오피니언 · 사회
아이의 이름이 담긴 서버는 누가 지키나
방콕 국제학교 랜섬웨어 피해 주장 이후, 학부모가 학교에 물어야 할 개인정보 질문 세 가지
이달 중순, 방콕의 한 영국계 국제학교 이름이 랜섬웨어 조직의 유출 사이트에 올랐다. 여러 사이버 위협 정보 사이트에 따르면 '더 젠틀맨'이라는 조직이 10월 16일 이 학교를 피해 기관으로 게시했다. 다만 어떤 자료가 얼마나 빠져나갔는지는 공개되지 않았고, 이 정보 사이트들도 범죄 조직의 주장일 뿐 확인된 유출은 아니라고 밝히고 있다. 그래서 이 글은 특정 학교의 잘잘못을 따지려는 글이 아니다. 어느 학교에서든 일어날 수 있는 일이라는 점을 말하고 싶다.
낯선 일도 아니다. 지난해 9월 런던의 한 어린이집 체인은 해킹을 당해 원아 약 8,000명의 이름, 사진, 생년월일, 집 주소, 부모 연락처를 빼앗겼다고 알려졌다. 범인들은 아이 10명의 신상을 다크웹에 올려 부모와 운영사를 압박했다. 학교가 노려지는 이유는 단순하다. 학비를 내는 가정의 연락처, 여권 사본, 비자 서류, 성적과 상담 기록, 의료 정보까지 민감한 자료가 한곳에 모여 있기 때문이다.
외국에서 아이를 키우는 한국 가정에게 이 문제는 더 무겁다. 입학 때 우리는 여권과 비자 사본, 부모의 직장 정보, 예방접종 기록을 큰 고민 없이 학교에 건넨다. 그 자료가 유출되면 보이스피싱과 사칭 메일의 재료가 된다. 아이의 얼굴과 이름, 다니는 학교가 함께 돌아다닌다는 사실은 학비보다 훨씬 비싼 대가다.
태국에도 기준은 있다. 2022년 6월 전면 시행된 개인정보보호법(PDPA)은 유출을 알게 된 기관이 72시간 안에 개인정보보호위원회(PDPC)에 신고하도록 하고, 위험이 큰 경우 당사자에게도 지체 없이 알리도록 한다. 위원회는 지난해 보안이 허술했거나 유출을 신고하지 않은 병원과 기업들에 수백만 바트 단위의 과징금을 매겼다. 학교라고 예외일 이유는 없다.
학부모가 지금 해 둘 일은 세 가지다.
첫째, 학교에 무엇을 맡겼는지 목록을 만들어 두라. 입학 서류, 학부모 앱, 급식·스쿨버스 결제, 외부 학습 플랫폼까지 따져 보면 생각보다 많다. 꼭 필요하지 않은 사본은 제출하지 않아도 되는지, 졸업이나 전학 뒤에는 언제 지우는지 물어볼 수 있다.
둘째, 학교의 개인정보 담당자와 사고 대응 원칙을 확인하라. 개인정보보호책임자(DPO)가 누구인지, 유출이 생기면 가정에 어떤 경로로 며칠 안에 알리는지, 외부 업체와는 어떤 계약을 맺었는지 묻는 것은 무례한 질문이 아니다.
셋째, 가정 안에서 먼저 대비하라. 학교를 사칭한 학비 납부 메일이나 계좌 변경 안내는 반드시 전화로 다시 확인하고, 학부모 앱 비밀번호는 다른 곳과 겹치지 않게 바꾸며, 2단계 인증을 켜 두는 것만으로도 피해의 상당 부분을 막을 수 있다.
학교에 바라는 것은 침묵이 아니라 설명이다. 사고는 막지 못할 수 있지만, 무슨 일이 있었고 무엇을 하고 있는지 먼저 알리는 학교는 신뢰를 잃지 않는다. 정부에도 바란다. 교육기관을 위한 보안 지침과 점검을 마련하고, 국제학교 인가 심사에 개인정보 관리 항목을 넣어 주기를 바란다.
학교를 고를 때 우리는 교실과 운동장과 졸업생 진학 실적을 본다. 이제 하나를 더 봐야 한다. 아이의 이름이 담긴 서버를 누가, 어떻게 지키고 있는가.
M31 SCHOOL에 먼저 게재된 오피니언을 필자명과 원문을 유지해 함께 싣습니다.
원문 발행일: 2026-10-28T22:53:24.512Z · M31 SCHOOL 원문
참고 자료
본 칼럼은 필자의 개인 의견입니다
