들어가며
서울사이버대에서 개인정보가 나갔다는데, 주민등록번호와 비밀번호는 「암호화돼 있었다」라고 하니 괜찮은 걸까요?
비밀번호는 암호화돼 있었어도 오늘 바꿔야 하고, 주민등록번호는 못 바꾸니 명의도용 차단을 걸어 두시면 됩니다.
오늘 블로그는, 10월 5일 서울사이버대학교가 알린 유출 소식으로 시작해 보려고 합니다.
학교는 10월 4일 한국인터넷진흥원(KISA)에서
구성원의 개인정보로 보이는 자료가 외부 사이트에 올라왔다는 통보를 받았다고 밝혔습니다.
대상은 학생과 졸업생, 교직원, 그리고 채용지원자입니다.
이 글은 사건 이야기 대신 내가 대상인지 어떻게 아는지, 「암호화된 채 유출」이 무슨 뜻인지,
그리고 오늘 무엇을 바꾸고 무엇을 걸어 두는지를 적어보려고 합니다.
(2026년 10월 6일 아침 기준입니다. 조사가 진행 중이라 내용은 바뀔 수 있습니다.)
1. 서울사이버대 발표 — 대상 셋, 항목은 두 갈래
나간 항목은 그대로 읽히는 것과 암호화된 것으로 나뉘고, 대상에 따라 목록이 다릅니다.
학교가 밝힌 내용을 보도로 받아 적으면 이렇습니다.
| 대상 | 그대로 나간 항목 | 암호화된 채 나간 항목 |
|---|---|---|
| 학생·졸업생 | 성명·학번·생년월일·연락처·이메일·주소·학과·학적상태·입학·학력정보 | 주민등록번호·포털 비밀번호·계좌번호 |
| 교직원 | 성명·사번·소속·연락처·이메일 | 주민등록번호·포털 비밀번호·계좌번호 |
| 채용지원자 | 성명·생년월일·연락처·이메일·주소·학력정보·지원서에 적은 일부 정보 | 비밀번호 |
채용지원자 쪽은 학교가 「유출됐을 가능성이 있다」고 표현했습니다.
학교는 암호화된 정보가 풀린 정황은 지금까지 확인되지 않았다고 했고,
유출 규모와 시점은 관계기관과 조사하고 있다고 밝혔습니다.
비상대책 TF를 꾸리고 교육부 사이버안전센터와 개인정보보호위원회에 신고했다는 것까지가 발표 내용입니다.
몇 명인지는 학교가 밝히지 않았습니다. 그래서 이 글에도 숫자는 적지 않았습니다.
2. 내가 대상인지 — 졸업생은 홈페이지 공지까지
본인이 직접 조회하는 페이지가 열렸다는 발표는 아직 없고, 학교의 통지와 홈페이지 공지로 확인합니다.
「개인정보 보호법」 제34조와 시행령 제39조는
유출을 알게 된 때부터 72시간 안에 정보주체에게 알리도록 정합니다.
항목이나 경위를 다 확인하지 못했으면 확인된 것만 먼저 알리고,
나머지는 확인되는 즉시 다시 알려야 합니다.
학교도 「조사 결과 유출 여부가 확정되면 해당 정보주체에게 추가로 통지하겠다」고 했습니다.
그러니 통지는 한 번으로 끝나지 않을 수 있습니다.
여기가 중요합니다.
졸업한 지 오래됐거나 몇 해 전에 지원서만 낸 분은
학교에 남아 있는 휴대폰 번호와 이메일이 지금 것과 다를 수 있죠.
시행령 제39조는 연락처를 알 수 없는 경우에
홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있게 해 뒀습니다.
번호가 바뀐 졸업생·지원자는 문자를 기다리지 말고 학교 홈페이지 공지를 직접 보셔야 합니다.
