“내 비밀번호까지 털렸나?” 서강대 개인정보 유출 18만 건, 지금 해야 할 조치
서강대 개인정보 유출 사고로 재학생뿐 아니라 졸업생과 교직원 등을 포함해 약 18만 건의 정보가 유출된 것으로 확인됐습니다. 특히 이번 사고에는 이름과 학번·사번, 이메일, 휴대전화 번호뿐 아니라 암호화된 통합 비밀번호도 포함된 것으로 알려져 단순 개인정보 노출을 넘어 계정 탈취와 피싱·스미싱 등 2차 피해에 대한 대비가 필요합니다. 서강대 계정과 같은 비밀번호를 다른 사이트에서도 사용했다면 지금 바로 변경하는 것이 우선입니다.
서강대 개인정보 유출, 정확히 어떤 정보가 빠져나갔나
2026년 8월 15일 현재 확인된 내용을 보면 이번 사고의 대상은 서강대학교 재학생만이 아닙니다. 졸업생과 교직원 등 광범위한 구성원이 포함됐으며 전체 규모는 약 18만 건으로 파악됐습니다.
확인된 유출 항목에는 학번 또는 사번, 이름, 소속, 이메일 주소, 휴대전화 번호, 암호화된 통합 비밀번호 등이 포함됩니다. 다만 학교 측 설명에 따르면 현재까지 주민등록번호·여권번호 등 고유식별정보나 민감정보가 유출된 것으로 파악되지는 않았습니다.
여기서 한 가지 정확하게 구분해야 합니다.
‘비밀번호가 유출됐다’고 해서 현재 공개된 정보만으로 사용자가 입력한 비밀번호 원문이 그대로 노출됐다고 단정할 수는 없습니다. 보도에서 확인되는 유출 항목은 ‘암호화된 통합 비밀번호’입니다. 따라서 비밀번호 원문 유출로 표현하는 것보다는 암호화된 비밀번호 정보가 유출됐다고 설명하는 편이 정확합니다.
그렇다고 안심할 단계는 아닙니다. 학교 역시 같은 계정 정보를 다른 서비스에서 사용한다면 비밀번호를 변경하라고 안내하고 있습니다.
사고는 언제 발생했나? 해외 IP 통한 비정상 접근 확인
현재까지 알려진 내용에 따르면 외부 공격은 8월 11일 발생했고, 학교는 14일 사고를 인지했습니다.
학교 측은 해외 서버 IP를 통한 비정상적인 접근 공격이 있었던 것으로 보고 있으며 사고를 확인한 뒤 공격 IP 차단과 서비스 접근 제한 등 긴급 조치를 진행했다고 밝혔습니다. 외부 보안 전문업체와 함께 추가 피해를 막기 위한 대응도 진행하고 있습니다.
따라서 현재 단계에서는 구체적인 공격 수법이나 보안 취약점의 책임 소재를 섣불리 확정하기보다는 향후 조사 결과를 확인할 필요가 있습니다.
서강대 재학생·졸업생이라면 가장 먼저 비밀번호 변경
이번 사고 대상자에게 가장 중요한 것은 ‘왜 유출됐는지’를 기다리는 것보다 내 계정을 먼저 보호하는 것입니다.
우선 서강대 통합 로그인 계정의 비밀번호를 변경해야 합니다.
더 중요한 것은 다른 사이트입니다.
예를 들어 서강대 계정에서 사용했던 비밀번호를 네이버·구글·쇼핑몰·SNS·커뮤니티 등에서도 동일하게 사용했다면 해당 서비스의 비밀번호도 각각 다르게 변경하는 것이 좋습니다.
공격자는 유출된 계정 정보를 다른 서비스에 대입하는 방식으로 추가 로그인을 시도할 수 있기 때문입니다.
가능한 서비스에서는 2단계 인증(2FA)도 활성화하는 것이 좋습니다. 비밀번호가 노출되는 사고가 다시 발생하더라도 추가 인증 단계가 있으면 계정 탈취 위험을 낮출 수 있습니다.
STEP 1. 서강대 개인정보 유출 여부 확인
서강대학교는 구성원이 자신의 개인정보 유출 여부를 확인할 수 있도록 별도의 조회 페이지를 마련한 것으로 확인됐습니다.
검색이나 문자메시지에 포함된 링크를 무작정 누르기보다는 서강대학교 공식 홈페이지에 직접 접속해 관련 공지를 확인하는 방법이 안전합니다.
특히 이번 사건을 악용해 ‘서강대 개인정보 유출 보상’, ‘피해 확인’, ‘비밀번호 변경 필요’ 등을 내세운 가짜 사이트가 등장할 가능성에도 대비해야 합니다.
