공공기관 직원·교사가 법정 의무교육을 듣는 온라인 교육 사이트들이 한꺼번에 해킹됐습니다. 교육 시스템을 위탁 운영하는 업체 맑은소프트의 서버가 침해돼, 이 업체의 학습관리시스템(LMS)을 쓰던 사이트 22곳의 회원 정보가 유출됐어요.
맑은소프트가 개인정보보호위원회에 신고한 유출 규모는 약 237만 건이고, 피해 기관에는 국민권익위원회·국방부·한국교육시설안전원·대한상사중재원·기아 노조가 포함됩니다. 회원이 가입한 곳은 각 기관 사이트인데 개인정보 유출은 수탁업체에서 발생해, 이용자가 처음 듣는 회사 이름으로 유출 통지를 받게 되는 사고예요.
맑은소프트 2026년 10월 6일 사과문과 보안 강화 대책 — 출처: 맑은소프트
사건 경과
맑은소프트 침해 사고 경과 타임라인 — 출처: 개인정보보호위원회 제출 자료·국민권익위원회·언론 보도 기반 자가 렌더
공격자는 9월 19일 교육 사이트 서버에 처음 침입했고, 다음 날인 9월 20일 개인정보를 외부로 반출했습니다. 맑은소프트는 9월 22일 고객사의 문자(SMS) 발송 계정에서 스팸 문자가 발송됐다는 연락을 받고서야 침해를 알았어요.
개인정보보호위원회는 9월 22일·24일·29일 세 차례 유출 신고를 받고 9월 30일 조사에 착수했습니다. 내부적으로 중요 사건으로 분류한 것으로 전해졌어요. 10월 6일 국민권익위원회가 청렴권익배움터 이용자 정보 유출을 발표했고, 같은 날 맑은소프트는 하근호 대표 명의 사과문과 보안 강화 8대 대책을 홈페이지에 올렸습니다.
전체 규모는 10월 13일 국회 정무위원회 한창민 의원실이 개인정보위 자료를 공개하면서 알려졌습니다. 237만 건은 업체가 신고한 수치이고, 개인정보위가 정확한 규모를 확인하고 있어요.
피해 기관과 유출 항목
고객사별 알려진 유출 인원 막대 차트 — 출처: 국민권익위원회 발표·언론 보도 기반 자가 렌더
맑은소프트에 따르면 피해 사이트는 22곳으로 공공·학계·민간에 분포합니다. 2026년 10월 14일 기준 규모가 알려진 곳은 권익위 청렴권익배움터, 한국교육시설안전원, 기아 광명공장 노조 세 곳이고, 피해가 확인됐지만 규모가 공개되지 않은 곳도 있어요.
| 기관 | 사이트 | 규모 |
|---|---|---|
| 국방부 | 병영생활 상담관 교육 | 미공개 |
| 대한상사중재원 | 중재 교육 | 미공개 |
| 코바코 | 광고교육원 | 미공개 |
청렴권익배움터는 공공기관 임직원·사립학교 교직원·언론인 등 공직유관단체 관계자가 연 1회 2시간 이상 청렴교육을 이수하는 사이트입니다. 대한상사중재원은 중재 교육을 들은 변호사·기업 법무 담당자의 정보가 유출됐다고 알렸고, 여기에는 변호사 등록번호도 포함됐어요.
유출 항목은 사이트마다 다르지만, 개인정보위 제출 자료 기준으로는 다음이 포함됩니다.
| 구분 | 항목 |
|---|---|
| 계정 | 아이디·암호화된 비밀번호 |
| 연락처 | 휴대전화번호·이메일·주소 |
| 신상 | 성별·생년월일·보호자 정보 |
| 본인 확인 | 연계정보(CI)·중복가입확인정보(DI) |
| 사이트별 | 소속·직급·사번·자격 번호 등 |
맑은소프트는 신용카드·계좌번호 같은 결제 정보는 저장하지 않아 유출 항목에 없다고 밝혔습니다. CI는 주민등록번호를 일방향 암호화한 값이라 여러 서비스가 같은 사람인지 확인할 때 쓰이고, 원칙적으로 바꿀 수 없어요. CI·DI가 유출되면 무엇이 위험한지는 티빙 유출 때 정리한 글에 있습니다.
