서울대 6년간 해킹 28건…매년 500건 넘는 공격 시도

무슨 일이 있었나

국내 최대 국립대학인 서울대학교가 최근 6년간 28차례 해킹 피해를 입은 것으로 확인됐다. 이 가운데 실제 개인정보 유출로 이어진 사고는 2건이며, 유출된 개인정보는 모두 1132건이다.

유출 규모가 가장 컸던 사고는 2021년에 발생했다. 외부 공격자가 서울대 홈페이지의 취약점을 파고들어 시스템에 침입한 사례로, 전형적인 웹 애플리케이션 공격 경로였다. 나머지 한 건은 2024년에 발생했고, 그 외 26건의 침해 사고에서는 현재까지 개인정보 유출이 확인되지 않았다.

올해 발생한 4건에는 홈페이지에 웹셸(Web Shell) 업로드가 이뤄진 사례와 분산서비스거부(DDoS) 공격으로 웹서비스에 장애가 생긴 사례가 포함됐다. 웹셸은 공격자가 서버에 몰래 심어두는 원격 제어용 파일로, 한 번 설치되면 서버 안에서 명령 실행·파일 탈취가 가능해 침해의 '교두보'가 된다.

숫자가 말해주는 것: 공격 시도는 계속 늘고 있다

더 주목할 지점은 '피해 건수'가 아니라 '시도 건수'다. 서울대를 겨냥한 해킹 시도는 매년 500건 이상으로 집계됐고, 2024년 561건, 지난해 575건에 이어 올해는 현재까지 588건으로 꾸준히 증가하고 있다. 연말까지 집계되면 올해 수치는 더 올라갈 가능성이 크다.

이 숫자를 뒤집어 읽으면, 수백 건의 시도 중 실제 침해로 이어진 건 연평균 4~5건 수준이라는 뜻이기도 하다. 방어가 전혀 작동하지 않은 것은 아니다. 다만 28건은 결국 뚫렸다는 사실이 남는다. 그리고 침해 사고 대다수에서 "개인정보 유출이 확인되지 않았다"는 표현은 '유출이 없었다'와 같은 말이 아니다. 로그 보존 기간이 짧거나 모니터링 범위가 제한적이면 유출 여부 자체를 입증하지 못하는 경우가 많기 때문이다.

왜 대학이 표적이 되나

대학은 공격자 입장에서 효율이 좋은 표적이다. 학생·교직원·졸업생의 신원 정보와 연구 데이터가 쌓여 있는데, 보안 예산과 인력은 금융권이나 대기업에 비해 현저히 적다. 게다가 대학 전산 환경은 중앙 집중형이 아니라 단과대·연구실별 분산 구조인 경우가 많다. 학과 홈페이지, 연구실 서버, 학회용 임시 사이트처럼 관리 주체가 제각각인 자산이 수백 개씩 존재하고, 이런 '잊혀진 서버'가 웹셸 공격의 단골 진입점이 된다.

서울대의 2021년 사고가 '홈페이지 취약점'을 통한 침입이었다는 점, 올해 사고에도 다시 웹셸 업로드가 등장했다는 점은 이 구조적 문제가 5년 넘게 반복되고 있음을 시사한다. 기업이 침해를 당하면 과징금과 주가 하락이라는 즉각적 압력을 받지만, 대학은 그런 시장 압력이 약해 개선 속도가 느려지기 쉽다는 점도 배경으로 지목할 만하다.

그래서 무엇이 달라져야 하나

유출 규모 1132건은 수백만 건 단위의 대형 유출 사고에 비하면 작아 보인다. 하지만 대학이 보유한 정보는 성명·학번·연락처에 그치지 않고 학적·성적·연구 참여 이력까지 포함될 수 있어, 건수보다 정보의 민감도가 문제다. 소수의 정보라도 표적형 피싱이나 사칭에 재활용되기 쉽다.

현실적으로 개인이 할 수 있는 대응은 제한적이다. 대학 계정을 다른 서비스와 같은 비밀번호로 쓰고 있다면 분리하고, 2단계 인증을 켜두는 것이 가장 효과적이다. 또한 '학교 전산팀', '장학금 안내'를 사칭한 메일은 유출된 재학생 명단과 결합될 때 성공률이 급격히 올라가므로, 링크보다 공식 포털 주소를 직접 입력해 접속하는 습관이 필요하다.

기관 차원에서는 산재한 웹자산의 전수 목록화(자산 인벤토리), 장기 로그 보존, 그리고 침해 사실을 확인할 수 있는 탐지 체계 구축이 선행돼야 한다. "확인되지 않았다"는 답변이 반복되는 한, 피해 규모에 대한 통계 자체를 신뢰하기 어렵다.