주소창에 iscu.ac.kr 을 직접 입력해 들어가시고,
전화로 묻고 싶으면 홈페이지에 적힌 대표번호 02-944-5000으로 거시면 됩니다.
문자로 온 링크나 문자에 적힌 번호는 쓰지 않습니다. 이유는 아래 4절에 있습니다.
진짜 통지는 지우지 말고 보관해 두세요. 나중에 배상을 청구할 때 첫 서류가 됩니다.
3. 포털 비밀번호와 주민등록번호, 「암호화」가 다릅니다!
「암호화된 채 나갔다」는 말은 비밀번호와 주민등록번호에서 뜻이 다르고, 그래서 할 일도 다릅니다.
개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제7조가 둘을 나눠 적었습니다.
비밀번호는 복호화되지 않도록 일방향 암호화해서 저장하고,
주민등록번호와 계좌번호는 안전한 암호 알고리즘으로 암호화해서 저장하라는 것.
(복호화는 암호화된 값을 원래 값으로 되돌리는 일을 말합니다.)
먼저 비밀번호입니다.
일방향 암호화는 처음부터 되돌릴 수 없게 만든 방식입니다.
그래서 「복호화된 정황이 없다」는 말은, 비밀번호에 관해서는 안심할 근거가 못 됩니다.
비밀번호를 노리는 쪽은 풀지 않으니까요.
흔한 비밀번호를 같은 방식으로 변환해서, 유출된 값과 같은 것이 있는지 대조합니다.
많이들 쓰는 비밀번호, 짧은 비밀번호일수록 먼저 맞춰집니다.
학교가 비밀번호를 어떤 방식으로 저장했는지는 발표되지 않았습니다.
그러니 포털 비밀번호는 지금 바꾸고, 같은 비밀번호를 쓰는 다른 사이트도 같이 바꾸시면 됩니다.
이메일 주소는 그대로 나갔습니다.
그 이메일을 아이디로 쓰는 메일·쇼핑몰·SNS에 같은 비밀번호를 넣어 보는 시도가 올 수 있습니다.
다음은 주민등록번호와 계좌번호입니다.
이 둘은 원래 값을 다시 써야 하는 정보라,
암호 키가 있으면 되돌릴 수 있는 방식으로 저장하는 것이 일반적입니다.
풀리느냐는 그 암호 키가 함께 나갔느냐에 달려 있고, 이건 조사 결과가 나와야 알 수 있습니다.
하나 더 보실 것이 있습니다.
주민등록번호 앞 여섯 자리는 생년월일이고, 생년월일은 그대로 나갔습니다.
암호화가 가리고 있는 것은 뒤 일곱 자리입니다.
주민등록번호는 비밀번호처럼 오늘 바꿀 수가 없죠.
그래서 풀렸다고 가정하고, 내 이름으로 개통과 대출이 안 되게 막아 둡니다.
엠세이퍼의 가입제한과 금융회사 여신거래 안심차단이 그것이고, 둘 다 무료입니다. 신청 방법은 따로 글이 있습니다.
핵심은 「암호화돼 있었다」가 「안 나갔다」와 같은 말이 아니라는 것입니다. 바꿀 수 있는 것은 바꾸고, 못 바꾸는 것은 막아 둘 시간이 있다는 뜻입니다.
4. 학번·학과를 아는 연락 — 서울사이버대 사칭 판별
그대로 나간 학번·학과·학적상태는 학교를 사칭하는 문자와 전화에 쓰일 수 있습니다.
「○○학과 ○○학번 ○○○ 님」으로 시작하는 연락을 받으면 사람은 학교라고 믿습니다.
거기에 「개인정보 유출 확인」「등록금 환불」「장학금 계좌 확인」 같은 말이 붙을 수 있고요.
학교 이름이 뉴스에 오른 직후가 이런 연락이 가장 잘 통하는 때입니다.
그래서 연락 안에 있는 것은 아무것도 쓰지 않습니다.