🔗 링크 첨부 - https://blog.naver.com/rottensweetpotato/224314384302
한 수탁업체 침해와 22개 사이트 유출
여러 기관의 데이터가 한 수탁업체 서버에 모인 위탁 구조 개념 컷 — 출처: 개념 컷 · agy 자가 생성
기관이 교육 사이트를 직접 만들지 않고 LMS 업체에 운영을 맡기면, 여러 기관의 회원 정보가 한 업체의 시스템에 저장됩니다. 공격자는 기관 22곳을 하나씩 공격할 필요 없이 수탁업체 한 곳만 침해하면 됐어요. 한창민 의원은 맑은소프트가 이 분야 업계 1위라며, 위탁한 다른 기관에서도 유출이 있었을 가능성을 배제할 수 없다고 지적했습니다.
권익위 사고로 보관 기간 문제도 확인됐습니다. 권익위는 유출된 것이 배움터의 옛 데이터베이스이고, 맑은소프트가 이를 폐기하지 않고 보유한 것이 피해로 이어졌다고 설명했어요. 권익위는 최근 3년간 위탁사업 전체의 개인정보 파기 현황을 전수 조사하고 있습니다.
| 조항 | 내용 |
|---|---|
| 개인정보 보호법 제21조 | 목적 달성 시 지체 없이 파기 |
| 개인정보 보호법 제26조 | 위탁자의 수탁자 교육·감독 |
맑은소프트가 발표한 8대 대책에는 고객사별 데이터 격리와 접근 권한 축소, 계약 종료 후 데이터 삭제를 포함한 파기 절차 개편, 암호화 키를 서비스 시스템과 분리해 관리하는 방안이 포함돼 있습니다. 대책이 실제로 적용됐는지는 개인정보위 조사에서 확인될 부분이에요.
내 정보 확인 방법
맑은소프트 개인정보 유출 여부 조회 페이지 — 출처: 맑은소프트
맑은소프트는 유출 여부 조회 페이지를 개설했습니다. 가입한 이메일이나 휴대폰 번호로 인증번호를 받아 본인 확인을 하면 유출 여부와 유출된 항목이 표시돼요.
🔗 링크 첨부 - https://privacy-check.malgnsoft.com/
2026년 10월 14일 기준 소셜 로그인 회원은 조회할 수 없고, 전화번호로만 가입한 회원의 문자 인증 조회는 준비 중입니다. 유선 연결이 어려워 문의는 이메일(privacy2@malgnsoft.com)로만 받고 있어요.
어느 사이트가 맑은소프트 LMS를 쓰는지 전체 목록은 공개되지 않았습니다. 공공기관 청렴교육, 국방부 상담관 교육, 협회·노조의 온라인 교육을 들은 적이 있다면 조회해 보는 것이 확실해요.
이용자가 할 일
이용자 조치 다섯 가지 정리 카드 — 출처: 맑은소프트 안내·개인정보 보호법 기반 자가 렌더
비밀번호는 암호화돼 있었지만, 교육 사이트 비밀번호를 다른 곳에도 쓰고 있었다면 함께 바꾸는 것이 안전합니다. 아이디·이메일·휴대폰 번호가 함께 유출돼 다른 서비스에 같은 조합을 대입하는 공격에 쓰일 수 있어요.
이번 사고는 공격자가 고객사 문자 계정으로 스팸을 보내면서 드러났습니다. 교육 수료, 재수강, 유출 보상을 안내하는 문자나 이메일의 링크는 누르지 말고 각 기관 홈페이지에서 직접 확인하세요.
앞으로 주목할 점
- 개인정보위 조사로 확정될 실제 유출 규모와 22곳 전체 명단
- 수탁업체 관리 책임을 놓고 위탁 기관들이 받게 될 처분
- 맑은소프트 LMS를 쓰는 다른 기관의 추가 피해 확인
- 국회가 요구한 LMS 등 온라인 플랫폼 범정부 실태조사 착수 여부