🔐 연세대 포털이 뚫렸어요… 학번·연락처 1만여 명 유출, 오늘 오후 1시부터 내 유출 여부 확인됩니다
아침에 눈 뜨자마자 속보 알림이 떠 있어서 깜짝 놀랐어요. 😳
연세대학교 포털서비스가 외부에서 해킹을 당했고, 재학생·졸업생 등 1만여 명의 개인정보가 유출됐다는 소식이었어요.
저는 연세대 출신은 아닌데도 가슴이 쿵 하더라고요. 올해 들어 통신사, 카드사, 쇼핑몰까지 줄줄이 털리는 걸 봤으니까요.
그리고 이번엔 좀 다른 포인트가 있어요. 오늘 오후 1시부터 연세대 대표 홈페이지에서 “내 정보가 유출됐는지, 어떤 항목이 나갔는지”를 개인별로 확인할 수 있게 안내된다는 거예요.
그래서 오늘은 지금까지 확인된 사실만 깔끔하게 정리하고, 유출 통보를 받았을 때 진짜로 해야 하는 일까지 같이 적어볼게요.
혹시 본인이나 가족이 연세대 재학생·졸업생이시면, 스크롤 끝까지 한 번 봐주시면 좋겠어요. 🙏
🔐 지금까지 확인된 사실, 이것만 보면 돼요
먼저 핵심만 표로 묶었어요. 기사들이 조금씩 다른 표현을 쓰는데, 공통으로 확인된 내용만 담았습니다.
| 구분 | 내용 |
|---|---|
| 발생 대상 | 연세대학교 포털서비스(학내 통합 로그인 포털) |
| 공격 방식 | 외부에서의 비인가 접근(해킹) |
| 피해 규모 | 재학생·졸업생 등 약 1만여 명 |
| 유출 항목 | 학번, 휴대전화번호, 이메일 주소 등 + 일부 시스템 관리 정보 |
| 유출 안 된 항목 | 주민등록번호 등 고유식별정보, 민감정보 (※ 학교 측 설명) |
| 공지 주체 | 연세대 정보통신처 ‘개인정보 유출 안내’ 공지 |
| 학교 조치 | 유출 경로·공격자 IP 차단, 수사기관 수사 의뢰, 개인정보보호위원회 신고 |
| 개인별 확인 | 10월 22일 오후 1시부터 연세대 대표 홈페이지 공지사항에서 확인 안내 |
표를 보면 느껴지시죠? 주민번호는 안 나갔다는 게 그나마 다행인 부분이에요.
그런데 여기서 “그럼 별일 아니네”로 끝내면 안 되는 이유가 있어요.
학번 + 이름 + 휴대전화번호 + 이메일 이 네 개 조합은, 스미싱 문자를 만드는 사람 입장에서는 꽤 강력한 재료예요.
“○○님, 연세대 학번 20XXXXXX 관련 장학금 환급 안내”처럼 나를 정확히 아는 척하는 문자가 올 수 있다는 뜻이거든요.
⏰ 하루 만에 벌어진 일, 시간순으로 볼게요
| 시점 | 상황 |
|---|---|
| 10월 21일 저녁 | 연세대 포털 해킹 및 개인정보 유출 사실이 언론에 처음 보도 |
| 10월 21일~22일 | 학교, 외부 접근에 이용된 유출 경로와 공격자 IP 차단 |
| 10월 22일 오전 | 정보통신처 ‘개인정보 유출 안내’ 공지 — 유출 사실 공식 확인 |
| 10월 22일 오전 | 수사기관 수사 의뢰 / 개인정보보호위원회 신고 사실 보도 |
| 10월 22일 오후 1시 | 대표 홈페이지 공지에서 개인별 유출 여부·항목 확인 안내 시작 |
속보가 뜬 지 반나절 만에 개인별 조회까지 열린다는 건, 학교가 유출 범위를 이미 특정했다는 뜻이에요.
이건 오히려 괜찮은 신호예요. 유출 사고에서 제일 무서운 건 “몇 명인지, 뭐가 나갔는지 모르겠다”는 상황이니까요.
🔍 ‘포털’ 하나가 뚫린 게 더 신경 쓰이는 이유
이번에 뚫린 게 하필 포털서비스라는 점을 좀 짚고 싶어요.
대학 포털은 그냥 게시판 사이트가 아니에요. 보통 통합 로그인(SSO)의 입구 역할을 해요.
아이디 하나로 학사정보, 수강신청, 성적, 도서관, 메일, 증명서 발급까지 쭉 연결되는 구조인 거죠.
