 것은 다른 문제다. 학습 데이터를 다루는 시스템이 최소한으로 갖춰야 할 기술적 조치는 다음과 같이 정리된다.

• 저장 데이터 암호화와 전송 구간 암호화(TLS)를 기본값으로 적용
• 관리자 권한을 역할별로 세분화하는 최소 권한 원칙(least privilege) 적용
• 누가 언제 어떤 학습자 정보를 조회했는지 남기는 접근 로그와 감사 추적
• 수집 항목과 보유 기간을 처음부터 최소화하는 데이터 최소화 설계
• 제3자 연동 도구(분석 툴, AI 기능 등)에 데이터가 넘어갈 때의 별도 동의 및 관리

보안은 계약서에 적는 약속이 아니라, 시스템 설계 첫 줄에 들어가야 하는 전제조건이다.

LMS를 도입하거나 자체 구축을 검토하는 담당자라면 벤더의 기능 소개서보다 먼저 물어야 할 것이 있다. 우리 학습자 데이터는 어디에 얼마나 오래 저장되는지, 유출 사고가 났을 때 몇 시간 안에 통보받을 수 있는지, 아동·청소년 이용자가 있다면 법정대리인 동의 절차가 실제로 시스템에 구현돼 있는지. 2억 건 넘는 기록이 한 번에 새어나간 사례가 보여주듯, 학습 데이터 보안은 기능 목록의 마지막 줄이 아니라 첫 줄에 있어야 한다.