미국 교육 소프트웨어 파워스쿨 해킹, 학생·교사 7천만 명 정보 유출과 몸값 지급 후 재갈취 사태

미국 교육 소프트웨어 업체 파워스쿨(PowerSchool)은 학생정보시스템(SIS)을 운영하며 북미 수천 개 학군에 서비스를 공급하는 회사였다. 검찰 기소 내용에 따르면 매사추세츠주 우스터의 대학생 매슈 레인(당시 19세)은 2024년 9월 파워스쿨 하청업체 직원의 자격증명을 이용해 이 회사 네트워크에 접속했다. 이후 12월에는 학생과 교직원 데이터를 우크라이나의 클라우드 저장소 업체에서 임대한 서버로 옮겼다. 이후 확인된 바에 따르면 침투 경로는 고객 지원 포털인 '파워소스(PowerSource)'였고, 다단계 인증 같은 기본 방어가 작동하지 않았다는 지적이 나온다. 이 침투는 이후 미국 역대급 교육 분야 개인정보 유출로 이어진 사건의 출발점이었다.

파워스쿨은 2024년 12월 28일 자사 시스템에 대한 무단 접근 사실을 인지했다. 이 무렵 해커는 학생·교사 개인정보를 공개하겠다며 약 285만 달러(약 40억 원) 상당의 비트코인을 요구했다. 회사는 포렌식 업체 크라우드스트라이크를 투입해 조사했고, 침해의 시작 시점은 12월 22일 무렵으로 추정됐다. 공격자는 지원 포털 계정을 이용해 '데이터 내보내기 관리자' 도구를 악용해 학생정보시스템 데이터를 대량으로 빼낸 것으로 파악됐다. 이 사건은 학생의 이름·주소·사회보장번호·의료 정보까지 포함될 수 있다는 점에서 곧 북미 교육계 전체의 우려로 번졌다.

파워스쿨은 2025년 1월 7일부터 고객 학군에 침해 사실을 알리기 시작했고, 이는 사고 인지 열흘 만의 통보였다. 회사는 해커가 데이터를 삭제하겠다는 '합리적 보장'을 받았다며 몸값을 지급해 데이터 공개를 막는 것이 최선이라고 판단했다고 밝혔다. 침해 규모는 이후 학생 약 6,240만 명과 교사 약 950만 명, 학군 6,500여 곳에 이르는 것으로 보도됐다. 유출 정보에는 이름·주소·전화번호·부모 정보·사회보장번호·의료 정보 등이 포함됐다. 범죄자에게 돈을 건넨 결정은 이후 '지급해도 데이터는 삭제되지 않는다'는 비판의 근거가 됐다.

파워스쿨이 몸값을 지급한 지 몇 달 뒤인 2025년 5월 초, 캐나다와 미국 노스캐롤라이나 등의 학군이 같은 유출 데이터 표본이 첨부된 협박 이메일을 받기 시작했다. 파워스쿨은 여러 고객 학군이 동일한 도난 데이터와 관련된 '후속 갈취 요구'를 받았다고 인정했다. 노스캐롤라이나 교육당국은 협박범과 협상하지 않겠다고 밝히고 학군에 지급하지 말 것을 권고했으며 학생정보시스템 공급사도 인피니트 캠퍼스로 교체하기로 했다. 전문가들은 이번 일이 '빙산의 일각'일 수 있다고 경고했다. 몸값을 낸 회사가 데이터 삭제를 보장받지 못한다는 점이 현실로 드러난 장면이었다.

2025년 5월 20일 미 연방 검찰은 매사추세츠의 대학생 매슈 레인(19)이 파워스쿨 해킹과 갈취 혐의에 대해 유죄를 인정하기로 했다고 공개했다. 혐의는 사이버 갈취 공모, 사이버 갈취, 보호 컴퓨터 무단 접근, 가중 신원도용 등 4개였다. 검찰은 레인이 파워스쿨에 앞서 한 통신사를 상대로 20만 달러 몸값을 요구하는 갈취 모의도 했다고 밝혔다. 범행 당시 19세 대학생이었던 그가 6,000만 명이 넘는 학생 정보를 빼냈다는 점이 충격을 줬다. 법원은 이후 양형 절차로 넘어갔다.

켄 팩스턴 텍사스주 검찰총장은 2025년 9월 3일 파워스쿨이 텍사스 학생·교사 88만여 명의 개인정보를 제대로 보호하지 못했다며 주 법원에 소송을 냈다. 소장은 하청업체 계정을 이용한 해커가 암호화되지 않은 데이터를 해외 서버로 옮겼고, 의료·장애·특수교육 정보와 통학버스 정류장 위치까지 포함됐다고 주장했다. 주 정부는 회사가 '최첨단 보안'을 내세우면서도 다단계 인증과 접근 통제, 암호화 같은 기본 조치를 소홀히 했다며 텍사스 기만적 거래 관행법 위반을 주장했다. 미국 각지의 집단소송도 이어져 연방 사법패널이 32건을 캘리포니아 남부 연방법원으로 이관했다. 이 소송은 형사 처벌과 별개로 기업 책임을 묻는 흐름의 시작이었다.

2025년 10월 15일 매사추세츠 연방지법 마거릿 구스만 판사는 매슈 레인에게 징역 4년과 보호관찰 3년을 선고했다. 법원은 약 1,410만 달러의 배상과 2만 5천 달러의 벌금도 명령했으며, 파워스쿨은 1,400만 달러가 넘는 손실을 입었다고 보고했다. 검찰은 징역 8년을 구형했으나 선고는 그 절반이었다. 레인은 추적된 수익 약 16만 1천 달러를 몰수당했지만 약 300만 달러는 행방이 확인되지 않았다. 수사 당국은 그가 섀이니헌터스 같은 해킹 조직과 연결됐을 가능성도 거론했으나 공범 규명은 남은 과제로 남았다.