[속보] 생각하는황소 시험예약 사이트 해킹 — 학생·학부모 개인정보 유출 가능성, 개인정보위 조사 중

전국 80여 개 지점을 운영하는 초등 수학학원 생각하는황소의 시험 예약 사이트가 해킹 공격을 받았습니다. 시험을 예약한 이력이 있는 모든 학생과 학부모의 개인정보가 유출됐을 가능성이 높은 상황이라는 것이 본사가 직접 밝힌 입장입니다. 학부모 입장에서는 자녀의 이름·학교·학년·생년월일에 본인 연락처까지 연결된 정보가 새 나갔을 수 있어, 단순한 사이트 장애와는 차원이 다른 사안입니다.

생각하는황소 공식 공지 원문 캡처 출처: 생각하는황소 공식 홈페이지 공지사항 (2026.9.18 게시) — ‘시험예약 사이트 해킹에 의한 개인정보 유출 고지’

📌 핵심 요약 — 3줄 정리

구분	내용
사고 일시	2026년 9월 17일, 시험 예약 사이트 무단 침입 확인
공지 일시	2026년 9월 18일, 본사 공식 홈페이지 공지 (대표 이정헌 명의)
유출 추정 항목	학생 이름·학교·학년·생년월일, 학부모 전화번호
유출 규모	미상 (아직 공개되지 않음)
현재 상태	사이트 임시 폐쇄, 관계기관 신고 완료, 개인정보보호위원회 사실관계 파악 중
본사 당부	신원 미상자의 연락·메시지는 보이스피싱 가능성 유념

📢 본사 공식 고지 — “유출됐을 가능성이 높은 상황”

생각하는황소는 9월 18일 홈페이지 공지사항에 「시험예약 사이트 해킹에 의한 개인정보 유출 고지」를 게시했습니다. 공지의 핵심 문장은 다음과 같습니다.

“저희는 어제(9월 17일) 생각하는황소의 시험 예약 사이트에 정체불명의 해커가 침입한 사실을 확인하였습니다. 이들이 모든 자료를 확보중이라고 고지한 것으로 보아 이 사이트를 통하여 시험을 예약한 이력이 있는 모든 학부모님과 학생의 개인정보(학생 이름, 학교, 학년, 생년월일, 학부모 전화번호)가 이들에게 유출되었을 가능성이 높은 상황입니다.”

공지에는 이어지는 조치도 함께 담겼습니다. 해당 사이트를 임시 폐쇄하고 관계 기관에 개인정보 유출 사실을 신고했으며, 대상 학부모들에게는 문자로 사고 사실을 안내했다는 내용입니다. 또한 경찰 수사 요청을 위한 자료를 준비하고 있으며, 재발 방지를 위한 모든 조치를 완료한 이후에 운영을 재개하겠다고 밝혔습니다.

생각하는황소 공식 홈페이지 공지사항 화면 출처: 생각하는황소 공식 홈페이지 공지사항 목록 (2026.9.18)

🔍 유출 가능성이 제기된 개인정보 항목

본사가 공지에서 직접 언급한 항목은 아래 네 가지입니다.

학생 이름
학교
학년
생년월일
학부모 전화번호 (보호자 연락처)

주목해야 할 지점은 ‘자녀 정보’와 ‘보호자 연락처’가 한 세트로 묶여 있다는 사실입니다. 아이 이름과 학교·학년, 그리고 학부모 전화번호가 결합되면 자녀 또는 학원을 사칭한 보이스피싱·스미싱에 그대로 악용될 수 있습니다. 아이의 학교와 학원, 시험 일정까지 추정 가능하다는 점에서 단순한 이름·연락처 유출보다 2차 피해 위험이 크다는 지적이 나오는 이유입니다.

9월 22일 일요신문 보도에 따르면, 같은 시기 최선어학원을 운영하는 DYB교육의 시험·입학테스트 예약 시스템에서도 9월 17일 비정상적인 대량 접근이 탐지됐고, DYB교육 측은 이튿날 개인정보 유출 사실을 확인했습니다. 다만 두 사고가 동일한 공격자나 공통 솔루션 업체와 관련이 있는지는 아직 확인되지 않았습니다. DYB교육 사고에서는 주민등록번호·비밀번호·결제 정보는 유출되지 않은 것으로 업체 측이 설명했습니다.

