[국립부경대학교] 등록금 수납시스템(수협은행 캠퍼스e모아) 해킹…학생·직원 5,108명 개인정보 유출, 금전 요구로 인지_2026년 10월
국립부경대학교의 등록금 수납관리에 쓰이는 수협은행 '캠퍼스e모아시스템'이 보안 취약점 공격을 받아, 공격자가 비인가 관리자 계정을 만들어 학생 5,106명과 직원 2명 등 5,108명의 개인정보를 조회했습니다. 무단 접근은 2026년 10월 17~18일에 일어났고, 대학은 10월 20일 밤 유출 정보를 이용한 금전 요구를 받고서야 사고를 알았습니다.
□ 개요
국립부경대학교는 2026년 10월 23일 홈페이지에 '개인정보 유출 사실 안내 및 사과문'을 게시하고, 등록금 수납관리시스템과 관련해 학생·직원 5,108명의 개인정보가 유출됐다고 밝혔습니다.
대학에 따르면 외부 공격자가 수협은행 캠퍼스e모아시스템의 보안 취약점을 악용해 비인가 관리자 계정을 만들고, 10월 17일 12시 57분부터 18일 9시 27분까지 시스템에 무단 접근했습니다. 이 시스템은 수협은행이 (주)쿠콘닷넷에 위탁해 운영하는 등록금 수납 서비스입니다. 유출 대상은 학생 5,106명과 등록금 업무담당 직원 2명입니다. 학생은 성명, 학번(수험번호), 학과(전공), 등록금 수납액, 가상계좌가, 직원은 성명, 부서, 직급, 내선번호, 휴대전화번호, 이메일이 유출됐으며 주민등록번호는 포함되지 않았습니다.
대학은 10월 20일 오후 9시 40분경 유출 정보를 이용한 금전 요구를 받고 사고를 인지했습니다. 이후 사고대응팀을 꾸려 신규 회원가입 기능 차단, 비인가 계정 비활성화, 공격 IP 차단 등을 진행했고, 교육부·개인정보보호위원회 등 관계기관에 신고하고 경찰에 수사를 의뢰했습니다. 등록금·환불·장학금 안내를 사칭한 보이스피싱·스미싱에 주의해야 합니다.
□ 사고내용 요약
1. 회사명 : 국립부경대학교(시스템 : 수협은행 캠퍼스e모아시스템, 운영 위탁사 (주)쿠콘닷넷)
2. 사고유형
- 등록금 수납시스템 보안 취약점 악용 → 비인가 관리자 계정 생성 → 개인정보 무단 조회, 이후 금전 요구
3. 유출규모
- 총 5,108명(학생 5,106명, 등록금 업무담당 직원 2명)
4. 유출항목
| 구분 | 인원 | 유출 항목 |
|---|---|---|
| 학생 | 5,106명 | 성명, 학번(수험번호), 학과(전공), 등록금 수납액, 가상계좌 |
| 직원 | 2명 | 성명, 부서, 직급, 내선번호, 휴대전화번호, 이메일 |
| 합계 | 5,108명 | 주민등록번호 등 그 밖의 항목은 유출되지 않은 것으로 확인 |
5. 특이사항
- 대학 자체 시스템이 아닌 은행(수협은행)이 위탁 운영하는 등록금 수납 서비스가 뚫린 공급망형 사고
- 공격자가 취약점으로 관리자 계정을 직접 만들어 접근했고, 대학은 공지 후 신규 회원가입 기능을 차단함
- 대학은 침입(10월 17~18일) 후 약 3일 만에 공격자의 금전 요구로 사고를 인지해, 이상 징후를 스스로 탐지하지 못함
- 등록금 수납액과 가상계좌가 함께 유출돼, 등록금 미납·추가 납부·환불을 사칭한 금융사기에 악용될 우려
- 캠퍼스e모아시스템은 여러 대학이 쓰는 등록금 수납 서비스로 알려져 있어, 다른 대학으로 피해가 번졌는지 확인 필요(추정)
- 취약점의 구체적 내용, 공격자의 금전 요구 규모·방식은 미공개
□ 사고대응 타임라인
- 2026년 10월 17일(토) 12시 57분 ~ 18일(일) 09시 27분
. 외부 공격자, 캠퍼스e모아시스템 취약점 악용해 비인가 관리자 계정 생성 후 등록금 관련 정보 무단 조회
- 2026년 10월 20일(화) 21시 40분경
. 유출 정보를 이용한 금전 요구로 대학 사고 인지
- 인지 이후(일자 미공개)
