서강대학교 통합계정 해킹 개인정보 18만 건 유출 사건

2026년 8월 11일 서강대학교 통합로그인 시스템에 신원이 확인되지 않은 외부 IP가 접속해 무차별 대입(브루트포스) 방식의 공격을 시도한 것으로 파악됐다. 공격자는 계정 정보를 반복적으로 대입하는 방식으로 인가되지 않은 접근을 성공시켰다. 통합로그인은 학사·행정 서비스를 하나의 계정으로 묶어 쓰는 구조여서, 이 지점이 뚫리면 여러 시스템의 정보가 한꺼번에 노출될 수 있는 위험이 있었다. 학교 측은 당시 이 접근을 실시간으로 탐지하지 못했다. 이 공백이 뒤이은 대규모 유출로 이어졌다.

서강대학교는 침해가 발생한 지 사흘이 지난 8월 14일에야 비인가 접근 사실을 인지했다. 학교는 확인 즉시 공격이 이뤄진 IP를 차단하고, 관련 서비스 접속을 제한했으며 네트워크 망분리 등 긴급 조치를 시행했다고 밝혔다. 그러나 사흘이라는 탐지 공백 동안 공격자가 얼마나 많은 정보를 빼냈는지 정확히 파악하기 어렵다는 지적이 나왔다. 대학 전산망의 침입탐지 체계가 제대로 작동하지 않았다는 비판도 함께 제기됐다. 학교는 사고 경위 파악에 착수했다.

서강대학교는 8월 15일 홈페이지 공지를 통해 약 18만 건의 개인정보가 외부로 유출된 사실을 공식 확인했다. 유출 대상에는 재학생뿐 아니라 졸업생과 교직원까지 폭넓게 포함됐다. 단일 대학에서 18만 건 규모의 유출이 확인된 것은 국내 대학 침해사고 가운데서도 큰 축에 속한다. 학교 측은 "사안을 매우 엄중하게 인식하고 있으며 유사 사고가 재발하지 않도록 보안을 전면적으로 재점검하고 강화하겠다"는 입장을 냈다. 공지 직후 학내 커뮤니티에서는 불안과 항의가 이어졌다.

유출된 항목은 학번과 교직원 번호, 이름, 소속 학과, 이메일 주소, 휴대전화 번호, 그리고 암호화된 통합 로그인 비밀번호로 확인됐다. 비밀번호가 암호화된 상태로 저장돼 있었다는 점은 그나마 피해를 줄이는 요소로 꼽혔지만, 암호화 방식에 따라 복호화 시도가 가능하다는 우려도 제기됐다. 이름과 휴대전화 번호가 함께 노출된 만큼 보이스피싱이나 스미싱 등 2차 피해 가능성이 지적됐다. 보안 전문가들은 해당 계정과 동일한 비밀번호를 다른 서비스에 쓰고 있다면 즉시 변경할 것을 권고했다. 학교는 전 구성원에게 비밀번호 변경을 안내했다.

유출 대상에 재학생과 교직원뿐 아니라 오래전 졸업생까지 포함된 것으로 확인되면서, 대학 통합 데이터베이스가 수십 년 전 졸업생 기록까지 그대로 보관해 왔다는 사실이 드러났다. 입시를 준비하는 지원자 정보도 영향 범위에 들어갈 수 있다는 보도가 이어지며 우려가 커졌다. 이를 두고 대학이 보존 필요성이 낮아진 과거 기록을 제때 파기하지 않고 장기간 쌓아 둔 관행 자체가 피해 규모를 키웠다는 지적이 나왔다. 개인정보는 보유 목적이 끝나면 지체 없이 파기해야 한다는 원칙이 현장에서 지켜지지 않았다는 것이다. 대학가 전반의 개인정보 보유·파기 기준을 재점검해야 한다는 목소리가 커졌다.

서강대학교는 구성원들이 자신의 정보가 유출됐는지 직접 확인할 수 있도록 별도의 조회 페이지를 개설해 운영에 들어갔다. 학교는 공격 출처 차단과 서비스 접근 제한, 망분리 조치를 유지하면서 정확한 유출 범위를 확정하기 위한 정밀 분석을 이어가고 있다고 밝혔다. 다만 사고 인지가 늦었던 경위와 탐지 체계의 허점에 대해서는 추가 설명이 필요하다는 요구가 이어졌다. 대학가에서는 유사한 통합로그인 구조를 쓰는 다른 학교들도 점검이 필요하다는 지적이 나왔다. 사건은 현재 진행 중이며 정확한 피해 규모와 후속 조치는 계속 확인되고 있다.