美 교육 플랫폼 인스트럭처 '캔버스' 샤이니헌터스 해킹 2억7500만 건 정보유출 사건

해킹 그룹 샤이니헌터스가 전 세계 학습관리시스템(LMS) '캔버스'를 운영하는 미국 에듀테크 기업 인스트럭처의 프로덕션 서버에 승인되지 않은 방식으로 접근했다. 캔버스는 하버드, 펜실베이니아대(유펜), 듀크대, 위스콘신대 등 8800여 개 학교·대학이 사용하는 서비스로, 전 세계 학생과 교직원 2억7500만 명이 이용하는 것으로 알려졌다. 공격자들은 침투 이후 별다른 흔적을 남기지 않고 대량의 데이터를 빼내는 방식을 택해 인스트럭처가 즉각 이상 징후를 포착하지 못했다. 이는 이후 3.65테라바이트에 달하는 정보 유출로 이어지는 발단이 됐다. 인스트럭처는 나흘 뒤에야 침입 정황을 뒤늦게 인지하게 된다.

인스트럭처는 4월 29일이 돼서야 캔버스 시스템에 대한 승인되지 않은 접근 정황을 탐지하고 관련 접근 권한을 차단했다. 회사는 즉시 외부 포렌식 전문가를 투입해 침해 범위와 유출 데이터 종류를 파악하는 작업에 들어갔다. 이 시점까지도 인스트럭처는 공식적으로 사건을 외부에 공지하지 않은 상태였다. 뒤늦은 탐지는 이후 피해 학교들로부터 대응이 늦었다는 비판을 받는 원인이 됐다. 조사 결과 캔버스 데이터2와 캔버스 베타 등 일부 서비스가 취약점의 진입점으로 활용된 것으로 드러났다.

인스트럭처는 자사 서비스 상태 페이지를 통해 캔버스 관련 보안 사고 발생 사실을 처음으로 공식화했다. 회사는 문제가 된 것으로 추정되는 캔버스 데이터2와 캔버스 베타 서비스를 일시 중단하며 확산 방지에 나섰다고 밝혔다. 그러나 구체적인 유출 규모나 피해 기관 명단은 이 시점에 공개되지 않아 학교 현장의 불안이 커졌다. 각급 학교의 IT 담당자들은 자체적으로 학생·교직원 정보 유출 가능성을 점검하기 시작했다. 이 공지는 이후 일주일간 이어질 협박·유출 사태의 시작을 알리는 신호탄이었다.

인스트럭처는 침해 범위에 대한 초동 조사 결과를 발표하며 이용자의 이름, 이메일 주소, ID 번호, 메시지 내용이 몸값을 노린 목적으로 탈취됐다고 확인했다. 회사는 공격을 봉쇄했다고 밝혔지만, 공격자가 이미 상당량의 데이터를 외부로 빼낸 뒤였다. 이 발표로 캔버스를 사용하는 전 세계 교육기관들은 자체 개인정보보호 대응 절차를 가동해야 했다. 다만 이 시점에는 비밀번호나 금융정보 유출은 확인되지 않았다고 회사 측은 설명했다. 그러나 이 설명은 하루 뒤 해커 측의 반박성 폭로로 신뢰성에 타격을 입게 된다.

샤이니헌터스는 자신들의 다크웹 유출 사이트에 인스트럭처를 공식적으로 등록하고 몸값 요구서를 게시했다. 이들은 3.65테라바이트에 달하는 데이터와 8809개 학교·대학·교육 플랫폼에서 수집한 약 2억7500만 건의 기록을 탈취했다고 주장했다. 이는 캔버스를 이용하는 전 세계 3000만 명 이상의 교육자·학생 규모를 훨씬 웃도는 수치로, 과거 계정 기록까지 포함된 것으로 분석됐다. 해킹 그룹은 몸값을 지불하지 않으면 데이터를 공개하겠다고 위협하며 압박 수위를 높였다. 이 발표로 캔버스 침해는 2026년 최대 규모의 교육 부문 데이터 유출 사건 중 하나로 떠올랐다.

인스트럭처는 캔버스 서비스가 정상 운영 상태로 돌아왔다고 발표하며 사태 진화에 나섰다. 회사는 조사 결과 이용자 비밀번호나 금융 데이터가 이번 침해와 관련이 없다는 점을 재차 강조했다. 그러나 해커 측이 이미 다크웹에 유출 사실을 공개한 상태였던 만큼, 이 같은 진화성 발표는 피해 학교들의 불안을 완전히 잠재우지 못했다. 일부 대학은 자체적으로 학생들에게 정보 유출 가능성에 대비하라는 안내문을 발송하기 시작했다. 정상화 발표는 사흘 뒤 벌어진 2차 공격으로 무색해지게 된다.

샤이니헌터스는 캔버스의 또 다른 취약점을 이용해 2차 공격을 감행하며 로그인 페이지를 몸값 협박 메시지로 바꿔치기했다. 하버드대, 펜실베이니아대, 듀크대, 위스콘신대 등 주요 대학의 강의실 페이지가 실제로 훼손되는 피해를 입었다. 해커들은 5월 12일까지 몸값을 지불하지 않으면 민감한 캔버스 데이터를 공개하겠다고 새로운 시한을 제시했다. 펜실베이니아대 학보 데일리펜실베이니안은 자교 시스템이 두 번째로 공격받은 정황을 상세히 보도했다. 이 2차 공격은 인스트럭처의 초기 대응이 미흡했음을 드러내며 협상 압박의 강도를 한층 높였다.

인스트럭처는 위협 행위자인 샤이니헌터스와 합의에 도달해 유출 데이터의 온라인 공개를 막았다고 발표했다. 회사는 해커 측이 탈취한 데이터를 파기했다는 증빙으로 파쇄 로그를 제공받았다고 밝혔다. 업계에서는 확인되지 않았지만 약 1000만 달러 규모의 금액이 오갔을 것이라는 관측이 제기됐다. 이 같은 몸값 지불 방식의 위기 대응은 향후 유사 공격을 부추길 수 있다는 우려도 함께 나왔다. 인스트럭처의 이번 대응은 교육 분야 랜섬웨어 협상 사례 중 가장 위험도가 높은 선택으로 평가됐다.

샤이니헌터스가 제시했던 5월 12일 몸값 시한이 지났지만 추가적인 대규모 데이터 공개는 확인되지 않았다. 다만 일부 캔버스 이용 기관에서는 접속 지연 등 후유증이 며칠간 이어진 것으로 파악됐다. 이번 사건으로 8800여 개 기관, 2억7500만 명 규모의 정보가 위험에 노출됐다는 점에서 2026년 최대 규모의 교육 부문 사이버 공격으로 기록됐다. 각국 고등교육 기관들은 이번 사태를 계기로 서드파티 에듀테크 업체에 대한 보안 점검을 강화하는 방향으로 정책을 재정비했다. 인스트럭처는 이후 데이터 접근 통제와 취약점 점검 체계를 전면 개편하겠다고 밝혔다.