[구글 워크스페이스] 대전·서울 등 5개 시도 학교 구글 워크스페이스 계정 11만여 개 탈취·비밀번호 무단 변경…학생 개인정보 유출 가능성_2026년 10월

코로나19 시기 원격수업용으로 만든 학교 구글 워크스페이스 계정이 잇따라 탈취돼, 대전·서울·전남·경기·광주 5개 시도에서 계정 11만 1,052개가 비정상 로그인이나 비밀번호 무단 변경 피해를 입었습니다(10월 18일 기준). 계정 ID·비밀번호와 함께 학생 이름·학교명·학년·반 등이 노출됐을 가능성이 있지만, 탈취 경로와 실제 유출 범위는 아직 확인되지 않았습니다.

□  개요 

   교육부가 국회 교육위원회 강경숙 의원(조국혁신당)에게 제출한 전국 시도교육청 전수조사 결과, 학교 구글 계정 11만 1,052개가 비정상 로그인이나 비밀번호 무단 변경 피해를 입은 것으로 확인됐습니다.
    시도별로는 대전 7만 4,246개, 서울 3만 5,500개, 전남 811개, 경기 367개, 광주 128개입니다. 전국 1만 1,637개 학교가 온라인 수업에 쓰는 구글 워크스페이스 계정 453만 2,766개의 약 2.4%에 해당합니다. 피해는 9월 말 대전에서 처음 드러났고, 10월 들어 서울, 전남·광주, 경기로 이어졌습니다.
    공격자는 해외 IP에서 탈취한 아이디·비밀번호로 로그인한 뒤 비밀번호를 바꾼 것으로 파악됐습니다. 구글은 자사 시스템이 침해된 정황은 없다는 입장이지만, 계정 정보가 어떻게 새어 나갔는지는 아직 밝혀지지 않았습니다. 노출됐을 가능성이 있는 정보는 지역에 따라 계정 ID, 비밀번호, 학생 이름, 학교명, 학년·반입니다. 교육부는 10월 13일 전국 교육청에 비밀번호 전면 변경과 관리자 계정 2단계 인증 의무화 등을 긴급 지시했습니다.

 

□  사고내용 요약  

    1. 회사명 : 대전·서울·전남·경기·광주 시도교육청 소속 학교 구글 워크스페이스(Google Workspace for Education) 계정
    2. 사고유형
        - 계정 탈취(탈취한 계정정보로 로그인 후 비밀번호 무단 변경), 탈취 경로 미확인
    3. 유출규모
        - 피해 계정 11만 1,052개(2026년 10월 18일 기준, 교육부 전수조사)

    4. 유출항목(노출 가능성, 실제 유출 미확인)

시도	피해 계정 수	노출 가능 정보	비고
대전	74,246개	계정, 비밀번호, 이름	200개 기관(학교 195곳, 기관 5곳)
서울	35,500개	계정, 암호화된 비밀번호(ID·이름 필수, 학교·학년·반은 학교별 선택 입력)	73개 학교, 2020년 원격수업용 도메인
전남	811개	계정, 비밀번호, 학교명, 학생명	10월 14일 비밀번호 무단 변경
경기	367개	계정, 비밀번호, 학년, 반	단위학교가 관리하는 계정
광주	128개	계정, 비밀번호, 학교명, 학생명	-
합계	111,052개	-	전체 학교 구글 계정 453만 2,766개의 약 2.4%

    ※ 교육부 전수조사 결과(강경숙 의원실, 10월 18일 기준). 외부 유출 여부와 접근 범위는 확인되지 않았습니다.

