최근 전국 초·중·고교에서 사용 중인 교육용 구글 계정 11만여 개가 비정상적으로 로그인되거나 비밀번호가 무단 변경되는 계정 탈취 이슈가 발생했습니다. 대전 7만 4천여 건, 서울 3만 5천여 건을 비롯해 경기, 광주, 전남 등 전국 단위로 관련 정황이 확인되었으며, 학생들의 이름과 소속 학교, 이메일 등 개인정보 유출에 대한 우려의 목소리도 커지고 있습니다.
이번 소식을 접하며 자연스럽게 몇 가지 의문이 떠오릅니다. “대체 왜 학교 현장에서 구글 계정을 이렇게 널리 쓰게 되었을까?”, “글로벌 IT 기업인 구글 환경에서 왜 이런 계정 탈취가 일어났을까?”
그리고 기업의 실무자와 대표님들이라면 여기서 한 걸음 더 나아가 던져봐야 할 질문이 있습니다. “과연 이것이 학교 현장만의 문제일까요?”
1. 학생들은 왜 ‘구글 계정’을 쓰고 있었을까?
현재 전국 1만 1,600여 개 학교에서 발급된 교육용 구글 계정은 약 453만 개에 달합니다. 공교육 현장이 이토록 거대한 글로벌 플랫폼을 기본 인프라로 쓰게 된 배경에는 2020년 코로나19 팬데믹이 있습니다.
당시 갑작스러운 전면 비대면 수업 전환으로 인해 교육 현장은 신속한 온라인 인프라 구축이 시급했습니다. 자체 시스템을 단기간에 구축하기 어려웠던 상황에서, 구글이 제공하는 ‘구글 워크스페이스 포 에듀케이션(Google Workspace for Education)’은 가장 현실적인 대안이었습니다.
- 별도의 복잡한 서버 구축 없이 즉시 도입 가능
- 교육 기관 대상의 무료 또는 저렴한 라이선스 정책
- 구글 클래스룸, 구글 밋(Meet), 구글 드라이브 등 검증된 협업 편의성
이러한 접근성과 편의성 덕분에 구글 플랫폼은 빠르게 공교육의 표준 도구 중 하나로 자리 잡았습니다. 그러나 도입 이후 수년이 흐르는 동안, 수백만 개의 계정을 둘러싼 체계적인 보안 관리 프로세스는 상대적으로 뒤따르지 못했습니다.
2. 이번 사태의 본질: ‘구글의 결함’이 아닌 ‘관리적 조치의 부재’
일각에서는 이번 사건을 두고 “구글 자체 시스템이 해킹당했다”고 오해하기도 하지만, 정보보안 관점에서 사건의 본질을 들여다보면 실상은 전혀 다릅니다.
구글 데이터센터나 클라우드 인프라 자체가 침해된 것이 아니라, ‘계정 발급 및 운영 과정에서의 관리적 보호조치 미흡’이 빚어낸 사고에 가깝습니다.
즉, 컴플라이언스의 부재가 리스크로 이어진 것입니다.
- 초기 비밀번호의 일괄 부여와 변경 미강제: 관리 편의를 위해 학생들의 초기 비밀번호를 생년월일, 학번, 연속된 숫자 등 단순한 규칙으로 일괄 설정한 뒤, 이후 변경을 의무화하지 않고 유지한 사례가 많았습니다.
- 다중 인증(MFA / 2FA)의 부재: 금융이나 공공 시스템에서는 기본 요건인 2단계 인증이 적용되지 않아, 아이디와 비밀번호 조합만 확보하면 외부 어디서든 계정 로그인이 가능했습니다.
- 크리덴셜 스터핑(Credential Stuffing) 공격 노출: 공격자들은 다른 경로를 통해 확보한 계정 정보 목록을 무차별 대입하거나, 유추하기 쉬운 초기 비밀번호 규칙을 조합해 대규모 로그인을 시도했습니다.
개인정보보호법 제29조(안전성 확보조치 기준)는 개인정보처리자에게 접근 권한의 관리, 비밀번호 작성 규칙 수립, 침해사고 방지를 위한 접속기록 점검 등의 기술적·관리적 보호조치를 취할 것을 규정하고 있습니다. 이번 사건은 시스템 자체의 보안 기술과 무관하게, 내부 관리 체계가 뒷받침되지 않으면 언제든 계정 탈취가 발생할 수 있다는 점을 명확히 보여줍니다.
3. “우리 회사는 괜찮다?” 구글폼과 스프레드시트를 쓰는 기업의 거울
이 대목에서 일반 기업의 마케팅, 인사, 운영 담당자라면 한 번쯤 업무 방식을 돌아볼 필요가 있습니다. 학교의 관리 소홀 사례를 남 일처럼 여기기 쉽지만, 많은 기업들이 여전히 비슷한 위험에 노출된 채 고객 개인정보를 다루고 있기 때문입니다.
- 신규 서비스 사전 예약이나 고객 피드백 수집을 구글폼으로 진행하고 계신가요?
- 채용 과정에서 지원자의 이력서와 포트폴리오를 담당자 개인 구글 드라이브나 노션에 모아두고 계신가요?
- 이벤트 당첨자의 이름, 연락처, 주소가 담긴 구글 스프레드시트 링크를 팀원들과 자유롭게 공유하고 있지는 않나요?
이러한 협업 방식은 매우 익숙하고 편리하지만, 보안 구조 측면에서는 이번 학교 계정 사례와 유사한 리스크를 안고 있습니다.
