대교 개인정보 유출 과징금 32억
마카다미아 회원 65만 명 CI 유출 뒤 할 일
대교 온라인 교육 서비스 '마카다미아'에 가입한 적이 있다면, 이번 과징금 소식에서 확인할 것이 하나 있습니다. 대교 개인정보 유출로 나간 항목에 연계정보(CI)가 들어 있었다는 점입니다. 비밀번호와 달리 CI는 내가 바꿀 수 없습니다.
그렇다고 당장 돈이 빠져나가는 정보는 아닙니다. CI는 여러 사이트가 '같은 사람'인지 맞춰 보는 열쇠라서, 이름·생년월일·휴대전화번호와 묶이면 본인확인을 흉내 낸 사기에 쓰일 수 있습니다. 무엇이 언제 나갔는지, 회원이 지금 확인할 것과 피해 구제 창구를 정리했습니다.
개인정보보호위원회는 10월 28일 제21회 전체회의에서 대교에 과징금 32억5,500만 원과 시정명령·공표명령을 의결했고, 29일 결과를 발표했습니다. 유출은 2024년 8월과 2025년 2월 두 차례였습니다.
1. 개인정보위 발표로 본 유출 경위
| 구분 | 내용 |
|---|---|
| 처분 | 과징금 32억5,500만 원, 시정명령, 공표명령(10월 28일 의결) |
| 위반 조항 | 개인정보 보호법 제29조(안전조치의무) |
| 침입 경로 | 관계사 홈페이지 웹 취약점으로 웹셸 업로드 |
| 악성코드 실행 | 2024년 8월, 2025년 2월 두 차례 |
| 유출 대상 | 온라인 교육 서비스 '마카다미아' 회원 약 65만 명 |
| 유출 항목 | 이름, 생년월일, 휴대전화번호, 연계정보(CI) |
웹셸은 홈페이지에 몰래 올려 서버를 원격으로 조종하는 파일입니다. 관계사 웹서버에서 대교 회원 데이터베이스로 바로 접속할 수 있게 열어 둔 연결이 통로가 됐다고 개인정보위는 설명했습니다. 유출 시점이 1년도 더 지났다는 점이 중요합니다. 이 정보는 이미 어딘가에서 쓰였을 수 있으니, 최근 받은 이상한 연락을 이 사고와 연결해 볼 필요가 있습니다.
2. 마카다미아 회원이었다면 확인할 순서
① 가입 이력 확인
메일함에서 '마카다미아', '대교' 가입·결제 메일을 찾습니다. 가족이 대신 가입했을 수도 있으니 가족 메일함도 함께 봅니다.
② 회사 통지 확인
개인정보위가 공표명령을 내린 만큼 대교는 처분 사실을 공개적으로 알려야 합니다. 홈페이지 공지를 확인하세요. 유출 통지 문자를 받았는지도 확인합니다.
③ 내 명의 휴대폰 조회
엠세이퍼(msafer.or.kr)에서 내 명의로 개통된 휴대폰이 늘지 않았는지 봅니다. 이름·생년월일·번호가 함께 나간 경우 가장 먼저 확인할 곳입니다.
④ 피해 자료 모으기
2024년 8월 이후 받은 교육 상담·환불 사칭 문자나 통화 기록이 있다면 캡처해 둡니다. 분쟁조정을 신청할 때 근거가 됩니다.
CI 자체를 재발급하는 일반 이용자용 절차는 따로 안내되지 않았습니다. 그래서 할 수 있는 일은 'CI가 쓰이는 길목'을 지키는 쪽입니다. 휴대폰 개통, 계좌 개설, 간편결제 가입처럼 본인확인이 필요한 곳에서 내 명의가 쓰이지 않았는지 보는 것이 핵심입니다.
3. 경고를 받고도 6개월 뒤 같은 방식으로 또 나갔다면
이번 처분에서 개인정보위가 무겁게 본 대목입니다. 대교는 2024년 8월 첫 유출 때 보안관제업체로부터 이상 행위 탐지 안내를 받았지만 대응하지 않았고, 2025년 2월 같은 방식으로 유출이 반복됐습니다. 개인정보보호책임자(CPO)의 내부 관리계획 점검도 빠져 있었다고 지적됐습니다.
| 회원 입장에서 달라지는 점 | 의미 |
|---|---|
| 유출이 두 번이었다 | 2024년 8월 이후 가입·이용자라면 두 차례 모두 포함됐을 수 있습니다 |
| 회사 과실이 공식 확인됐다 | 분쟁조정이나 손해배상 청구 때 회사 책임을 다투는 부담이 줄어듭니다 |
| 시간이 오래 지났다 | 최근 1년 사이 받은 사칭 연락도 이 사고와 관련됐을 수 있습니다 |
이 표에서 볼 칸은 두 번째 줄입니다. 감독기관이 안전조치 위반을 인정했으니, 실제 피해가 있었다면 개인이 회사 잘못을 하나하나 증명하지 않아도 됩니다. 피해 사실과 금액을 보여 줄 자료만 준비하면 됩니다.
4. 피해가 생겼을 때 어디에 신청하나
| 상황 | 창구 |
|---|---|
| 유출 여부·회사 조치 문의 | 대교 고객센터(홈페이지 안내 번호) |
| 손해배상 조정 | 개인정보 분쟁조정위원회(kopico.go.kr) |
| 사칭 문자·전화 신고 | 개인정보침해 신고센터 118, 보이스피싱 통합대응단 1394 |
| 돈을 보냈을 때 | 112 신고, 송금 은행에 지급정지 요청 |
분쟁조정은 비용 없이 신청할 수 있고, 같은 사고 피해자가 많으면 집단분쟁조정으로 묶일 수도 있습니다. 내 다른 계정까지 함께 점검하려면 이메일·아이디 유출 이력 조회도 같이 해 두세요.
자주 하는 질문
Q1. 연계정보(CI)가 뭔가요?
본인확인 기관이 주민등록번호를 바탕으로 만든 개인 식별값으로, 여러 서비스가 같은 사람인지 맞춰 볼 때 씁니다. 비밀번호처럼 이용자가 바꿀 수 없어 명의도용 점검이 중요합니다.
Q2. 비밀번호도 유출됐나요?
개인정보위 발표 기준 유출 항목은 이름, 생년월일, 휴대전화번호, 연계정보(CI)입니다. 비밀번호는 발표된 항목에 없습니다.
Q3. 과징금이 회원에게 돌아오나요?
과징금은 국가에 내는 행정 제재라 회원에게 지급되지 않습니다. 개인 피해는 회사에 직접 청구하거나 개인정보 분쟁조정위원회에 조정을 신청해야 합니다.
Q4. 구몬·눈높이 회원도 해당되나요?
발표된 유출 대상은 온라인 교육 서비스 '마카다미아' 회원 데이터베이스입니다. 다른 서비스 회원이 포함됐는지는 대교 공지와 개별 통지로 확인하세요.
관련기관 공식 홈페이지
마무리
대교 개인정보 유출은 관계사 홈페이지를 통해 마카다미아 회원 약 65만 명의 이름·생년월일·휴대전화번호·CI가 두 차례 나간 사고이고, 개인정보위는 10월 28일 과징금 32억5,500만 원을 의결했습니다.
지금 할 일은 하나입니다. 마카다미아 가입 이력이 있다면 엠세이퍼에서 내 명의 휴대폰 개통 현황을 조회해 모르는 회선이 없는지 확인하세요.
