[국내보안뉴스] 수협은행 시스템 허점 노린 해킹… 국립부경대 학생·직원 5천여 명 개인정보 유출
· 2026-10-25 08:00
· 조회 7
· 원문 ↗
국립부경대학교에서 사용 중인 수협은행의 등록금 수납 시스템이 외부 공격자의 해킹에 뚫리면서 대규모 개인정보 유출 사고가 발생했습니다. 이번 사고는 대학 내부 망이 아닌 업무 위탁 금융기관의 '캠퍼스e모아' 시스템에 대한 비인가 접근을 통해 감행되었습니다. 특히 대학 측은 유출된 개인정보를 악용한 해커의 금전 요구 시도를 통해 사고를 인지한 것으로 파악되어, 연계 시스템의 보안 관리 모니터링에 허점이 드러났습니다.
이번 사고로 인한 영향 범위는 학생 5,106명과 등록금 업무 담당 직원 2명을 포함해 총 5,108명입니다. 학생의 경우 성명, 학번(또는 수험번호), 학과 정보는 물론 등록금 수납액과 가상계좌 정보까지 포함되어 금융 범죄 노출 위험이 큽니다. 함께 유출된 직원의 성명, 부서, 휴대전화번호 등은 기관을 사칭한 정교한 2차 타깃형 공격에 악용될 수 있어 더욱 주의가 요구됩니다.
대학 측은 사건 인지 후 관계기관 신고 및 피해자 대상 통지 등 후속 조치를 진행하고 있습니다. 피해 대상자들은 출처가 불분명한 안내 문자나 이메일 내 웹 링크 클릭을 절대 금해야 하며, 대학이나 금융기관을 사칭해 등록금 재납부나 가상계좌 입금을 요구하는 보이스피싱 및 스미싱 공격에 각별히 유의해야 합니다. 이번 사건은 외주 및 협력업체 시스템을 통한 공급망 공격 위험을 보여주는 사례로, 금융-대학 간 연계 시스템에 대한 전반적인 보안 점검과 강화 조치가 시급합니다.
♥ 추천 0
금융기관과 대학 간 연계 시스템에서 비인가 접근이 발생한 것은 API 구간의 권한 검증(BOLA/IDOR) 부재나 세션 관리의 허점 때문일 가능성이 큽니다. 특히 공격자의 금전 요구로 사고를 인지했다는 점은 대량 데이터 조회에 대한 비정상 스코핑 제어(Rate Limiting)와 이상 징후 모니터링이 전혀 작동하지 않았음을 반증합니다. 타사 시스템과 데이터 연동을 개발할 때일수록 Zero Trust 관점에서 API Gateway 단의 엔드포인트 인가 로직을 재검토하고 DB 내 민감 데이터 암호화를 철저히 해야 합니다.
대학과 금융 기관 간 연동 시스템의 권한 검증 누락(IDOR)이나 미흡한 API 보안을 노린 전형적인 연동 부문 공격 벡터로 보입니다. 유출된 정보에 단순 신원뿐만 아니라 '등록금 수납액'과 '가상계좌'라는 민감한 금융 데이터가 포함되어 있어, 공격자 입장에서는 타깃을 완벽히 속일 수 있는 정교한 스피어 피싱 및 2차 금융 사기 시나리오를 설계하기 매우 용이합니다. 이미 탈취한 정보 기반의 금전 요구(협박)까지 실행된 만큼, 신뢰할 만한 임직원이나 대학교를 사칭한 지능형 사회공학적 공격의 추가 악용 가능성이 매우 높습니다.
외주 파트너 및 외부 연계 시스템을 통한 이번 유출 사고는 제3자 리스크 관리(TPRM)가 조직 보안의 핵심 요소임을 보여줍니다. 특히 내부 탐지가 아닌 공격자의 금전 요구로 사고를 뒤늦게 인지한 점은 위협 모니터링 및 대응 체계의 허점을 드러낸 경고 신호입니다. 우리 조직 또한 외부 연계 시스템에 대한 보안 타당성 평가와 상시 모니터링 거버넌스를 즉각 재점검해야 합니다.