🏫 교육업체 보안 사고, 올해 들어 잇따라

이번 사안은 한 학원의 문제로만 보기 어렵습니다. 올해 교육업체를 겨냥한 개인정보 사고가 반복되고 있기 때문입니다.

2026년 8월 — 정상어학원을 운영하는 정상JLS가 회원 정보에 대한 비정상 대량 접근을 탐지·차단하고 다음 날 유출을 확인. 개인정보보호위원회에 신고된 유출 규모는 약 26만 건. 같은 업체가 대전 동구로부터 위탁 운영하는 공공형 외국어 교육시설 ‘글로벌 드림캠퍼스’에서도 학생·학부모 등 637명의 정보가 유출됐습니다.
2026년 3월 — 초등 교과서 시장 주요 업체 아이스크림미디어가 회원 개인정보 유출을 확인. 아이디·이름·이메일·생년월일·휴대전화 번호에 학교명·학교 주소 등 교육기관 정보까지 포함됐습니다.
2026년 1월 — 구몬학습·빨간펜을 운영하는 교원그룹이 랜섬웨어 공격을 받았고, 데이터 유출 정황이 확인됐습니다. 개인정보 포함 여부에 대한 당국 판단은 아직 나오지 않은 상태입니다.

개인정보보호위원회 관계자는 두 업체(생각하는황소·DYB교육)로부터 개인정보 유출 신고를 접수했다며, 구체적인 사고 경위와 피해 규모는 조사가 끝난 뒤 확인할 수 있다는 입장을 밝혔습니다. 9월 18일 연합뉴스 보도 시점 기준으로도 개인정보위는 “사실관계를 파악 중”이라고 답했습니다.

연합뉴스 보도 화면 캡처 출처: 연합뉴스 (2026.9.18 15:58 보도) — ‘수학학원 생각하는황소 해킹…학생·학부모 정보 유출 가능성’

⚠️ 학부모 대응 가이드 — 지금 해야 할 일

본사가 당부한 내용과 전문가 권고를 정리하면 다음과 같습니다.

신원 미상자의 연락·메시지는 보이스피싱으로 간주하세요. 학원이나 자녀를 사칭해 “시험 환불”, “교재비 결제”, “개인정보 확인” 등을 요구하는 연락이 오면 즉시 끊고 학원 공식 번호로 직접 확인해야 합니다.
문자·메시지의 링크를 누르지 마세요. 스미싱으로 앱 설치나 결제 정보 탈취로 이어질 수 있습니다.
개인정보를 다시 제공하지 마세요. 유출이 의심되는 상황에서 추가 정보 요구는 100% 사기로 보는 것이 안전합니다.
불편이 생기면 신고하세요. 개인정보보호위원회 및 한국인터넷진흥원(KISA) 개인정보침해 신고센터(국번 없이 118), 경찰(112)을 통해 상담·신고할 수 있습니다.
결제·금융 정보 노출 여부를 점검하세요. 이번 사고에서 유출된 항목은 아니지만, 유사 사고에서는 아이디·암호화된 비밀번호 등이 포함된 사례가 있었으므로 평소 쓰던 비밀번호를 재사용했다면 교체를 권합니다.

✍️ 정리 — “국내 최대 초등 수학학원”의 신뢰 시험대

생각하는황소는 대치동에서 시작해 전국 80여 개 지점을 운영하는 대표적인 초등 수학학원입니다. 입학시험에는 매년 수천 명이 몰리는 곳으로, 학부모들이 그만큼 민감하게 반응하는 브랜드이기도 합니다. 그래서 이번 사안의 무게는 가볍지 않습니다.

현재 확인된 사실은 명확합니다. 9월 17일 침입, 9월 18일 본사 공지, 사이트 임시 폐쇄, 관계기관 신고, 개인정보위 조사 진행 중입니다. 유출 규모와 원인, 안전조치 의무 위반 여부는 당국 조사 결과가 나와야 확정됩니다. 저도 결과가 나오는 대로 다시 정리해 업데이트하겠습니다.

무엇보다 중요한 것은 학부모님들의 2차 피해 예방입니다. 아이의 학교·학년·생년월일과 내 전화번호가 함께 새 나갔을 수 있다는 전제로, 낯선 연락에는 한 번 더 의심하고 반드시 공식 창구로 확인하시기 바랍니다.