- 문자 속 링크를 누르지 않습니다
- 문자에 적힌 번호로 걸지 않습니다
- 학교 홈페이지는 주소를 직접 입력해 들어가고, 전화는 거기 적힌 대표번호로 내가 겁니다
의심스러운 문자는 카카오톡 「보호나라」 채널의 스미싱 확인서비스에 붙여 넣어 보세요.
한국인터넷진흥원이 운영하는 채널이고, 정상인지 악성인지 판정해 줍니다.
그리고 상대가 아래 넷 중 하나를 요구하면 확인할 것도 없이 끊으시면 됩니다.
앱 설치, 인증번호, 계좌 비밀번호, 신분증 사진.
📱 가상 예시입니다. 실제 발송된 문자를 옮긴 것이 아닙니다.
[○○대학교] 경영학과 20○○학번 김○○ 님, 개인정보 유출 대상자입니다. 본인 확인 후 등록금 환불 계좌를 등록하세요.
hxxp://refund-portal[.]example
5. 오늘 순서 — 10분!
- [ ] 포털 비밀번호 변경 — 주소를 직접 입력해 들어가서 바꿉니다. 문자 속 링크로 들어가지 않습니다
- [ ] 같은 비밀번호를 쓰는 곳 — 그 이메일이 아이디인 메일·쇼핑몰·SNS부터 바꾸고, 2단계 인증이 있으면 켭니다
- [ ] 학교 홈페이지 공지 확인 — 번호·이메일이 바뀐 졸업생·지원자는 문자를 기다리지 않습니다
- [ ] 통지 문자·메일 보관 — 캡처해 둡니다. 추가 통지가 오면 같이 둡니다
- [ ] 명의도용 차단 — 엠세이퍼 가입제한, 주거래 금융회사 앱에서 여신거래 안심차단
- [ ] 털린 내 정보 찾기 — kidc.eprivacy.go.kr 에서 내 아이디·비밀번호 조합이 유통되고 있는지 조회합니다
- [ ] 이미 링크를 눌렀거나 송금했다면 — 112와 은행에 지급정지, 30분 안에
자주 묻는 것
Q. 졸업한 지 10년이 넘었는데 왜 제 정보가 학교에 있나요?
학교 개인정보처리방침에 보유 기간이 적혀 있습니다. 서울사이버대 개인정보처리방침은 학적·졸업 정보를 준영구, 입학지원자 정보를 10년 보유한다고 적고 근거로 고등교육법 시행령을 들었습니다. 「개인정보 보호법」 제36조는 삭제를 요구할 권리를 두면서도, 다른 법령이 수집 대상으로 명시한 정보는 삭제를 요구할 수 없다고 정합니다. 학교가 내 정보 중 무엇을 갖고 있는지 보여 달라는 열람 요구(제35조)는 할 수 있고, 접수 부서는 같은 처리방침에 나와 있습니다.
Q. 채용에 지원만 했고 합격하지 않았습니다. 저도 해당되나요?
학교 발표로는 가능성이 있습니다. 채용지원자의 성명·생년월일·연락처·이메일·주소·학력정보와 지원서에 적은 일부 정보, 암호화된 비밀번호가 유출됐을 가능성이 있다고 밝혔다고 보도됐습니다. 지원할 때 만든 비밀번호를 다른 곳에도 쓰고 있다면 그곳을 바꾸시고, 지원서에 적은 내용을 아는 연락이 오면 위에 4절처럼 끊고 대표번호로 확인하시면 됩니다.
Q. 암호화가 풀린 것으로 확인되면 주민등록번호를 바꿀 수 있나요?
신청은 할 수 있지만 유출 사실만으로 바뀌지는 않습니다. 「주민등록법」 제7조의4는 유출된 주민등록번호로 생명·신체·재산에 피해를 입었거나 입을 우려가 인정될 때 변경을 신청할 수 있게 했고, 주민등록번호변경위원회가 심사합니다. 학교의 통지가 유출을 입증하는 자료가 되니 지우지 마세요. 그 전에 할 수 있는 것이 위에 3절의 차단 둘입니다.