    5. 특이사항
        - 공격자는 해외 IP에서 탈취한 아이디·비밀번호로 정상 로그인한 뒤 비밀번호를 바꿈(대전 의심 계정에서 프랑스 파리 IP 접속 흔적, 실제 위치인지 우회 서버인지는 미확인)
        - 구글은 "자사 시스템 침해 정황은 없다"는 입장. 계정정보의 최초 유출 경로는 미확인
        - 피해 계정 상당수는 코로나19 시기 원격수업용으로 대량 개설한 뒤 장기간 쓰지 않은 계정(서울은 연내 폐쇄 예정이던 2020년 원격수업 도메인)
        - 교육청이 로그인 기록 등을 직접 확인하기 어려워 구글에 의존하는 조사 구조라는 지적(대전은 무료 버전, 다른 교육청은 유료 버전 사용)
        - 서울은 9월 29일부터 비밀번호 강제 변경이 시작됐지만, 10월 11일 구글의 연락을 받고서야 인지
        - 공격자가 클래스룸·드라이브의 과제·수업자료 등을 열람하거나 내려받았는지는 확인되지 않음
        - 10개 시도교육청이 공동 추진하는 AIEP(통합 로그인 플랫폼)도 구글 계정을 쓰지만(6,383개교, 185만여 계정), 직접 침해는 확인되지 않음

□  사고대응 타임라인  

    - 2026년 09월 28일 ~ 10월 01일
        . (대전) 학생 계정 로그인 장애·비정상 접근 정황 확인, 구글에 원인 분석·차단 요청
    - 2026년 09월 29일
        . (서울) 해외 IP에서 로그인 후 비밀번호 강제 변경 시작(당시 미인지)
    - 2026년 10월 02일
        . (대전) 각급 학교에 비밀번호 변경 안내, 교육부 보고
    - 2026년 10월 03일
        . (대전) 구글, 계정 공격 차단 시도했으나 실패한 것으로 전해짐
    - 2026년 10월 04일 22시 13분경
        . (대전) 구글, 약 200개 기관 7만여 계정 비밀번호 무단 변경 통보 → 교육청, 전체 계정 비활성화·로그인 차단
    - 2026년 10월 07일
        . 국회 교육위원회 교육부 국정감사 : 최교진 장관 "엄중하게 보고 있다, 전수조사하겠다"
        . 교육부, 전국 시도교육청 전수조사 착수
        . (대전) 교육청·구글코리아 첫 대면 대책회의
    - 2026년 10월 11일 19시 30분경
        . (서울) 구글 연락으로 서울시교육청 교육연구정보원 인지, 해외 IP 공격은 당일 자정 무렵까지 이어짐
    - 2026년 10월 12일
        . (서울) 새벽, 관리자 계정을 제외한 약 63만 8천 개 계정 일시 정지
        . (서울) 교육부 사이버안전센터에 사고 신고
    - 2026년 10월 13일
        . 교육부, 전국 교육청에 긴급 공문 : 비밀번호 전면 변경, 관리자 계정 2단계 인증 필수, 장기 미사용 계정 비활성화·삭제(1차 결과 16일, 2차 20일까지 제출)
    - 2026년 10월 14일
        . (전남·광주) 학교 구글 계정 비밀번호 무단 변경 발생
        . 서울시교육청 국정감사 : 정근식 교육감 "해커가 추가 침해 행위는 하지 않았다", 이상 로그 모니터링 인력이 비전문가 1명이라는 지적
    - 2026년 10월 16일
        . (전남·광주) 교육청 누리집 공지, 계정 긴급 비활성화·비밀번호 변경 안내
    - 2026년 10월 18일
        . 교육부 전수조사 집계 : 5개 시도 11만 1,052개 계정 피해(경기·광주 추가 확인)
    - 2026년 10월 19일 ~ 20일
        . 강경숙 의원, 전수조사 결과 공개
    - 진행 중
        . 교육청·구글 공동 로그 분석, 탈취 경로·공격 주체·실제 유출 범위 조사

□  개인정보 유출 관련 홈페이지 안내  

교육부 긴급 공문 주요 내용(2026년 10월 13일, 언론 보도 기준)

"코로나19 확산 시기 원격수업 등을 위해 개설한 구글 비즈니스 계정(Workspace)을 대상으로 한 해킹 공격으로 계정정보가 탈취되는 사고"

- 학생·교직원 구글 계정 비밀번호 전면 변경, 복잡한 조합 의무화
- 교육청·학교 구글 워크스페이스 관리자 계정 2단계 인증 필수 적용
- 졸업·전출 등으로 장기간 쓰지 않은 계정 비활성화 또는 삭제
- 다른 사이트와 같은 비밀번호 사용 자제 안내, 의심 접속·무단 변경 발견 시 즉시 신고
- 시도교육청 조치 결과 제출 : 1차 10월 16일, 2차 10월 20일

