26만 명 정보가 한순간에
2026년 8월 21일, 전국 130여 개 지점을 운영하는 정상어학원에서 회원 정보 26만 건이 유출된 사실이 알려지면서 학부모들의 불안이 커지고 있습니다. 학원 측은 지난 17일 회원 정보에 대한 외부의 비정상적인 대량 접근을 탐지했고, 이틀 뒤인 18일 최종적으로 유출 사실을 확인했는데요. 이후 곧바로 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고하고 서울 수서경찰서에 수사를 의뢰했습니다.
이번에 유출된 정보는 상당히 구체적입니다. 이름과 생년월일, 성별, 전화번호, 이메일, 주소는 물론 학생의 학교명과 학년, 학원 레벨, 심지어 접속자의 IP 주소까지 포함되어 있었는데요. 학원 측은 주민등록번호를 수집하지 않았고 비밀번호도 원문이 아닌 암호화된 상태라고 설명했지만, 이미 해커가 4년 전부터 수집된 데이터를 확보했다고 주장하고 있어 피해 규모가 더 늘어날 수 있는 상황입니다.
유출된 정보는 어디까지일까
유출 항목을 자세히 살펴보면 단순 연락처를 넘어선 민감 정보가 다수 포함된 점이 눈에 띕니다. 학생 ID와 등록일, 소속 지점명은 물론 학부모의 연락처와 주소까지 함께 노출되었습니다. 특히 정상어학원뿐 아니라 수학학원을 포함한 4개 계열사에서도 동시에 피해가 발생했다는 점에서 해당 학원 그룹 전체의 보안 관리 체계에 대한 우려가 나옵니다.
사실 이번 사건은 단순한 시스템 오류라기보다 외부 해킹 공격의 가능성이 큽니다. 학원 측도 외부의 비정상적인 대량 접근을 탐지했다고 밝혔고, 한 해커가 관련 데이터를 유출했다고 공개적으로 주장한 정황이 있으니까요. 학원들이 수많은 학생 정보를 관리하면서도 보안 투자나 점검이 제대로 이루어지지 않았을 가능성이 수사의 핵심 쟁점이 될 전망입니다.
피해 확산과 남은 과제
현재 경찰은 정확한 유출 경위와 피해 규모를 밝히기 위해 본격적인 수사에 들어갔습니다. 다만 학원 측이 유출 사실을 인지한 뒤에도 구체적인 내용을 파악하는 데 며칠이 소요된 점, 그리고 계열사까지 연쇄적으로 영향을 받은 점을 볼 때 후속 조치에 대한 비판도 적지 않습니다.
개인정보가 한번 유출되면 되돌리기 어렵고, 특히 학생 정보는 신분 도용이나 보이스피싱 등 2차 범죄에 악용될 위험이 큽니다. 학부모들은 당분간 의심스러운 연락이나 문자를 받을 때 각별히 주의해야 할 것 같습니다. 이번 사건은 교육 업계 전체의 개인정보 보호 체계를 다시 돌아보게 하는 계기가 될 것입니다.