그러니까 포털 계정 영역이 노출됐다는 건, 공격자 입장에서는 ‘건물 전체의 로비’를 한 번 들여다봤다는 의미가 돼요.
물론 이번 건은 학교 설명대로 유출 항목이 학번·연락처·이메일 수준이고, 성적이나 민감정보까지 나갔다는 발표는 없었어요.
다만 “일부 시스템 관리 정보도 함께 유출됐다”는 대목은 좀 눈여겨볼 만해요.
시스템 관리 정보라는 건 보통 설정값·구성 정보 같은 걸 말하는데, 이게 나가면 다음 공격의 설계도가 될 수 있어서예요.
그래서 학교가 수사 의뢰까지 바로 간 거라고 봐요. 단순 조회 사고로 끝낼 성격이 아니라고 판단한 거죠.
여기서 재학생분들이 지금 할 수 있는 제일 현실적인 조치는 하나예요.
포털 비밀번호를 지금 바꾸고, 그 비밀번호를 다른 데서 쓰고 있었다면 거기도 전부 바꾸는 것.
비밀번호 재사용은 유출 사고의 피해를 몇 배로 키우는 1순위 원인이에요. 저도 이번에 걸려서 반성했어요. 😇
🏫 왜 하필 ‘대학’이 자꾸 뚫릴까요
이게 저도 제일 궁금했던 부분이에요. 은행도 아니고 대학이 왜요?
보안 업계에서 꼽는 이유는 꽤 단순했어요.
1. 들고 있는 정보가 너무 많아요.
대학 시스템 안에는 재학생만 있는 게 아니에요. 수십 년치 졸업생, 교수, 직원 정보가 다 쌓여 있어요.
사회 각계에서 활동하는 동문 명단이 한 곳에 모여 있는 셈이라, 공격하는 쪽에서는 가성비가 좋은 표적이 되는 거죠.
2. 그런데 보안 예산은 기업만큼 못 써요.
포털, 학사시스템, 도서관, 메일, 학과 홈페이지… 관리해야 할 접점은 엄청나게 많은데 전담 인력은 한정적이에요.
그래서 오래 방치된 구형 시스템 한 곳이 입구가 되는 경우가 반복돼요.
실제로 올해 들어 알려진 국내 대학·교육기관 유출 사례만 모아보면 이렇게 돼요.
| 기관 | 유출 내용 |
|---|---|
| 연세대 (이번 건) | 재학생·졸업생 등 1만여 명 / 학번·휴대전화·이메일 등 |
| 이화여대 | 통합정보시스템 해킹, 1982~2022학년도 입학 졸업생 일부 / 성명·주민등록번호·메일·주소·학적 정보 |
| 구미대 | 아이디·성명·이메일 등 5개 항목 |
| 한국방송통신대 | 입학지원자 개인정보 5개 항목 유출 가능성 |
| 미국 콜롬비아대 | 약 87만 명 규모 / 핵티비스트 소행으로 발표 |
| 미국 프린스턴대 | 기부자·동문 등 개인정보 데이터 유출 |
표로 보니까 더 또렷하네요. 이화여대 쪽은 주민등록번호까지 포함됐던 사례라 체감 위험도가 달랐어요.
그 기준으로 보면 이번 연세대 건은 “항목 범위는 상대적으로 좁지만, 연락처 기반 2차 피해 위험은 분명히 있는” 유형이에요.
3. 그리고 졸업생 입장에서는 좀 억울해요.
이번 건에 졸업생이 포함됐다는 점이 저는 제일 마음에 걸렸어요.
졸업한 지 10년, 20년 지난 사람은 학교 포털에 로그인한 기억조차 없을 거예요.
그런데도 정보는 계속 남아 있다가 이렇게 나가버리는 거죠. 내가 관리할 수도, 지울 수도 없는 상태로요. 😔
이화여대 사례에서 1982학년도 입학자까지 포함됐던 걸 보면, 대학이 들고 있는 데이터의 시간 폭이 얼마나 긴지 짐작이 되실 거예요.
그래서 유출 안내 문자나 메일을 받으시면, “나는 졸업했는데 왜?” 하고 넘기지 말고 꼭 항목을 확인해보셔야 해요.
🧾 솔직히 말하면, 우리는 이미 한 번씩 다 털렸어요
이 얘기를 안 하고 넘어가기가 어렵더라고요.