해당 시트 열람 권한을 가진 실무자 중 단 한 명의 구글 계정이라도 피싱 메일이나 비밀번호 유출 등으로 탈취된다면 어떻게 될까요? 공격자는 별도의 침투 기술 없이도 직원의 드라이브에 접근해 수천, 수만 건의 고객 DB를 손쉽게 내려받을 수 있습니다.
개인정보보호위원회는 내부 직원의 계정 관리 소홀로 외부 침입이 발생해 고객 정보가 유출된 사안에 대해 “안전성 확보조치 불이행”으로 과징금 및 과태료 처분을 내리고 있습니다. 널리 쓰이는 대형 플랫폼을 이용했다는 사실만으로는 법적 면책 사유가 되지 않습니다.
4. 훌륭한 업무 도구 구글, 왜 ‘개인정보’가 닿는 순간 위험해질까?
오해하지 말아야 할 점은, 구글 워크스페이스는 현대 비즈니스 환경에서 대체하기 어려울 정도로 매우 훌륭하고 강력한 도구라는 사실입니다.
문제는 이 편리한 도구를 ‘개인정보 관련 업무’에 끌어들이는 순간 시작됩니다.
구글과 같은 생산성 도구의 가장 큰 강점은 ‘누구나 링크 하나로 쉽게 문서를 열람하고, 자유롭게 권한을 공유할 수 있는 개방성’입니다. 하지만 아이러니하게도 개인정보보호 영역에서는 이 ‘쉬운 공유와 높은 접근성’이 가장 치명적인 보안 취약점으로 돌변합니다.
개인정보는 일반 사내 기획서나 아이디어 회의록과 전혀 다릅니다. 법적으로 엄격한 접근 권한 통제, 암호화 저장, 접속 로그 기록, 그리고 보유 기간 만료 후의 영구 파기라는 까다로운 기술적·관리적 보호조치가 필수적입니다. 즉, 툴의 태생적 목적(협업 극대화)과 개인정보보호의 목적(접근 최소화 및 통제)이 정면으로 충돌하기 때문에 리스크가 급격히 커지는 것입니다.
| 구분 | 일반 업무 생산성 도구 | 개인정보보호 전용 솔루션 |
| 태생적 목적 | 팀원 간 자유로운 공유 및 협업 극대화 | 접근 통제 및 법적 안전성 확보 |
| 법정 필수 동의 | 단순 텍스트 입력 (필수/선택 미구분 다수) | 법적 기준에 맞춘 항목별 표준 동의서 템플릿 제공 |
| 접근 권한 통제 | 링크 공유로 권한 통제 및 추적 한계 | 직무별 권한 분리 및 2단계 인증 필수 적용 |
| 접속기록 관리 | 파일 다운로드 이력 및 사유 추적 불가 | 다운로드 사유 기록 및 접근 로그 안전 보관 |
| 데이터 파기 | 시트에 장기 방치되어 보유 기간 초과 위험 | 약정된 보유 기간 만료 시 ‘자동 영구 파기’ |
아무리 좋은 칼이라도 용도에 맞지 않는 곳에 쓰면 다치기 마련이듯, 고객의 개인정보는 생산성 도구가 아닌 ‘개인정보보호 전용 솔루션’으로 해결하셔야합니다.
5. 고객 정보 관리, 편리함과 안전성 모두 챙기는 방법
학교 구글 계정 탈취 사태는 개인정보를 다루는 모든 조직에 중요한 교훈을 남깁니다. 관리 체계가 생략된 편의성은 언젠가 서비스 신뢰도 저하와 법적 책임이라는 큰 비용으로 돌아올 수 있습니다.
일반 협업과 문서 작업은 구글 워크스페이스로 스마트하게 진행하되, 고객의 이름, 연락처, 이메일이 들어오는 통로와 저장소는 법적 기준에 맞춰 철저히 분리해야 합니다.
B2B 개인정보보호 전문 서비스 캐치시큐(CATCHSECU)는 기업이 복잡한 법률 조항을 일일이 해석하지 않아도, 안전한 보안 체계와 컴플라이언스를 갖출 수 있도록 지원합니다.
- 캐치폼을 통한 적법한 수집 : 전문가가 감수한 표준 동의서 템플릿을 통해 필수 항목과 선택 항목을 명확히 구분하고, 법적 효력을 갖춘 동의를 손쉽게 수집할 수 있습니다.
- 접근 권한 통제 및 접속기록 관리 : 수집된 데이터는 안전하게 암호화되어 저장되며, 다중 인증(MFA)과 다운로드 사유 입력을 필수로 거치도록 설계되어 내부 통제를 강화합니다.
- 보유 기간 만료 시 자동 파기 : 이벤트 종료나 동의받은 보유 기간 만료 시점에 맞춰 시스템이 데이터를 자동으로 영구 파기하므로, 방치로 인한 법 위반 위험을 사전에 차단합니다.
개인정보 사고는 수습보다 사전 예방 체계를 마련하는 것이 훨씬 경제적이고 안전합니다.
지금 우리 회사의 구글 드라이브와 공유 스프레드시트에 보관된 고객 정보가 안전하게 관리되고 있는지 점검해 보세요. 법적 리스크를 줄이고 고객의 신뢰를 지키는 개인정보 관리, 캐치시큐와 함께 체계적으로 시작해 보시기 바랍니다.
