서울 국제학교 3곳, 정보 유출 뒤에도 파워스쿨 사용

지난해 미국계 학사관리 업체 파워스쿨 해킹으로 서울 국제학교 3곳의 개인정보 1만5666건이 유출됐지만, 학교들은 사고 이후에도 해당 시스템을 이용하고 있는 것으로 확인됐다. 서울시교육청은 학교들에 주의를 당부하는 공문을 보냈으나, 유출 사고 뒤 이용 중단이나 외부 보안 점검이 이뤄졌다는 내용은 확인되지 않았다.

2022년부터 올해 9월까지 서울 초·중·고에서 유출된 학생·학부모·교사 개인정보는 2만7000여 건으로 집계됐다. 이 가운데 약 60%가 국제학교 3곳에서 나왔다. 학교별로는 서울외국인학교 6666건, 한국외국인학교 8000건, 서울용산국제학교 1000건이다. 유출 항목에는 이름과 생년월일, 이메일, 주소, 전화번호, 졸업연도와 건강 관련 정보가 포함됐다.

파워스쿨은 2024년 12월 사이버 공격을 받아 학생·교사 데이터가 탈취됐고, 해커에게 돈을 지급한 뒤 데이터 삭제를 약속받았다. 그러나 이듬해 5월 미국 노스캐롤라이나주 공립학교와 캐나다 교육청 등에 유출 자료를 활용한 협박 이메일이 보내져 추가 피해 가능성이 제기됐다. 서울시교육청은 외국인 학교가 국내 교육행정정보시스템 나이스를 사용하지 않아 국내 개인정보 보호 지침을 일괄 적용하기 어렵다고 설명했다.

교육청의 실태 점검은 학교가 자체 진단표에 개인정보 담당자 교육, 최소 수집 원칙 준수, 수탁업체 교육 여부 등을 O·X로 표시해 제출하는 방식이었다. 사고 약 1년 뒤인 올해 1월 제출을 요구했고, 2월 외국인학교 담당자 교육에는 16개교 중 9개교가 불참했다. 교육청은 불참 학교에 안내 공문을 보냈다. 황석진 동국대 교수는 유출 통지 여부 재확인과 국내외 업체 보안 점검, 범부처 대응체계 마련이 필요하다고 말했다. 교육청은 초등교사 개인정보 20만 건이 유출된 아이스크림미디어와도 계약을 이어갔으며, 3~9월 관련 기관의 계약은 4만1935건이었다.