지난해부터 올해까지 국내에서 터진 대형 유출만 모아보면, 사실상 전 국민이 최소 한 번은 포함됐다고 봐도 과장이 아니에요.
| 사업자 | 규모 | 주요 유출 항목 |
|---|---|---|
| SK텔레콤 | 약 2,324만 명 | 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki·OPc) 등 25종 |
| 쿠팡 | 약 3,370만 계정 (정부 조사 기준 3,367만 건 확인) | 이름·주소·전화번호·이메일·공동현관 비밀번호·최근 주문내역 (결제정보 제외) |
| 롯데카드 | 약 297만 명 | 일부(약 28만 명)는 카드번호·유효기간·CVC 포함 |
| KT | 개인정보 2만 2,227명 | 무단 소액결제 피해 368명 발생 |
| LG유플러스 | 해킹 피해 발생, KISA 신고 | 대표가 공식 신고 방침 발표 |
롯데카드는 이후 고객 297만 명 유출로 과징금 96억 원이 부과됐고, 쿠팡 건은 배송지 목록 1억 4,000만 건이 조회된 사실까지 정부 조사에서 확인됐어요.
통신 3사는 사고 이후 보안에 3,353억 원을 더 썼다는 집계도 나왔어요.
숫자가 커지니까 감각이 무뎌지는데… 결국 저 숫자 안에 제 이름도, 여러분 이름도 들어 있다는 거잖아요. 😮💨
그래서 올해 보안 업계가 공통으로 내놓은 처방이 아주 명확해요. “일단 2차 인증부터 걸어라”는 거였어요.
🛡️ 유출 문자 받았다면, 이 5가지만 하세요
이게 오늘 글에서 제일 쓸모 있는 부분일 것 같아요. 순서대로 적어볼게요.
① 먼저 ‘내 유출 항목’을 직접 확인하세요
연세대 재학생·졸업생이시면 오늘 오후 1시 이후 대표 홈페이지 공지사항에서 개인별 유출 여부와 항목을 확인할 수 있어요.
어떤 항목이 나갔는지에 따라 다음 대응이 완전히 달라지기 때문에, 이걸 건너뛰면 안 돼요.
② 엠세이퍼(M-Safer)에 가입제한을 걸어두세요
한국정보통신진흥협회(KAIT)가 운영하는 무료 명의도용 방지 서비스예요.
내 명의로 새 휴대전화나 인터넷이 개통되려고 하면 실시간 문자로 알려주고, ‘가입제한’을 설정해두면 아예 개통 자체를 원천 차단해줘요.
지금 내 이름으로 개통된 휴대전화·인터넷·유선전화 목록도 전부 볼 수 있어요. 모르는 회선이 있으면 그 자리에서 잡히는 거죠.
③ 어카운트인포로 계좌·카드도 훑어보세요
엠세이퍼가 통신 쪽이면, 어카운트인포는 금융 쪽이에요. 내 명의 계좌와 카드 발급 내역을 한 번에 확인할 수 있어요.
④ 주요 계정에 2단계 인증을 켜세요
이메일 주소가 나갔다는 건 “로그인 ID 하나는 이미 넘어갔다”는 뜻이에요.
구글·네이버·카카오처럼 다른 서비스로 연결되는 중심 계정부터 2단계 인증을 걸어두는 게 제일 효율이 좋아요.
그리고 학교 포털과 같은 비밀번호를 다른 곳에 쓰고 있었다면, 오늘 바꾸는 게 맞아요.
⑤ 앞으로 오는 문자의 링크는 무조건 누르지 마세요
| 이런 문자가 오면 | 어떻게 |
|---|---|
| “개인정보 유출 확인하기” + URL | 누르지 말고 삭제 → 공식 홈페이지에서 직접 확인 |
| “피해 보상금 신청” + URL | 유출 사고 보상은 문자 링크로 신청받지 않아요 |
| “저금리 대출 승인” + URL | 전형적인 스미싱 패턴 |
| 학교·기관 이름으로 앱 설치 유도 | 절대 설치 금지 |
| 실제 금전 피해 발생 | 경찰청 112 또는 경찰민원센터 182 신고 |
핵심은 하나예요. 유출 안내는 내가 찾아가서 확인하는 것, 문자 링크로 들어가는 게 아니라는 것.
유출 사고 뒤에 오는 2차 피해는 대부분 이 지점에서 시작돼요.
📮 그래도 찝찝하면, 신고 경로도 알아두세요
“내 정보가 나갔는데 그냥 넘어가야 하나” 싶을 때 쓸 수 있는 공식 창구들이에요.