STEP 2. 동일하거나 비슷한 비밀번호 전부 변경
비밀번호를 변경할 때 기존 비밀번호 + 숫자 하나처럼 단순하게 바꾸는 것은 피하는 것이 좋습니다.
사이트마다 서로 다른 비밀번호를 사용하고, 직접 관리하기 어렵다면 신뢰할 수 있는 비밀번호 관리 기능을 이용하는 방법도 있습니다.
특히 이메일 계정은 우선순위를 높여야 합니다.
이메일 계정이 탈취되면 다른 서비스의 ‘비밀번호 찾기’나 인증메일을 공격자가 받을 수 있어 추가 계정 탈취로 이어질 수 있기 때문입니다.
STEP 3. 당분간 문자·전화·이메일을 더 조심해야 한다
이번 유출 정보에는 이름, 소속, 이메일과 휴대전화 번호 등이 포함됐습니다.
따라서 공격자가 이런 정보를 조합하면 일반적인 무작위 스팸보다 훨씬 그럴듯한 피싱 메시지를 만들 수 있습니다.
예를 들어 ‘서강대 개인정보 유출 대상입니다’, ‘보상금 신청하세요’, ‘통합계정 비밀번호를 재설정하세요’ 등의 문구와 함께 링크가 전달될 수 있습니다.
학교 측 역시 출처가 분명하지 않은 전화와 이메일, 문자에 주의하고 동일한 계정 정보를 사용하는 다른 서비스의 비밀번호를 변경하라고 안내했습니다.
문자 속 링크를 누르기보다 해당 기관의 공식 홈페이지나 앱에 직접 접속해 확인하는 습관이 중요합니다.
개인정보 유출됐다고 계좌에서 바로 돈이 빠져나가는 것은 아니다
불안해할 필요는 있지만 사실관계를 구분할 필요도 있습니다.
현재 확인된 유출 항목만 놓고 보면 주민등록번호나 금융계좌 정보가 유출됐다고 발표된 상황은 아닙니다.
따라서 이번 개인정보 유출 사실 자체만으로 금융계좌에서 즉시 돈이 빠져나간다고 볼 수는 없습니다.
문제는 유출된 연락처와 이메일 등을 활용한 2차 사회공학적 공격입니다.
본인을 정확하게 알고 있는 것처럼 접근해 인증번호나 금융정보를 추가로 요구하거나 가짜 사이트 접속을 유도할 수 있기 때문에 “내 이름과 학교를 알고 있으니 진짜 연락이겠지”라고 판단해서는 안 됩니다.
서강대 개인정보 유출 관련 자주 묻는 질문
Q1. 비밀번호가 평문 그대로 유출된 건가요?
현재 확인된 발표와 보도에서는 ‘암호화된 통합 비밀번호’가 유출된 것으로 설명되고 있습니다. 따라서 비밀번호 원문이 그대로 노출됐다고 단정해서는 안 됩니다. 하지만 계정 보호를 위해 비밀번호 변경은 권장됩니다.
Q2. 졸업생도 확인해야 하나요?
네. 이번 유출 대상에는 재학생뿐 아니라 졸업생과 교직원 등이 포함된 것으로 확인됐습니다. 오래전에 졸업했더라도 학교가 보유한 개인정보가 유출 대상에 포함됐는지 확인해보는 것이 좋습니다.
Q3. 주민등록번호와 계좌번호도 유출됐나요?
2026년 8월 15일 현재 학교 측 설명으로는 주민등록번호·여권번호 등의 고유식별정보나 민감정보가 유출된 것으로 파악되지는 않았습니다. 향후 조사에 따라 확인 범위가 달라질 수 있으므로 학교의 추가 공지를 확인할 필요가 있습니다.
지금 가장 중요한 것은 2차 피해 차단
이번 서강대 개인정보 유출 18만 건 사고에서 소비자가 바로 해야 할 행동은 명확합니다. 공식 홈페이지에서 본인의 유출 여부를 확인하고, 서강대 통합계정 비밀번호를 변경한 다음, 같은 비밀번호를 사용했던 다른 서비스도 모두 다른 비밀번호로 바꾸는 것입니다. 가능하다면 주요 이메일·SNS·금융 관련 서비스에는 2단계 인증도 설정하는 것이 좋습니다.
무엇보다 ‘개인정보 유출 확인’, ‘피해보상 신청’ 등을 명목으로 도착하는 문자와 이메일의 링크를 바로 클릭하지 마세요. 이번 사고의 정확한 공격 경로와 최종 유출 범위, 후속 피해 및 책임 범위는 관계 기관 조사 등을 통해 추가로 확인될 사안입니다.
현재 확인된 사실과 아직 조사 중인 부분을 구분하면서도, 비밀번호 변경과 피싱·스미싱 예방만큼은 조사 결과를 기다리지 말고 즉시 실행하는 것이 안전합니다.