2026-09-17

PowerSchool 해킹은 미국 역사상 최대 규모의 아동 데이터 유출이었습니다 — 내 아이의 학교 파일, 어떻게 다뤄야 할까?

2024년 12월, 19세 대학생 한 명이 고객지원 포털의 도용된 직원 로그인 하나로 7,000만 명이 넘는 사람들의 개인정보를 빼돌렸습니다 — 미국·캐나다 등 6,505개 학군에 걸쳐 학생 약 6,240만 명과 교사 950만 명 규모로 추정됩니다. 그 회사는 PowerSchool로, K-12 교육 현장에서 가장 널리 쓰이는 클라우드 학생정보시스템 중 하나이며, 이 사건을 다룬 여러 매체는 이를 미국 역사상 최대 규모의 아동 데이터 유출이라고 불렀습니다. 돈을 준다고 끝나지 않았습니다 — PowerSchool은 데이터 확산을 막으려 약 285만 달러 상당의 비트코인을 지불했지만, 2025년 5월이 되자 같은 공격자가 개별 학군들에 직접 이메일을 보내 여전히 훔친 데이터의 샘플을 첨부해 자신이 아직 그 데이터를 갖고 있음을 증명했습니다. 해커 Matthew Lane은 유죄를 인정했고 2025년 10월 연방 징역 4년과 약 1,400만 달러의 배상금을 선고받았습니다 — 그의 형사 사건은 그렇게 마무리됐지만 노출 자체가 끝난 것은 아니며, PowerSchool을 상대로 한 민사 소송은 여러 지역 소송이 통합된 다관할 소송으로 여전히 진행 중입니다. 그 어느 것도 이미 퍼진 자녀의 데이터를 도로 거둬들이지는 못합니다. 확실한 것은, 올해 많은 부모들이 자녀의 학교 기록 전체를 담은 실제 다운로드 파일을 노트북이나 받은메일함에 갖게 됐다는 것입니다 — 직접 요청해서, 혹은 학군이 먼저 보내와서. 이 글은 그 파일에 실제로 무엇이 들어 있고, 그것을 놓고 정직하게 무엇을 해야 하는지에 대한 이야기입니다.

실제로 그 안에 무엇이 있었나

PowerSchool 자체의 사고 통지문과 이후 보도에 따르면, 노출된 데이터는 흔한 로그인·비밀번호 유출보다 훨씬 넓었습니다 — 이름 전체, 생년월일, 집 주소, 전화번호, 성적, 징계 기록, 특수교육 분류와 IEP(개별화교육계획) 상태, 그리고 무상·감면 급식 대상 여부와 연결된 가정 소득 정보까지. 여기에 더해 PowerSchool 자체 집계로, 영향을 받은 학생 중 25% 미만에게는 사회보장번호도 시스템에 있었습니다(모든 학군이 사회보장번호를 저장하는 것은 아니기 때문입니다). 이 조합이 이번 사건이 전형적인 기업 유출과 계속 다르게 언급되는 이유입니다 — "비밀번호가 새어나갔다"가 아니라, 특정 아이의 건강 상태·징계 이력·가정의 경제적 어려움이 그 아이의 이름과 생년월일에 묶여 파일 하나에 담긴 것입니다.

지금 내 아이 파일의 사본을 갖고 있을 수도 있는 이유

이번 유출과 별개로, FERPA(가족교육권및프라이버시법)는 이미 부모에게 자녀의 교육 기록을 열람·검토할 권리를 주고 있고, 연방 규정은 학교가 요청 후 45일 이내에 응해야 한다고 명시합니다 — 미국 교육부 자체 안내가 이를 명확히 밝히고 있으며, 특수교육 기록의 경우 IDEA(장애인교육법)가 합리적인 비용으로 사본을 받을 권리를 추가로 보장합니다. 실제로는 그 요청이, 요즘 대부분의 학교 기록이 존재하는 방식 그대로 — 클라우드 학생정보시스템에서 내보낸 파일로 — 돌아오는 경우가 많습니다. PowerSchool 자체가 바로 그런 종류의 플랫폼입니다. 유출 이후로는 일부 학군이 자녀의 어떤 데이터가 노출됐는지 구체적으로 설명하는 개인 통지 패키지를 부모에게 먼저 보내기도 했습니다. 어느 경로든 실질적인 결과는 이 사이트가 HIPAA 아래 진료 기록에 대해 이미 다뤘던 것과 같은 지점에 도달합니다 — 민감한 기록이 일단 당신 손에 닿으면, 그 파일을 지키는 일은 이제 진짜로 당신 몫이고, 다른 누구도 그 일을 대신해 주지 않습니다.

