사진=데이원컴퍼니
사진=데이원컴퍼니

[다이어리포인트=김정훈 기자] 국내 대표 성인 교육 기업 데이원컴퍼니가 운영하는 온라인 교육 플랫폼 전체에서 수십만 명 규모의 개인정보 유출 사고가 발생했다. 피해 서비스는 IT·직무 교육 플랫폼 패스트캠퍼스를 비롯해 크리에이티브 교육 플랫폼 콜로소, 어학·자기계발 플랫폼 레모네이드, 투자·경제 교육 플랫폼 스노우볼 등 데이원컴퍼니 계열 서비스 전체에 걸쳐 있다.

데이원컴퍼니에 따르면 신원 불상의 공격자가 지난 2일 회사 깃허브(GitHub) 저장소에서 내부 시스템 접근에 사용되는 마스터키를 탈취한 것이 이번 사고의 발단이었다. 공격자는 탈취한 마스터키를 이용해 회사 내부 시스템에 무단 침투했으며 계열사들이 공통 기술 인프라를 공유하고 있어 피해가 한 서비스에 그치지 않고 전체 플랫폼으로 번졌다.

유출된 정보는 이름, 이메일 주소, 휴대전화 번호, 암호화된 비밀번호 등이다. 결제 정보와 주민등록번호는 유출 항목에 포함되지 않은 것으로 회사 측은 밝혔다. 플랫폼별 피해 규모는 현재 추가 조사가 진행 중이다.

회사 측은 6월 8일 오후 3시 30분경 유출 가능성을 처음 인지했으며 같은 날 저녁 8시 최종 확인을 마쳤다. 피해자 통지는 11일에야 이루어졌다. 개인정보보호법상 침해 사실 인지 후 72시간 이내 통지 의무 규정을 감안하면 통지 시점의 적절성 여부를 두고 논란이 예상된다.

피해 수강생들의 반응은 싸늘하다. 온라인 커뮤니티에는 "여러 플랫폼을 같이 쓰고 있었는데 전부 털린 것 아니냐", "공지가 너무 늦었다"는 비판이 쏟아지고 있다. 이미 출처를 알 수 없는 스팸 문자나 보이스피싱 전화를 받기 시작했다는 피해자 제보도 잇따르고 있다.

패스트캠퍼스를 포함한 데이원컴퍼니 계열 플랫폼은 개발·데이터·디자인·마케팅·투자 등 다양한 분야의 직장인과 취업 준비생이 주요 이용층이다. 실명 인증 기반 회원가입 구조상 유출된 이름과 연락처 정보의 정확도가 높아 2차 피해 우려가 크다.

보안 업계 관계자는 "깃허브 저장소에 내부 접근 키가 노출되는 사고는 개발 환경 보안 관리 미흡에서 비롯되는 경우가 많다"며 "마스터키 하나가 계열사 전체 인프라의 문을 여는 구조라면 이번 사고는 예견된 측면이 있다"고 지적했다.

현재 데이원컴퍼니는 한국인터넷진흥원(KISA)에 침해 사실을 신고하고 수사기관에 수사를 의뢰한 상태다. 외부 보안 전문 업체와 함께 추가 피해 규모 파악과 재발 방지 점검을 병행하고 있다. 개인정보보호위원회의 조사도 진행될 것으로 보인다.

전문가들은 패스트캠퍼스, 콜로소, 레모네이드, 스노우볼 계정 비밀번호를 즉시 변경하고 동일한 비밀번호를 사용하는 다른 서비스도 함께 바꿀 것을 권고하고 있다. 출처 불명의 문자 링크 클릭을 자제하고 금융 관련 전화는 반드시 공식 번호로 재확인하는 것이 2차 피해를 줄이는 기본 대응이다.