[수협은행] 국립부경대 등록금 수납관리시스템(캠퍼스e모아) 해킹으로 학생·교직원 5,108명 개인정보 유출…11월 보상안 발표_2026년 11월

수협은행이 국립부경대학교에 제공하는 등록금 수납관리시스템 ‘캠퍼스e모아시스템’(㈜쿠콘 운영)이 2026년 10월 17~18일 해킹당했다. 외부 공격자는 비인가 관리자 계정을 만들어 학생 5,106명과 교직원 2명, 모두 5,108명의 성명·학번·학과·등록금 수납액·가상계좌번호 등을 빼냈다. 사고는 금전 요구를 받고서야 드러났고, 수협은행은 11월 9일 사과와 함께 피해구제·보상안을 발표했다.

□  개요 

   수협은행은 2026년 11월 9일 홈페이지에 ‘등록금 수납관리시스템 개인정보 유출 사실 사과 및 피해구제 안내’를 게시했다. 국립부경대학교 주거래은행으로서 제공 중인 등록금 수납관리시스템에 외부 비인가자가 접근해 학생과 교직원의 개인정보가 유출됐다는 내용이다.
    유출이 일어난 시스템은 수협은행이 부경대에 제공하고 ㈜쿠콘이 운영하는 ‘캠퍼스e모아시스템’이다. 외부 공격자는 10월 17일 12시 57분부터 18일 9시 27분까지 시스템의 보안 취약점을 악용해 비인가 관리자 계정을 만들고 개인정보를 조회했다. 유출된 정보는 학생 5,106명의 성명, 학번(수험번호), 학과(전공)명, 등록금 수납액, 가상계좌번호와, 등록금 업무 담당자 2명의 성명, 부서, 직급, 내선·휴대전화번호, 이메일이다. 이 시스템은 주민등록번호·주소·금융정보를 보유하지 않으며, 수협은행 인터넷뱅킹 등 금융거래 시스템과도 관계없다.
    사고는 10월 20일 21시 40분경 유출 정보를 빌미로 한 금전 요구를 받으면서 드러났다. 부경대는 10월 23일 유출 사실을 공지하고, 교육부·개인정보보호위원회에 신고했으며 경찰에 수사를 의뢰했다. 신규 회원가입 차단, 비인가 계정 비활성화, 공격 IP 차단도 진행했다. 수협은행은 11월 9일 사과문을 내고 피해 발생 시 전액 지원을 약속했다. 아울러 전담창구 운영, 금융범죄 피해보상 보험 가입, 최고 VIP(더퍼스트) 등급 부여, 외화환율 우대를 보상안으로 내놨다. 그러나 보상안이 사고 3주 넘게 지나서 나왔고, VIP 등급과 환율 우대는 은행 거래를 새로 시작해야 받을 수 있어 ‘보상을 빙자한 영업’이라는 비판이 나왔다. 회원가입 기능이 열려 있던 외부 시스템에서 관리자 권한이 탈취된 사례로, 권한 상승 취약점이나 관리자 계정 생성 검증 미흡이 원인일 가능성이 있다(추정).

 

□  사고내용 요약  

    1. 회사명 : 수협은행(시스템 운영 ㈜쿠콘, 피해 기관 국립부경대학교)
    2. 사고유형
        - 해킹 : 등록금 수납관리시스템(캠퍼스e모아) 취약점 악용, 비인가 관리자 계정 생성 후 개인정보 조회
        - 협박 : 유출 정보를 빌미로 금전 요구
    3. 유출규모
        - 5,108명(학생 5,106명, 등록금 업무 담당 교직원 2명)

    4. 유출항목
        - 학생 : 성명, 학번(수험번호), 학과(전공)명, 등록금 수납액, 가상계좌번호
        - 교직원 : 성명, 부서, 직급, 내선전화번호, 휴대전화번호, 이메일 주소
        ※ 주민등록번호·주소·금융정보는 시스템에 보유하지 않아 미유출

    5. 특이사항
        - 은행이 대학에 제공한 외부 위탁 시스템(쿠콘 운영)에서 발생한 공급망 사고
        - 자체 탐지가 아닌 금전 요구(협박)로 사고를 인지(공격 종료 약 2.5일 후)
        - 등록금 수납액·가상계좌 유출로 등록금 납부·환불 사칭 사기 우려
        - 은행 보상안(VIP 등급·환율 우대)에 ‘영업 연계’ 비판

□  사고대응 타임라인  

    - 2026년 10월 17일(토)
        . 12:57 외부 공격자가 비인가 관리자 계정을 생성해 개인정보 조회 시작
    - 2026년 10월 18일(일)
        . 09:27 비정상 접근 종료
    - 2026년 10월 20일(화)
        . 21:40경 유출 정보를 빌미로 한 금전 요구 확인, 사고 인지
    - 2026년 10월 20일 이후
        . 신규 회원가입 차단, 비인가 계정 비활성화, 공격 IP 차단, 증거 보존
        . 교육부·개인정보보호위원회 신고, 경찰 수사 의뢰
    - 2026년 10월 23일(금)
        . 국립부경대, 개인정보 유출 공지·대상자 개별 통지
    - 2026년 11월 09일(월)
        . 수협은행, 사과문·피해구제 안내 게시, 보상안 발표
    - 진행 중
        . 경찰 수사, 지속 모니터링·보안 강화

□  개인정보 유출 관련 홈페이지 안내  

등록금 수납관리시스템 개인정보 유출 사실 사과 및 피해구제 안내
2026-11-09

수협은행을 주거래 은행으로 이용해 주시는 국립부경대학교 학생 및 교직원님들께

금차 국립부경대학교의 주거래은행으로서 학생 및 교직원의 개인정보가 유출되어 심려를 끼쳐 드린 점, 깊은 사과의 말씀을 드립니다.

