[멀티캠퍼스] 임직원 교육 '러닝플랫폼' 클라우드 비인가 접근으로 고객사 임직원 약 7만 명 정보 유출…금융권 사이버연수 영향_2026년 11월
삼성SDS 자회사로 기업·공공기관 임직원 교육을 맡는 멀티캠퍼스의 온라인 교육 서비스 ‘러닝플랫폼’이 쓰는 클라우드 환경에 2026년 11월 9일 비인가 외부 접속이 있었다. 이 사고로 이용 고객 약 7만 명의 이름·전화번호·이메일·부서명·사번 등이 유출된 것으로 전해졌다. 사이버연수를 위탁한 금융사 등 고객사 임직원 정보가 영향을 받았다.
□ 개요
멀티캠퍼스는 2026년 11월 11일 밤 고객사에 개인정보 유출 사실을 알리고, 같은 시점(21시)에 개인정보보호위원회에 신고했다. 온라인 임직원 교육 서비스 ‘러닝플랫폼’이 쓰는 클라우드 환경에 11월 9일 비인가 외부 접근이 있었다는 내용이다.
멀티캠퍼스는 삼성SDS 자회사로, 기업·공공기관 임직원 교육과 영어 말하기 시험 OPIc의 국내 운영을 맡고 있다. 최근 5년 누적 서비스 고객사는 국내외 약 1만 6천 곳, 최근 10년 누적 학습자는 약 2,600만 명이다. 지난해 삼성 계열사 거래 비중은 약 49%다. 이번 사고로 러닝플랫폼 이용 고객 약 7만 명의 정보가 유출된 것으로 전해졌다. 유출 항목은 이름, 전화번호, 이메일, 부서명, 사번이며, ID·직급·직위까지 포함됐다는 보도도 있다. 주민등록번호 등 민감정보 유출과 금전 피해는 확인되지 않았다. 정확한 규모와 항목은 조사 후 확정될 예정이다.
멀티캠퍼스에 사이버연수를 맡긴 일부 금융사도 사고를 인지하고 대응에 나섰다. 시중은행들은 사내 연수 부서를 통해 사실관계를 파악하고 있지만, 금융사 임직원의 구체적 피해 규모는 아직 확인되지 않았다. 개인정보위는 신고를 접수하고 사전 검토 단계에 있다. 접근 경로와 원인, 공격 주체는 공개되지 않았다. 여러 기업·기관의 임직원 정보를 한곳에 모아 처리하는 교육 위탁 플랫폼이 공격받은 공급망 사고다. 유출된 회사명·부서·사번·연락처 조합은 특정 기업 임직원을 노린 스피어피싱·사칭 메일에 악용될 우려가 있다(추정). 최근 금융권 연쇄 해킹 와중에 금융사 임직원 정보까지 노출돼 2차 공격 가능성에 대한 경계가 필요하다.
□ 사고내용 요약
1. 회사명 : ㈜멀티캠퍼스(삼성SDS 자회사)
2. 사고유형
- 해킹 : 온라인 임직원 교육 ‘러닝플랫폼’ 클라우드 환경 비인가 외부 접근(11월 9일)
3. 유출규모
- 약 7만 명(러닝플랫폼 이용 고객, 조사 후 확정 예정)
4. 유출항목
- 이름, 전화번호, 이메일, 부서명, 사번
- (일부 보도) ID, 직급, 직위
※ 주민등록번호 등 민감정보와 금전 피해는 확인되지 않음
5. 특이사항
- 삼성 계열 교육 위탁사의 사고로, 다수 고객사 임직원 정보가 한꺼번에 노출(공급망 사고)
- 사이버연수를 위탁한 금융사 임직원 정보도 영향을 받아 금융권이 사실관계 파악 중
- 발생(11월 9일)부터 고객사 통지·신고(11월 11일 밤)까지 약 2일
- 회사명·부서·사번·연락처 조합이 노출돼 스피어피싱에 악용될 우려(추정)
- 접근 경로·원인·공격 주체 미공개
| 구분 | 보도된 유출 항목 |
| 8개 항목 보도 | 이름, 전화번호, 이메일, 부서명, 사번, ID, 직급, 직위 |
| 5개 항목 보도 | 이름, 전화번호, 이메일, 부서명, 사번 |
※ 보도마다 유출 항목 범위가 달라 나란히 표기함, 최종 항목은 조사 후 확정 예정
□ 사고대응 타임라인
- 2026년 11월 09일(월)
. 러닝플랫폼 클라우드 환경에 비인가 외부 접속 발생
- 2026년 11월 11일(수)
. 밤, 고객사에 유출 사실 통지
. 21시, 개인정보보호위원회 신고
- 2026년 11월 12일(목)
. 사고 사실 보도, 개인정보위 사전 검토 착수 확인
. 사이버연수 위탁 금융사들, 사내 연수 부서 통해 사실관계 파악
- 진행 중
. 정확한 유출 규모·항목 확정 조사
□ 회사·당국 입장
< 멀티캠퍼스 >
· 러닝플랫폼이 사용하는 클라우드 환경에 비인가 접근이 확인됨
· 11월 11일 밤 고객사 통지, 개인정보보호위원회 신고
· 정확한 유출 규모와 항목은 조사 후 확정 예정
< 개인정보보호위원회 >
· 신고 접수, 사전 검토 단계
< 금융권 >
· 사이버연수 위탁 일부 금융사가 사고 인지 후 대응
· 시중은행, 사내 연수 부서를 통해 사실관계 파악 중(금융사 임직원 피해 규모 미확인)
※ 멀티캠퍼스의 홈페이지 공지는 확인되지 않아, 공개된 입장을 요약함
□ 대응내역
- (멀티캠퍼스) 비인가 접근 확인, 고객사 통지, 개인정보보호위원회 신고
- (개인정보보호위원회) 신고 접수, 사전 검토
- (금융사) 사내 연수 부서를 통한 자사 임직원 영향 파악
※ 접근 경로, 원인(클라우드 설정 오류·계정 탈취 등), 공격 주체, 차단·조치 내역, 영향 고객사 수는 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 클라우드 보안 상태 관리(CSPM)로 스토리지·DB 공개 설정과 과다 권한 점검
- 클라우드 관리 콘솔·접근 키 MFA, 키 주기적 교체, 미사용 키 폐기
- 고객사별 데이터 논리적 분리와 대량 조회·반출 이상행위 탐지
2. 관리적 조치
- (고객사) 교육 위탁사에 제공하는 임직원 정보 최소화(사번·휴대전화 등 불필요 항목 제외)
- (고객사) 수탁사 보안점검 정례화와 침해 시 즉시 통지 의무 계약 반영
- (고객사) 임직원 대상 교육 수료·연수 안내를 사칭한 피싱 메일 주의 공지
□ 관련기사(출처)
감사합니다.