【그린스보로, N.C.=김선엽 기자】미국과 전 세계 교육기관에서 사용 중인 온라인 학습 플랫폼 ‘Canvas’가 대규모 사이버 공격을 받아 학생과 교직원 수억 명의 개인정보가 유출됐을 가능성이 제기되면서 교육계가 충격에 빠졌다.
Canvas 운영사인 Instructure는 최근 사이버 보안 사고가 발생했으며, 현재 외부 포렌식 전문가와 수사기관이 조사 중이라고 밝혔다.
해킹 조직 ShinyHunters는 자신들이 공격 배후라고 주장하며 약 3.65테라바이트(TB) 규모의 데이터를 탈취했다고 밝혔다. 이들은 약 2억7,500만 건의 학생·교직원 기록과 수십억 건의 개인 메시지를 확보했다고 주장하고 있다.
Canvas는 미국 대학과 공립학교에서 과제 제출, 시험, 성적 확인, 교수·학생 간 메시지 기능 등에 사용되는 대표 학습 플랫폼이다. 북미 고등교육기관의 약 41%가 Canvas를 사용하고 있으며, 노스캐롤라이나주 역시 2015년부터 공립 K-12 전체 시스템에 이를 도입해 운영 중이다.
Instructure는 현재까지 이름, 이메일 주소, 학생 ID, 사용자 메시지 등이 노출됐을 가능성이 있다고 인정했다. 그러나 비밀번호, 생년월일, 사회보장번호(SSN), 금융정보는 유출된 정황이 없다고 설명했다.
문제는 Canvas 내부 메시지의 민감성이다. 학생들은 이 플랫폼을 통해 정신건강 상담, 의료 관련 사유, 장애 지원 요청, 성폭력·차별 신고(Title IX) 상담 등을 진행해 왔다. 이에 따라 단순 개인정보를 넘어 민감한 사적 대화까지 유출됐을 가능성이 우려되고 있다.
실제로 해커들은 다크웹 유출 사이트를 통해 “몸값 협상에 응하지 않으면 데이터를 공개하겠다”고 위협하고 있으며, 일부 Canvas 로그인 페이지에는 협박 메시지가 노출되기도 했다.
이번 공격으로 미국 각지 대학에서는 기말고사 기간 중 접속 장애가 발생했다. 하버드대, UCLA, 듀크대, 아이오와대 등 여러 대학 학생들이 과제 제출과 시험 진행에 어려움을 겪은 것으로 전해졌다.
보안 전문가들은 이번 사건 이후 학생과 학부모를 겨냥한 피싱 사기가 급증할 가능성이 높다고 경고하고 있다. 특히 “학교 행정실”, “교수”, “장학금 담당자” 등을 사칭한 이메일이나 문자 메시지에 각별한 주의가 필요하다고 강조했다.
한편 이번은 Instructure가 최근 1년 내 겪은 두 번째 대형 보안 사고다. 지난해에도 ShinyHunters 조직은 회사의 Salesforce 시스템을 공격한 바 있어, 교육계 전반의 보안 체계 강화 요구가 커지고 있다.