저도 이번에 찾아보고 처음 알게 된 것들이 있었어요.
| 창구 | 어떤 때 | 이용 방법 |
|---|---|---|
| 개인정보침해 신고센터 | 내 개인정보에 관한 권리·이익을 침해받았을 때 | 국번 없이 118 전화 / privacy.kisa.or.kr |
| 개인정보 포털 | 침해신고, 분쟁조정 신청 등 종합 | privacy.go.kr |
| 털린 내 정보 찾기 | 내 아이디·비밀번호가 유출돼 떠돌고 있는지 조회 | 개인정보 포털 내 서비스 |
| 개인정보 분쟁조정위원회 | 사업자·기관과 피해 보상 합의가 필요할 때 | 개인정보보호위원회(pipc.go.kr) 안내 |
| 경찰 112 / 182 | 실제 금전 피해가 발생했을 때 | 112 신고 또는 경찰민원센터 182 |
특히 ‘털린 내 정보 찾기’는 이번 사건과 상관없이 한 번쯤 돌려볼 만해요.
내 계정 정보가 이미 어딘가 유출 데이터에 포함돼 있는지 확인할 수 있어서, 비밀번호 바꿀 우선순위를 정하는 데 도움이 돼요.
참고로 신고는 두 종류로 나뉘어요. 침해신고는 개인(정보주체)이 하는 거고, 유출신고는 기관·기업이 해야 하는 의무예요.
연세대는 이미 개인정보보호위원회에 유출 신고를 한 상태라, 앞으로 조사 결과가 나올 거예요.
신고가 접수되면 법규 위반 여부를 검토해서 시정·행정지도를 하고, 필요하면 행정조사로 전환돼 개인정보보호위원회로 넘어간다고 하더라고요.
올해 롯데카드가 과징금 96억 원을 맞은 것도 이런 절차의 끝에 나온 결과였어요.
🚶♀️ 저도 어제 저녁에 계정 정리를 했어요
사실 이 소식 보고 바로 노트북을 열었어요.
퇴근하고 산책 다녀와서 씻고 누웠다가, 괜히 찝찝해서 다시 일어났거든요. 🫠
비밀번호 관리 앱을 켜서 ‘같은 비밀번호 재사용’ 경고가 뜬 계정만 골라봤는데… 일곱 개가 나왔어요. 부끄럽더라고요.
그중 메인 이메일이랑 쇼핑몰 두 곳은 그 자리에서 바꾸고 2단계 인증까지 걸었어요. 10분 정도밖에 안 걸렸어요.
엠세이퍼 가입제한도 그때 같이 설정했는데, 생각보다 절차가 간단해서 “이걸 왜 이제 했지” 싶었어요.
이런 건 사고 터졌을 때 하는 게 제일 동기부여가 잘 되는 것 같아요. 평소엔 절대 안 하게 되니까요. 😅
아침엔 커피 들고 동네 한 바퀴 돌면서 생각했는데요.
이제는 “유출을 안 당하는 법”보다 “유출된 다음에 피해로 안 번지게 하는 법”을 챙기는 게 현실적인 것 같아요.
어차피 내가 통신사 서버를, 학교 서버를 지킬 수는 없잖아요.
대신 2단계 인증, 비밀번호 비재사용, 엠세이퍼 가입제한 — 이 세 개는 제가 직접 걸어둘 수 있는 자물쇠니까요. 🔒
✍️ 정리하면요
이번 연세대 건은 주민번호 같은 고유식별정보는 빠졌다는 점에서 최악은 아닌 유출이에요.
다만 학번·휴대전화·이메일 조합은 정교한 스미싱의 재료가 되기에 충분하니까, 당분간 오는 문자들은 한 번 더 의심하셔야 해요.
그리고 해당되시는 분은 꼭 오늘 오후 1시 이후 공지에서 내 유출 항목을 직접 확인해보세요.
항목을 알아야 대응 범위가 정해지니까요.
저는 수사 결과랑 개인정보보호위원회 조사 진행 상황 나오면 또 정리해서 올려볼게요. 다들 문자 조심하세요! 🙏
참고 — 세계일보: 연세대 포털 해킹, 학생 등 1만여명 개인정보 유출 · 아시아투데이: 연세대 해킹 피해 1만여명 · 보안뉴스: 2026 보안 핫 키워드 — 긴급 자물쇠는 ‘2차 인증’ · 대한민국 정책브리핑: 소중한 개인정보 지키려면