Q. 유출만으로 보상을 받을 수 있나요?
청구할 길은 있습니다. 「개인정보 보호법」 제39조의2는 손해액을 증명하지 않아도 300만 원 이하에서 법원이 배상액을 정하는 법정손해배상을 두고 있습니다. 같은 법 제34조는 유출 통지에 손해배상·분쟁조정 같은 정보주체의 권리와 행사 방법을 넣도록 정하고 있으니, 통지를 받으면 그 대목을 보세요. 다만 유출 규모와 원인이 확정되지 않은 단계라 지금 할 일은 통지를 보관하는 것까지입니다.
마무리
글이 길었습니다. 전부 다 기억하지 않아도 됩니다. 딱 하나만 기억해야 한다면 이 문장을 꼭 기억해 주세요.
암호화된 비밀번호도 유출된 비밀번호입니다. 오늘 바꾸세요.
학교 이름으로 온 연락에 이미 링크를 눌렀거나 돈을 보냈다면, 지금 112와 은행에 지급정지를 요청하세요.
근거 자료
- 서울사이버대학교 개인정보 유출 안내(2026.10.5) — KISA 통보(10.4) · 대상(학생·졸업생, 교직원, 채용지원자) · 대상별 항목 · 암호화 항목 복호화 정황 미확인 · 규모·시점 조사 중 · 비상대책 TF · 교육부 사이버안전센터·개인정보보호위원회 신고 · 유출 확정 시 추가 통지. 보안뉴스·헤럴드경제·SBS·뉴스1·디지털타임스·국제뉴스(10.5) 보도 경유, 안내문 원문 미확인
- 서울사이버대학교 홈페이지(iscu.ac.kr, 2026.10.6 확인) — 대표번호 02-944-5000 · 개인정보처리방침(학적·졸업 준영구, 입학지원자 10년, 열람·정정·삭제 접수 부서)
- 「개인정보 보호법」 제24조의2(주민등록번호 암호화) · 제34조(유출 등의 통지·신고) · 제35조(열람) · 제36조(정정·삭제) · 제39조의2(법정손해배상) · 같은 법 시행령 제39조(72시간·우선 통지와 추가 통지·홈페이지 30일 게시)
- 법제처 찾기쉬운 생활법령정보 「개인정보 유출시의 조치방안」(2026.9.15 기준) — 통지 기한·항목·갈음 요건
- 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제7조(개인정보의 암호화) — 비밀번호 일방향 암호화 · 주민등록번호·계좌번호 등 암호화 저장
- 「주민등록법」 제7조의4(주민등록번호의 변경)
- 한국인터넷진흥원 「보호나라」 카카오톡 채널 스미싱 확인서비스 · 「털린 내 정보 찾기」(kidc.eprivacy.go.kr)
⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 배상 요건과 금액, 주민등록번호 변경 여부는 사안마다 다르니 변호사·대한법률구조공단(132) 또는 개인정보침해 신고센터(118)에 확인하세요.
⚠️ 조사가 진행 중입니다. 유출 인원·시점·원인·책임 범위는 확정되지 않았습니다. 학교 발표는 모두 보도로 받은 것이며, 이 글은 학교의 책임을 단정하지 않습니다.
⚠️ 본문의 문자 예시는 수법을 설명하기 위한 가상 예시입니다. 실제 발송된 문자가 아니며, 도메인은 예약된 예시용 주소입니다.
#보안로그 #생활보안 #개인정보유출 #서울사이버대 #서울사이버대개인정보유출 #서울사이버대학교 #대학교개인정보유출 #유출통지 #비밀번호변경 #암호화 #주민등록번호 #학교사칭문자 #스미싱 #명의도용 #정보보안
댓글
댓글 쓰기