교원그룹 랜섬웨어 공격·개인정보 유출 사태

교원그룹은 2026년 1월 10일 오전 8시경 사내 일부 시스템에서 비정상 징후를 발견하고 즉시 내부망 분리와 접근 차단 조치를 시행했다. 같은 날 오후 9시에는 한국인터넷진흥원(KISA)과 수사기관에 침해 정황을 신고했다. 서비스 장애를 신고한 계열사는 교원, 교원위즈, 교원투어, 교원스타트원, 교원헬스케어, 교원구몬, 교원라이프, 교원프라퍼티 등 8개사에 달했다. 교육·생활문화 전반에 걸친 대규모 계열사가 동시에 영향권에 들면서 학습지·여행·헬스케어 등 다양한 서비스 이용자들이 일제히 불안에 휩싸였다. 이는 2026년 초부터 국내 산업계를 잇달아 강타한 대형 침해사고의 신호탄이 됐다.

교원그룹은 2026년 1월 12일 KISA와 개인정보보호위원회에 데이터 유출 정황을 추가로 신고했다. 조사 과정에서 랜섬웨어 공격으로 인한 데이터 유출 정황이 일부 확인됐지만, 고객 개인정보가 실제로 포함됐는지는 여전히 특정되지 않은 상태였다. 이 사고로 8개 계열사의 서비스 이용자 약 960만 명(중복 포함)이 영향권에 든 것으로 파악됐다. 교육 분야 중심의 사업 구조상 미성년자 개인정보와 학부모의 계좌·카드번호 등 금융정보 유출 가능성에 대한 우려가 특히 컸다. 회사는 관계 기관 및 외부 보안업체와 협력해 조사를 진행 중이라는 원론적 입장만 되풀이했다.

교원그룹은 2026년 1월 15일 계열사 중 교원투어와 교원위즈가 운영하는 위즈아일랜드, 프랜시스파커는 이번 랜섬웨어 침해 및 데이터 유출 정황이 없는 것으로 확인됐다고 발표했다. 회사는 해당 기업들이 랜섬웨어 침해 정황이 있는 서버와 물리적·구조적으로 분리된 환경에서 데이터베이스를 운영 중이라고 설명했다. 그러나 정작 가장 우려가 큰 고객정보 유출 여부에 대해서는 여전히 말을 아꼈다. 회사는 관계 기관 및 보안 전문기관과 협력해 조사를 진행하고 있으며 현재까지 확인된 사실은 없다고 선을 그었다. 이러한 부분적 해명은 오히려 소비자들의 불안을 완전히 해소하지 못했다.

교원그룹은 2026년 1월 16일 고객정보 유출 여부와 관련해 국내 최고 수준의 보안전문업체와 크로스(Cross) 방식의 정밀 조사를 진행하고 있다며 기존 입장을 되풀이했다. 회사는 랜섬웨어 사고 특성상 침입 경로가 복잡하고 단순한 시스템 접근 흔적만으로 유출 여부를 단정하기 어려우며, 정밀 포렌식 과정과 로그 훼손 가능성 등 다양한 요소를 검증해야 한다고 설명했다. 조사 기간이 소요되더라도 정확한 결과를 도출하는 것이 기업의 책임이라는 입장이었지만, 사고 발생 일주일이 지나도록 확답을 내놓지 못하면서 교원그룹 계열사 서비스를 이용한 고객들의 불안은 오히려 커졌다. 업계에서는 대규모 개인정보 유출 사고를 겪은 쿠팡의 자체조사 논란과 맞물려 기업들의 투명한 정보 공개 의무가 다시 도마에 올랐다.

교원그룹이 랜섬웨어 해킹 사고를 인지한 지 2주가 지난 2026년 1월 22일, 정부 조사단에 따르면 교원그룹 전체 서버 중 가상서버 약 600대가 감염된 것으로 추산되며 서비스 이용자 약 960만 명(중복 포함)이 영향권에 들어간 것으로 파악됐다. 자체 조사 결과 교원위즈가 운영하는 일부 브랜드와 교원투어는 침해 사실이 없는 것으로 확인돼 KISA에 신고 철회를 요청했고, 이에 따라 데이터 유출 정황이 있는 계열사는 7개사로 좁혀졌다. 그러나 여전히 고객 개인정보 포함 여부와 유출 범위는 특정되지 않았다. 온라인 커뮤니티에서는 "아이들 정보가 유출된 것 같아 불안하다", "선생님들도 상황을 모르고 있어 답답하다"는 불만이 잇따랐고, 이번 사태를 계기로 웅진씽크빅, 대교, 윤선생 등 다른 교육기업들도 자체 보안 점검에 나섰다.

개인정보보호위원회와 교육부는 2026년 5월 18일 공교육 지원 플랫폼 서비스를 제공하는 에듀테크 사업자를 대상으로 합동 사전 실태점검을 실시한다고 밝혔다. 이번 점검은 올해 초 발생한 교원그룹의 랜섬웨어 해킹 공격에 앞서 3월 아이스크림미디어의 디지털 교육 플랫폼 '아이스크림S'에서 교사 개인정보가 유출된 사고까지 겹치며 교육기술 업계 전반의 보안 우려가 커진 데 따른 조치였다. 점검 대상은 에듀테크 정보·체험 플랫폼 '에듀집' 등록 서비스와 시도교육청 선정 디지털 도구, 학사관리 서비스를 포함한 주요 에듀테크 서비스 7곳으로, 이달 말부터 현장 조사가 시작될 예정이었다. 정부는 개인정보 수집 시 동의 절차 준수 여부, 어린이·청소년 개인정보 수집 절차, 해킹 취약점과 관리자 계정 접근 권한 관리 등을 집중적으로 점검하고 미비점이 드러난 기업에는 시정 권고 등 개선 조치를 내릴 계획이라고 밝혔다.

2026년 상반기 국내 주요 보안 침해사고를 정리한 2026년 7월 8일자 보도에 따르면, 1월 교원그룹의 대규모 랜섬웨어 감염을 시작으로 3월 현대엘리베이터 랜섬웨어 공격, 6월 티빙 정보 유출 사고 등이 잇따르며 국내 산업계가 몸살을 앓았다. 교원그룹 사고는 침해사고 인지 즉시 KISA 신고와 차단 조치를 완료했음에도, 반년이 지난 시점까지 데이터가 실제로 유출됐는지 여부와 최종 유출 규모가 확정되지 않은 상태였다. 보도는 이번 상반기 연쇄 침해사고들이 외부 해커의 기술적 고도화뿐 아니라 개발 인프라 내 자격증명 노출, API 권한 검증 미흡 등 이른바 '내부 관리 부실'과 결합해 피해를 키웠다고 지적했다. 교원그룹 사태는 국내 대형 개인정보 유출 사고 가운데 조사가 가장 장기화된 사례 중 하나로 남으며 기업의 신속하고 투명한 정보 공개 의무에 대한 논쟁을 재점화시켰다.