파일 자체를 다루는 법

이 파일을 사회보장번호와 생년월일이 들어 있는 다른 모든 기록과 똑같이 다루되, 이 사건에만 특별히 필요한 단계가 하나 있습니다 — 파일명 자체가 보통 자녀의 전체 이름이라는 것입니다. "Emma_Martinez_IEP_2026.pdf"는 암호화 여부와 무관하게 폴더나 이메일 첨부 목록에서 그것을 보는 누구에게나 그것이 누구의 민감한 기록인지 정확히 알려줍니다. 암호화하기 전에 눈에 띄지 않는 이름으로 바꾸십시오. NearSeal의 기본 형식(PBKDF2-SHA256으로 2²⁰회 반복해 키를 유도하는 AES-256-GCM)은 헤더에 저장하는 파일명을 인증해 몰래 바꿀 수 없게 하지만, 그 헤더가 비밀은 아닙니다 — 이름은 여전히 평문으로 함께 다닙니다. 암호화된 파일에 파일명이 아예 남지 않기를 원한다면, 같은 도구 안의 옵트인 age-encryption.org 형식에는 파일명 필드 자체가 없습니다(복호화 시 원래 이름을 잃는 대가는 있습니다). 어느 쪽이든 이 과정은 전부 브라우저 안에서 이루어지며, 파일과 패스프레이즈는 당신의 기기를 벗어나지 않습니다.

이것으로 무엇이 달라지고, 정직히 무엇은 달라지지 않는가

당신 기기에 있는 사본을 암호화하면, 앞으로 있을 수 있는 실패 경로들 — 노트북 분실이나 도난, 가족이 함께 쓰는 컴퓨터, 재사용된 비밀번호가 걸린 클라우드 계정으로 조용히 동기화되는 폴더, 몇 달 뒤 엉뚱한 사람에게 전달되는 이메일 첨부 — 을 막을 수 있습니다. 하지만 공격자가 이미 갖고 있는 사본에는 아무 영향이 없습니다 — 그 노출은 이미 2024년 12월에 일어났고, NearSeal이든 다른 어떤 암호화 도구든 이미 벌어진 유출을 거슬러 올라가 되돌릴 수는 없습니다. 자녀의 사회보장번호가 그 25% 미만에 포함돼 노출됐다면, 그에 대한 실제 대응은 이 앱의 바깥에 있습니다 — FTC는 2019년 부터 16세 미만 자녀에 대해 부모나 보호자가 무료로 신용 동결을 걸 수 있게 했습니다. 아동 신원 도용은 흔히 10년 이상 발견되지 않기 때문입니다 — 아이들은 신용을 신청하지 않으니 아무도 눈치 채지 못하다가, 훗날 그 아이가 18세가 되어 처음으로 대출이나 임대차 계약을 신청할 때가 되어서야 사기가 드러나는 경우가 많습니다. NearSeal이 잠그는 다른 모든 파일과 마찬가지로 이 도구에도 패스프레이즈 복구는 어디에도 없습니다 — 오래 보관할 수 있는 곳에 패스프레이즈를 적어 두십시오, 잃어버리면 지금 겪고 있는 일에 더해 이 사본까지 영영 잃게 됩니다.

정직한 요약

유출 사건 자체는 애초에 파일 암호화 도구가 해결할 수 있는 문제가 아니었고, 이 글도 그런 척 하지 않습니다. 이 도구가 할 수 있는 일은, 당신이 요청했거나 학군이 보내온, 지금 당신의 기기에 놓여 있는 자녀 기록의 다음 사본이 — 노트북 분실, 동기화 폴더, 잘못 전달된 이메일 같은 평범한 사고 때문에 — 그 자체로 또 다른 별도의 유출이 되지 않게 하는 것입니다. 그것은 할 가치가 있는 실제적이고 좁은 일입니다. 자녀의 사회보장번호가 실제로 이번에 도난당한 것 안에 있었다면, 그에 대한 신용 동결을 대신할 수는 없습니다.