최근 외부 비인가자가 비정상적인 방법으로 수협은행이 국립부경대학교에 제공 중인 등록금 수납 관리시스템에 접근하여 학생과 교직원의 개인 정보가 유출된 사실을 확인하였습니다.

당행은 유출 사실을 인지한 즉시, 전사적인 비상 대응 체계를 가동하고, 대상 시스템 접근 제한 및 보안 정책 강화, 비정상적인 접근 모니터링 등 필요한 긴급조치를 완료하였습니다.

현재 확인된 유출 발생 시스템, 항목, 시점 및 안내사항은 다음과 같습니다.

개인정보 유출 시스템 및 시점
· 수협은행에서 국립부경대학교 제공 중인 주식회사 쿠콘의 등록금 수납 관리시스템 『캠퍼스e모아시스템』
· 유출시점 : 2026년 10월 17일(토) 12:57
※ 고객 정보가 유출된 시스템은 외부 별도 시스템인 「등록금 수납 관리시스템」으로 수협은행 인터넷뱅킹 등 금융거래 시스템과는 무관합니다.

개인정보 유출 항목
· 국립부경대학교 학생(5,106명) : 성명, 학번(수험번호), 학과(전공)명, 등록금 수납액, 가상계좌번호
· 국립부경대학교 등록금 업무 담당자(2명) : 성명, 부서, 직급, 내선전화번호, 휴대전화번호, 이메일 주소
※ 해당 시스템은 위에서 기술한 항목 외 주민등록번호, 연락처, 주소, 금융정보 등 개인정보는 보유·수집하지 않습니다.

안내사항 (피해상담 및 피해구제 접수)
· 전용콜센터 1577-1628 (운영시간 : 평일 09:00 ~ 18:00)
· 수협은행 부경대금융센터 (운영시간 : 평일 : 09:00 ~ 16:00)

이번 유출 사고가 발생한 등록금 수납 관리시스템에는 고객 금융거래 관련 정보를 보유하지 않으며, 유출도 없습니다. 수협은행은 이번 유출 사고로 인하여 손해를 입게 되시는 경우 주거래은행으로서 책임을 다해 전액 지원할 것을 약속드립니다.

또한, 정보가 유출된 학생과 교직원을 위해 전담창구 운영, 금융범죄 피해보상 보험가입, 당행 최고 우수 VIP(더퍼스트) 등급 부여, 외화환율 우대 등 제공방안을 마련하였습니다.

그리고 유사 사례 발생 가능성을 사전에 원천 차단하기 위하여 실질적인 대책을 수립하여 실시 완료하였고, 추가 피해가 발생하지 않도록 지속적인 모니터링 및 보안 강화 등 가능한 모든 조치를 신속하게 추진하겠습니다.

수협은행 및 주식회사 쿠콘 임직원 모두는 이번 개인정보 유출 사고로 걱정과 불편을 끼쳐드린 점을 매우 엄중하게 받아들이고 있습니다. 금번 사태로 심려를 끼쳐드리게 된 점 다시 한번 진심으로 사과드립니다.

수협은행 임직원 일동

※ 수협은행 및 국립부경대학교는 유출사고 관련으로 고객님들께 URL, 링크를 포함한 문자와 유선 안내를 하지 않습니다. 유출사실 확인, 등록금 납부안내 (환불, 미납 등) 등이 있다면 스미스 등 100% 금융사기에 해당합니다.

 

 

붙임1. 정보유출 유의사항 및 권리 구제방법.pdf

0.05MB

□  대응내역  

    - (국립부경대) 사고대응팀 구성, 신규 회원가입 차단, 비인가 계정 비활성화, 공격 IP 차단, 증거 보존
    - (국립부경대) 교육부·개인정보보호위원회 신고, 경찰 수사 의뢰, 대상자 개별 통지(10월 23일 공지)
    - (수협은행) 비상 대응 체계 가동, 시스템 접근 제한·보안 정책 강화, 전용 콜센터 운영
    - (수협은행) 사과문 게시, 피해 전액 지원 약속, 보상안(피해보상 보험·VIP 등급·환율 우대) 발표
     ※ 공격자 정체, 요구 금액, 구체적 취약점, 캠퍼스e모아를 쓰는 다른 대학 영향 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 회원가입·계정 생성 시 권한 부여 검증 강화, 관리자 계정 생성 시 승인 절차와 즉시 알림
        - 관리자 페이지 외부 접근 차단과 MFA 적용
        - 개인정보 대량 조회·다운로드 제한과 이상행위 탐지
        - 같은 솔루션을 쓰는 다른 대학 시스템도 동일 취약점 전수 점검

    2. 관리적 조치
        - (은행) 대학·기관에 제공하는 위탁 시스템의 정기 보안점검과 수탁사(쿠콘) 관리·감독 강화
        - 사고 인지 즉시 정보주체 통지와 실질적인 피해 보상 체계 마련
        - 학생 대상 등록금 납부·환불 사칭 스미싱 주의 안내

□  관련기사(출처)  

• 등록금 수납관리시스템 개인정보 유출 사실 사과 및 피해구제 안내 - 수협은행
• 국립부경대 학생·직원 5,108명 개인정보 유출…수협은행 등록금 시스템 뚫려 - 데일리시큐
• 국립부경대 등록금 시스템 해킹…5108명 개인정보 유출 - 세계일보
• 국립부경대 수납시스템 해킹…학생·교직원 5100여 명 개인정보 유출 - 부산일보
• 개인정보 유출에 환율 우대…수협은행 보상 빙자한 영업? - SBS Biz(서플)

감사합니다.