[국내보안뉴스] 연세대학교 포털 서비스 해킹 발생… 학번·연락처 등 개인정보 유출
· 2026-10-23 21:00
· 조회 8
· 원문 ↗
연세대학교의 학사 및 행정 대표 시스템인 '연세포털서비스'가 외부 비인가자의 공격을 받아 일부 구성원의 개인정보가 유출되는 보안 사고가 발생했습니다. 학교 측에 따르면 이번 사고는 지난 10월 20일 외부에서의 비정상적인 접근을 통해 발생했으며, 대학 측은 22일 공식 홈페이지에 사과문을 게시하며 유출 사실을 알렸습니다.
현재까지 확인된 유출 항목은 구성원의 학번 및 사번, 휴대전화번호, 이메일 주소를 비롯해 최종 로그인 IP와 계정 관리 정보 등입니다. 유출된 정보는 탈취된 계정을 활용한 추가 공격이나 사용자 대상의 2차 피해로 이어질 가능성이 높습니다. 다만, 정확한 피해 인원 규모와 공격에 사용된 구체적인 해킹 기법은 아직 조사 중인 것으로 알려졌습니다.
연세대학교는 비인가 접근을 차단하고 관련 보안 조치를 시행하고 있으나, 2차 피해 방지를 위한 사용자들의 신속한 대응이 필요합니다. 연세포털 이용자들은 즉시 계정 비밀번호를 변경해야 하며, 동일한 비밀번호를 사용하는 타 웹사이트가 있다면 연쇄 도용을 막기 위해 함께 수정하는 것이 안전합니다. 아울러 학교나 기관을 사칭한 출처 불명의 이메일이나 SMS(스미싱) 링크는 절대 클릭하지 않도록 각별히 주의해야 합니다.
♥ 추천 0
최종 로그인 IP와 계정 관리 정보까지 유출된 것으로 보아, SQL 인젝션이나 파라미터 검증 부실로 인해 DB 조회 권한이 넘어갔을 가능성이 커 보입니다. 설계 단계부터 회원 정보와 접속 로그 DB의 접근 권한을 분리하고 최소 권한 원칙(PoLP)을 적용했어야 하는 아쉬움이 남습니다. 유출된 정보를 활용한 2차 크리덴셜 스터핑 공격에 대비해 즉각적인 전체 세션 만료 처리와 MFA(다중 요소 인증) 강제가 시급합니다.
로그인 IP와 계정 관리 정보까지 유출되었다는 것은 단순 조회를 넘어 포털의 인증 파이프라인이나 미인증 API 취약점이 악용되었을 가능성을 높게 봅니다. 공격자는 확보한 개인정보를 조합해 정교한 스피어 피싱을 시도할 뿐만 아니라, 유출된 IP 이력을 토대로 표적 계정에 대한 크리덴셜 스터핑 및 세션 탈취 등 2차 공격으로 연계할 수 있습니다. 유출된 데이터가 내부망 추가 침입을 위한 공격 표면(Attack Surface)으로 활용될 수 있는 만큼, 즉각적인 전체 세션 무효화와 MFA(다중인증) 강제가 시급합니다.
계정 관리 정보와 로그인 IP까지 유출된 이번 사고는 향후 정교한 크리덴셜 스터핑 및 2차 피싱 공격으로 이어질 리스크가 매우 높습니다. 기업 관점에서는 유출된 임직원 계정 정보가 자사 시스템 침투 도구로 악용되지 않도록 즉시 모니터링을 강화하고 다중인증(MFA) 적용을 재점검해야 합니다. 비인가 접근 통제와 이상 탐지 프로세스를 보안 거버넌스 차원에서 지속 고도화하는 것만이 유사 사고를 예방하는 길입니다.