데이원컴퍼니(패스트캠퍼스) 개인정보 유출 사건

데이원컴퍼니가 사용 중이던 깃허브(GitHub) 서비스의 마스터 계정 키값이 불상의 시점에 탈취된 것으로 확인됐다. 이 키값을 이용해 신원 미상의 공격자가 2026년 5월 9일 회사 서비스에 최초로 비인가 접근을 한 것으로 파악됐다. 이 침입은 상당 기간 외부에 알려지지 않은 채 이어졌으며, 회사 측이 이를 인지하기까지 한 달 가까이 걸렸다. 깃허브 계정처럼 개발 인프라에 대한 접근 권한이 탈취될 경우 서비스 전반의 데이터베이스가 노출될 위험이 크다는 점에서 보안 관리 소홀 문제가 제기됐다. 이번 침입은 이후 대규모 개인정보 유출로 이어지는 출발점이 됐다.

데이원컴퍼니는 6월 8일 시스템 내 보안사고가 발생했을 가능성을 처음으로 인지했다고 밝혔다. 회사는 즉시 관련 위협을 차단하고 시스템 접근 경로를 봉쇄하는 등 긴급 보완 조치를 진행했다. 이 시점에서는 유출 규모나 구체적인 침해 범위가 아직 명확히 파악되지 않은 상태였다. 회사는 이후 외부 보안 전문기관과 함께 침입 경위와 피해 범위를 조사하는 작업에 착수했다. 이 조사 결과는 며칠 뒤 공식 통지를 통해 이용자들에게 안내됐다.

데이원컴퍼니는 6월 11일 공식 홈페이지 공지사항과 이용자 통지를 통해 개인정보 유출 사실을 공식 인정했다. 유출 피해를 본 브랜드는 패스트캠퍼스, 콜로소, 제로베이스, 마이라이트, 뉴스프레소, 리스픽, 샤이니영어, 워너스픽 등 모두 8곳에 달하는 것으로 확인됐다. 유출된 정보에는 이름, 이메일 주소, 전화번호, 암호화된 비밀번호가 포함됐으며, 주소나 직무·직책 정보를 입력한 이용자의 경우 해당 정보까지 함께 노출됐다. 회사는 유출 규모를 지속적으로 파악 중이라며 추가 확인 시 재공지하겠다고 밝혔다. 온라인 교육 플랫폼에서 발생한 대규모 개인정보 유출 사례로 업계에 경각심을 불러일으켰다.

후속 보도를 통해 이번 유출 피해가 일반 수강생뿐 아니라 강의를 진행한 강사들에게도 미쳤다는 사실이 드러났다. 서비스에 따라 강사의 전화번호, 계좌정보, 주민등록번호 또는 여권번호까지 유출된 것으로 확인돼 피해 심각성이 더 크다는 지적이 나왔다. 기업교육(B2B) 고객사와 사내교육 수강자 정보도 유출 범위에 포함된 것으로 파악됐다. 강사들은 결제와 정산에 필요한 민감한 금융정보까지 노출되면서 2차 피해 우려를 제기했다. 데이원컴퍼니는 피해가 확인된 이용자와 강사들에게 순차적으로 개별 통지를 진행했다.

사건 발생 약 두 주 뒤 추가 취재를 통해 다른 교육 관련 플랫폼에서도 유사한 교사·수강생 정보 노출 사례가 잇따라 확인됐다는 보도가 나왔다. 보도는 데이원컴퍼니 사례를 계기로 교육 플랫폼 업계 전반의 보안 체계 부실 문제를 정면으로 지적했다. 온라인 강의와 학원 관리 시스템이 늘어나면서 개인정보 저장량은 급증했지만 보안 투자와 점검은 이를 따라가지 못하고 있다는 전문가 지적이 이어졌다. 개인정보보호위원회 등 당국의 조사와 제재 가능성도 함께 거론됐다. 이 사건은 교육 플랫폼 업계 전반에 보안 강화 요구를 촉발하는 계기가 됐다.