전남·광주 교육청 안내(10월 16일, 언론 보도 기준)
- 학교 구글 계정 긴급 비활성화, 각급 학교에 비밀번호 변경 안내
- 스미싱 주의, 명의 도용 여부 확인 당부
- 유출 항목이 확인되면 다시 통지 예정

□  대응내역  

    - (교육부) 전국 시도교육청 전수조사, 비밀번호 전면 변경·관리자 2단계 인증·미사용 계정 정리 긴급 지시(10월 13일)
    - (대전교육청) 전체 계정 비활성화·로그인 차단, 수업에 필요한 계정은 신청을 받아 비밀번호 변경 조건으로 재활성화, 미사용 계정 삭제·관리자 권한 정비·비정상 로그인 모니터링 추진
    - (서울시교육청) 관리자 외 약 63만 8천 개 계정 일시 정지, 교육부 사이버안전센터 신고, 구글 기술자문 인력 2명 상주 조사
    - (전남·광주 교육청) 계정 긴급 비활성화, 비밀번호 변경·스미싱 주의 안내
    - (구글) 로그 추출·분석, 2단계 인증·비밀번호 재설정 지원
     ※ 탈취 경로, 공격 주체·목적, 실제 열람·다운로드 여부, 개인정보보호위원회 신고 여부, 학생·학부모 개별 통지 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 관리자 계정뿐 아니라 교직원 계정까지 2단계 인증 적용, 학생 계정은 학교 SSO 연동 등으로 비밀번호 단독 로그인 최소화
        - 해외 IP·비정상 시간대 로그인, 대량 비밀번호 변경 등 이상 징후를 자동 탐지·알림하고, 필요하면 국가별 접속 제한 적용
        - 초기 비밀번호 일괄 부여 방식(학번·생년월일 등 추측 가능한 규칙) 폐지, 최초 로그인 시 변경 강제
        - 관리 콘솔 감사 로그를 교육청이 직접 보관·분석할 수 있도록 로그 연동 체계 마련

    2. 관리적 조치
        - 코로나19 시기 대량 개설한 계정 등 장기 미사용·졸업생 계정 전수 점검 후 삭제, 계정 생명주기(생성·휴면·삭제) 관리 기준 수립
        - 계정 정보 최초 유출 경로(피싱, 정보탈취 악성코드, 비밀번호 재사용 등)를 규명해 같은 방식의 재공격 차단
        - 외부 클라우드 서비스 이용 시 사고 대응 협조, 로그 제공 범위 등 사업자 책임을 계약으로 명확히 정함
        - 이상 로그 모니터링에 전문 인력 배치
        - 학생·학부모 피해 예방 : 학교 계정과 같은 비밀번호를 쓰는 다른 서비스의 비밀번호 변경, 학교·교육청을 사칭한 문자·메일 링크 클릭 금지

□  관련기사(출처)  

• 학교 구글 계정 탈취 11만 건 넘어...개인정보 유출 가능성도 - 금강일보
• 학교 구글 계정 11만 건 해킹…AIEP 등 교육 보안체계 '빨간불' - 교육플러스
• 학교 구글계정 탈취 11만 건 넘어... 경기·광주 피해 추가 확인 - 교육언론[창]
• [속보] 대전 학교용 구글 계정 7만여 개 비밀번호 무단 변경…"긴급 조치" - 대전일보
• 학생 구글계정 피해조사 '깜깜이'…구글, 원인 규명보다 "교육청 조사 지원" - 교육플러스
• [단독] 대전 이어 서울도 학생 구글계정 탈취…교육부, 전국 교육청에 긴급 비밀번호 변경 지시 - 교육플러스
• 서울시교육청, 구글 계정 3.5만개 털려…정근식 "해커 추가 행위 없어" - 머니투데이
• “3만5500개 구글 계정 탈취됐는데 모니터링 1명?”…국감서 서울교육청 대응 추궁 - 교육플러스
• 대전·서울 이어 전남까지…교육계 구글 계정 '도미노 해킹' - 교육플러스
• 75,000 School Google Accounts in Daejeon Had Passwords Changed Without Consent - Seoul Economic Daily

감사합니다.