교육 플랫폼 운영사 인스트럭처, 결국 해커에 몸값 지불... 미 의회는 조사 착수

샤이니헌터스에 2차례 공격 당해... 주요 대학 등 고객 교육기관 학사 일정 차질

[보안뉴스 김형근 기자] 교육기술 기업 인스트럭처(Instructure)가 자사 학사 관리 플랫폼 ‘캔버스’(Canvas)에서 정보를 훔친 해커 조직 샤이니헌터스(ShinyHunters)에게 랜섬웨어 대가를 지불했다고 공식 인정했다.

샤이니헌터스는 1일(현지시간) 1차 침투에 이어 7일 플랫폼 메인 화면에 협박 메시지를 게시하는 등 캔버스를 두 차례에 걸쳐 타격했다. 이 사고로 기말고사를 앞둔 미국 내 주요 대학 등 수백만 명의 학생이 학습 자료에 접근하지 못하는 등 학사에 차질을 빚었다.

해커들은 9000곳에 달하는 교육 기관의 학생 이메일, ID, 교수와 주고 받은 메시지 등 방대한 기밀을 탈취했다고 주장하며 개별 학교들을 협박해 왔다.

인스트럭처는 고객 보호를 명분으로 대가를 지불하고 데이터 파기 확약을 받았다. 하지만 범죄 집단과 협상했다는 사실 때문에 논란이 일고 있다.

미국 의회 하원 국토안보위원회는 이 사안에 대한 조사에 들어갈 계획이라고 밝혔다. 인스트럭처가 1차 침투 이후 사태를 완전히 수습했다고 주장했으나 이후 다시 공격에 뚫린 점을 문제 삼았다.

미 의회는 이번 조사를 통해 교육 기술 분야의 보안 취약성을 파헤치고, 기업들의 보안 공시 의무를 강화하는 등 대책을 마련할 계획이다. 앤드류 가바리노 국토안보위원회 위원장은 초기 대응 실패와 실제 피해 규모 사이의 정보 격차가 안보 신뢰도를 심각하게 훼손했다고 비판했다.

샤이니헌터스는 미국 대형 티켓 예매 사이트 티켓마스터와 통신사 AT&T를 공격했던 조직이라, 교육기술 기업이 방어하기엔 어려웠다는 동정론도 나온다.

현재 인스트럭처는 보안 기업 크라우드스트라이크를 투입해 정밀 분석을 진행하며 시스템 방어선을 재정비하고 있다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다