전 세계 2억 7천만 명 학생 데이터 유출 위기… 교육 플랫폼 '캔버스(Canvas)', 결국 해커에 랜섬 지불

[글로벌 뉴스] 전 세계 수많은 학교와 대학에서 사용되는 교육용 플랫폼 '캔버스(Canvas)'가 대규모 해킹 공격을 받은 가운데, 캔버스의 운영사인 미국 IT 기업 인스트럭쳐(Instructure)가 해커들과 합의에 도달했다고 발표했습니다. 보안 전문가들은 이를 사실상 데이터 유출을 막기 위해 랜섬(몸값)을 지불한 것으로 분석하고 있습니다.

 

최근 일주일 동안 캔버스 시스템은 대규모 접속 장애를 겪었으며, 해커들에 의해 학교 로그인 페이지가 변조되고 수많은 학생들의 과제 제출 기한이 연기되는 초유의 사태가 발생했습니다. 인스트럭쳐 측은 공식 발표를 통해 "이번 사건에 연루된 승인되지 않은 행위자와 합의에 도달했다"고 밝혔으며, 탈취된 데이터가 반환되고 파기되었다는 디지털 확인서를 받았다고 주장했습니다. 하지만 정확한 지불 금액이나 구체적인 합의 내용은 공개하지 않았습니다.

이번 공격을 주도한 사이버 범죄 그룹은 '샤이니헌터스(ShinyHunters)'로 확인되었습니다. 이들은 전 세계 9,000여 개 학교의 학생 및 교직원 2억 7,500만 명의 데이터 약 3.65테라바이트(TB)를 탈취했다고 주장했습니다. 해당 데이터에는 학생증 번호, 이메일 주소, 이름, 사용자 간의 개인 메시지 등이 포함된 것으로 알려졌습니다. 해커들은 5월 12일까지 랜섬을 지불하지 않으면 데이터를 유출하겠다고 협박한 바 있습니다.

호주 내에서도 이번 해킹으로 인한 피해가 속출했습니다. 시드니 대학교(USyd), 로열 멜버른 공과대학교(RMIT), 시드니 공과대학교(UTS) 등 여러 주의 국공립 및 사립 대학교와 학교 수십 곳이 공격의 영향을 받았습니다. 접속 장애로 인해 학생들의 포털 이용이 불가능해지면서, 대학 측은 부득이하게 과제 마감 기한을 연장하는 등 학사 일정에 큰 차질을 빚었습니다.

이번 사건은 기업이 랜섬웨어 공격자에게 돈을 지불해야 하는가에 대한 오랜 윤리적, 법적 딜레마를 다시금 수면 위로 끌어올렸습니다. 전 세계 정부와 수사 기관은 범죄 조직의 자금줄이 될 수 있다는 이유로 랜섬 지불을 강력히 반대하고 있습니다. 또한 돈을 지불한다고 해서 해커가 데이터를 완전히 파기했는지 보장할 수 없다는 위험성도 존재합니다. 그러나 많은 기업들은 수백만 명의 개인정보 유출로 인한 2차 피해를 막고 시스템 통제권을 되찾기 위해 결국 해커의 요구에 굴복하는 선택을 하고 있는 실정입니다.

인스트럭쳐 측은 "사이버 범죄자를 상대할 때 완벽한 확실성은 없지만, 고객의 불안을 달래기 위해 우리가 통제할 수 있는 모든 조치를 취하는 것이 중요하다고 믿었다"고 해명했습니다. 현재 해당 기업은 외부 사이버 포렌식 전문가들과 협력하여 보안 태세를 강화하고 추가적인 피해를 막기 위한 종합적인 검토를 진행하고 있습니다.

---

[에디터의 노트]
교육 플랫폼은 수많은 학생과 교직원의 민감한 개인정보가 집중되어 있는 만큼, 사이버 범죄자들의 핵심 표적이 되고 있습니다. 기업 측이 랜섬을 지불하여 급한 불은 껐다고 하나, 범죄자들에게 '학교 데이터는 큰 돈이 된다'는 잘못된 선례를 남겼다는 비판을 피하기 어렵습니다. 호주를 비롯한 전 세계의 교육 기관들은 제3자 소프트웨어에 의존하는 현행 IT 시스템의 보안 취약점을 재점검해야 합니다. 아울러 독자 여러분 및 학생 분들께서는 혹시 모를 2차 금융 사기나 피싱 공격에 대비해 비밀번호 변경 등 개인 보안 관리에 각별히 유의하시기를 당부드립니다.