에스티유니타스(영단기·공단기) 해킹 개인정보 유출 사건

영단기·공단기 등을 운영하는 교육기업 에스티유니타스는 2026년 6월 5일 클라우드 기반 학원관리시스템을 통해 일부 회원의 개인정보가 외부로 유출된 사실을 확인했다고 공지했다. 회사 측은 이상 징후를 인지한 즉시 비인가 접속을 차단하는 조치를 완료했다고 밝혔다. 이번 유출은 티빙, CU포스트 등 다른 대형 서비스의 개인정보 유출 사고가 잇따르던 시기에 발생해 교육 플랫폼의 보안 관리 체계에 대한 우려를 키웠다. 회사는 피해 회원들에게 개별 안내 문자와 공지사항을 통해 사고 사실을 전달했다. 공지 직후 온라인 커뮤니티에는 유출 안내 문자를 받았다는 이용자들의 글이 잇따라 올라왔다.

에스티유니타스가 밝힌 유출 항목은 일반 회원의 경우 이메일, 이름, 생년월일, 성별, 전화번호 등이었으며, 강의를 환불한 회원의 경우 승인정보와 승인금액, 환불 계좌번호까지 포함된 것으로 확인됐다. 금융 정보에 가까운 환불 계좌번호까지 유출 범위에 포함되면서 2차 피해 우려가 커졌다. 영단기와 공단기는 공무원·자격증 수험생을 주요 고객으로 하는 대형 교육 브랜드여서 파장이 특히 컸다. 회사는 유출 항목별 대상자에게 개별적으로 안내하겠다고 밝혔다. 이용자들은 환불 계좌 정보 유출에 따른 보이스피싱 등 2차 범죄 가능성을 우려했다.

사고 인지 다음 날인 2026년 6월 6일 에스티유니타스는 김형국 대표가 직접 참여하는 비상대책위원회를 꾸리고 24시간 모니터링 체계를 가동했다고 밝혔다. 회사는 외부 보안 전문기관과 함께 침해사고의 원인과 영향 범위를 정밀 조사하고 있다고 설명했다. 아울러 개인정보보호위원회와 한국인터넷진흥원(KISA)에 사고 사실을 신고하고 관계기관 조사에 협조하고 있다고 덧붙였다. 정확한 피해 규모는 조사 결과가 확정된 뒤 공개하겠다는 방침도 함께 전했다. 이 같은 대응에도 이용자들 사이에서는 초기 공지가 늦었다는 불만이 이어졌다.

에스티유니타스 사고는 같은 시기 잇따라 불거진 티빙, CU포스트, 패스트캠퍼스 등 대형 서비스의 개인정보 유출 사고와 맞물려 교육·이커머스 플랫폼 전반의 보안 관리 체계에 대한 비판으로 번졌다. 정보보호 관리체계(ISMS) 인증을 받은 기업에서조차 대규모 유출이 반복되면서 인증 제도의 실효성 논란이 재점화됐다. 수험생과 학부모 등 이용자들은 클라우드 기반 시스템을 도입한 교육기업들의 보안 투자가 충분한지 의문을 제기했다. 일부 이용자는 온라인 커뮤니티에 유출 문자를 캡처해 공유하며 집단 대응 가능성을 논의하기도 했다. 이 사건은 이후 중소 교육 플랫폼에 대한 정부의 보안 점검 강화 논의로 이어졌다.

에스티유니타스 측은 사고 발생 이후 한 달가량이 지난 시점까지 구체적인 2차 피해 사례는 접수되지 않았다고 밝히며 이용자들에게 스미싱과 보이스피싱 등에 대한 주의를 당부했다. 회사는 외부 전문기관과의 정밀조사가 마무리되는 대로 유출 규모와 원인을 포함한 조사 결과를 공개하겠다는 입장을 유지했다. 개인정보보호위원회 역시 사고 경위와 기업의 안전조치 의무 이행 여부를 들여다보는 조사를 이어갔다. 다만 조사 결과 발표 시점은 이 시점까지 확정되지 않은 상태였다. 이용자들은 여전히 계좌 정보 등 민감 정보 유출에 따른 불안을 호소하고 있다.