. 사고대응팀 구성, 신규 회원가입 기능 차단, 비인가 계정 비활성화, 공격 IP 차단, 외부 접근 통제 강화
. 증거 보전, 교육부·개인정보보호위원회 등 관계기관 신고, 경찰 수사 의뢰
- 2026년 10월 23일(금)
. 홈페이지에 '개인정보 유출 사실 안내 및 사과문' 게시(총무과), 대상자 개별 통지, 민원 콜센터 운영
- 2026년 10월 24일(토)
. 시사매거진 보도
- 진행 중
. 경찰 수사, 회원가입·본인확인 절차 강화와 대량 조회 제한 등 재발방지 대책 추진
□ 개인정보 유출 관련 홈페이지 안내
개인정보 유출 사실 안내 및 사과문
작성 : 총무과 / 2026-10-23
■ 사고 내용
외부 공격자가 수협은행 캠퍼스e모아시스템의 보안 취약점을 악용하여 비인가 관리자 계정을 생성하고 무단 접근
■ 유출 시점 및 인지 경위
2026년 10월 17일 12:57 ~ 10월 18일 09:27 무단 접근, 10월 20일 21:40경 유출 정보를 이용한 금전 요구를 통해 인지
■ 유출 대상 및 항목
- 학생(5,106명) : 성명, 학번, 학과(전공), 등록금 수납액, 가상계좌
- 직원(2명, 등록금 업무담당) : 성명, 부서, 직급, 내선번호, 휴대전화번호, 이메일
- 주민등록번호 등 그 밖의 항목은 유출되지 않은 것으로 확인
■ 대학 조치
사고대응팀 구성, 신규 회원가입 기능 차단, 비인가 계정 비활성화, 공격 IP 차단, 관계기관 신고, 경찰 수사 의뢰, 대상자 개별 통지, 민원 콜센터 운영, 재발방지 대책 추진
■ 유의사항
학교·금융기관을 사칭한 보이스피싱·스미싱 주의. 출처가 불분명한 링크·첨부파일을 열지 말고, 계좌번호·비밀번호·OTP·신분증 사진을 제공하거나 의심스러운 앱을 설치하지 말 것
■ 피해 발생 시
경찰(112), 금융감독원(1332), 해당 금융회사에 즉시 신고
■ 문의처
민원 대응 콜센터 1577-1628 (평일 09:00~18:00)
"소중한 개인정보를 안전하게 보호하지 못하여 불편과 심려를 끼쳐드린 점 깊이 사과드립니다."
국립부경대학교 개인정보 보호책임관
※ 공지 원문을 항목별로 정리했습니다.
□ 대응내역
- (국립부경대) 사고대응팀 구성, 신규 회원가입 기능 차단, 비인가 계정 비활성화, 공격 IP 차단, 외부 접근 통제 강화
- (국립부경대) 증거 보전, 교육부·개인정보보호위원회 신고, 경찰 수사 의뢰
- (국립부경대) 대상자 개별 통지, 홈페이지 사과문 게시(10월 23일)
- (수협은행) 민원 대응 콜센터 운영(1577-1628)
- (국립부경대) 회원가입·본인확인 절차 강화, 대량 조회 제한 등 재발방지 대책 추진
※ 취약점 내용, 금전 요구 규모, 다른 대학 피해 여부, 수협은행·쿠콘닷넷의 공식 입장은 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 관리자 계정은 회원가입으로 만들 수 없게 하고, 생성·권한 부여 시 별도 승인과 다중 인증(MFA) 적용
- 신규 관리자 계정 생성, 대량 조회, 야간·휴일 접속 등 이상 징후 실시간 탐지·알림
- 가상계좌·수납액 등 금융 정보 화면 마스킹과 조회 범위 최소화
- 같은 시스템을 쓰는 다른 기관까지 포함한 취약점 점검과 긴급 패치
2. 관리적 조치
- 은행·위탁사가 운영하는 외부 시스템도 대학의 개인정보 처리 위탁으로 관리하고 정기 점검
- 위탁 계약에 이상 징후 통보 기한, 로그 제공, 보안 요구사항 명시
- 공격자의 금전 요구에 대한 대응 절차(응대 금지, 수사기관 공유) 마련
- 학생 피해 예방 : 등록금 미납·추가 납부·환불·장학금을 언급하는 연락은 대학 공식 창구로 다시 확인하고, 안내받은 계좌로 바로 송금하지 않기
□ 관련기사(출처)
감사합니다.