[업데이트] 생각하는황소 시험예약 사이트 해킹 — 학생·학부모 개인정보 유출, 손해배상 소송인단 모집(10/20까지)·학부모 대응 가이드

초등 수학 전문학원 생각하는황소의 시험 예약 사이트가 해킹돼, 이 사이트를 통해 레벨테스트를 예약한 이력이 있는 학생과 학부모의 개인정보가 유출됐을 가능성이 제기됐습니다. 학원은 2026년 9월 17일 정체불명의 해커 침입을 확인하고, 다음 날인 9월 18일 홈페이지에 공지를 올려 학부모에게 알렸습니다.

생각하는황소 공식 브랜드 이미지. 출처: 생각하는황소 공식 홈페이지(thinking-bull.com)

생각하는황소는 대치동을 기반으로 전국에 80여 개 지점을 운영하며, 입학 전 레벨테스트(입학시험)를 반드시 치르는 것으로 알려진 초등 수학학원입니다. 이번 사고는 아이 이름·학교·학년·생년월일이 한데 묶여 빠져나갔을 가능성이라는 점에서, 단순한 ‘학원 공지 한 줄’로 넘기기 어려운 사안입니다.

한눈에 보는 사고 개요

구분	내용
대상	초등 수학학원 생각하는황소 (전국 80여 개 지점)
침입 확인	2026년 9월 17일 (시험 예약 사이트)
홈페이지 공지	2026년 9월 18일
유출 추정 항목	학생 이름·학교·학년·생년월일, 학부모 전화번호
유출 규모	미공개 (예약 이력 전체가 대상일 가능성)
학원 조치	사이트 임시 폐쇄, 개인정보보호위원회 유출 신고
후속	손해배상 청구 소송인단 모집(~10/20) 진행

출처: 연합뉴스(2026.09.18), 생각하는황소 공식 공지(2026.09.18)

유출된 정보가 왜 위험한가

공개된 유출 추정 항목은 학생 이름, 다니는 학교, 학년, 생년월일 그리고 학부모 전화번호입니다. 항목 수만 보면 많지 않아 보이지만, 이름·학교·학년·생년월일이 함께 있으면 특정 아동을 곧바로 식별할 수 있고, 여기에 부모 전화번호가 결합되면 표적형 접근이 가능해집니다.

가장 먼저 경계해야 할 것은 보이스피싱입니다. 학원은 공지에서 “신원 미상자로부터 연락이나 문자 메시지를 받으면 보이스피싱 가능성을 염두에 두라”고 당부했습니다. 아이 이름과 학교를 정확히 아는 상대라면 학부모 입장에서 ‘진짜 학원 관계자’로 오인하기 쉽기 때문에, 모르는 번호의 등록금·교재비 요구, 시험·결제 관련 링크는 일단 의심하는 것이 안전합니다.

생각하는황소 홈페이지 개인정보 유출 고지 캡처 (연합뉴스 보도)

생각하는황소 홈페이지에 게시된 개인정보 유출 고지 캡처. 출처: 연합뉴스(2026.09.18)

핵심 법적 쟁점 — 학원의 책임은 어디까지인가

이번 사안에서 주목할 지점은 유출 원인이 아니라 개인정보가 왜 남아 있었는가입니다. 관련 법령의 핵심 조항은 다음과 같습니다.

안전조치 의무(개인정보 보호법 제29조): 개인정보처리자는 정보가 유출되지 않도록 기술적·관리적·물리적 보호조치를 해야 합니다. 전국 지점의 예약 정보가 사이트 한 곳에 모여 있었고, 학원 스스로 “예약자 전원의 정보가 유출됐을 가능성이 높다”고 밝힌 만큼 어떤 보호조치가 실제로 작동했는지가 쟁점이 됩니다.
파기 의무(개인정보 보호법 제21조): 레벨테스트 예약 정보는 시험이 끝나면 처리 목적이 달성됩니다. 시험만 보고 등록하지 않은 학생의 정보라면 계속 보관할 이유가 없습니다. 그런데 유출 대상이 ‘예약 이력이 있는 모든 학생’으로 안내됐다면, 이미 목적이 끝난 정보가 사이트에 남아 있었다는 뜻이 되므로 파기 의무 준수가 소송의 중심 쟁점으로 다뤄질 전망입니다.
아동 개인정보 보호(개인정보 보호법 제22조의2): 만 14세 미만 아동의 정보는 법정대리인 동의 등 별도의 높은 주의의무가 요구됩니다. 초등학생을 주 고객으로 하는 사업자에게는 그만큼 엄격한 기준이 적용됩니다.

즉 이 사건은 “해커가 나빴다”로 끝나지 않고, 사업자가 사고 당시의 기술 수준과 업종·규모에 비춰 합리적인 보호조치를 다했는지를 따지는 구도로 흘러가고 있습니다.

손해배상 소송인단 모집 — 10월 20일까지

사고 이후 손해배상 청구 소송인단 모집이 진행되고 있습니다. 학생과 학부모가 함께 원고가 되는 구조이며, 모집 마감은 2026년 10월 20일입니다(로피드 법률사무소 안내). 관심 있는 학부모는 참여 여부와 조건을 직접 확인해야 하며, 이 글은 특정 법률 서비스를 권유하는 것이 아니라 공개된 사실을 정리한 것임을 밝힙니다.

소송의 핵심 쟁점은 앞서 본 안전조치 의무 위반 여부와 파기 의무 위반 여부입니다. 법원은 사고 당시의 보안 기술 수준, 업종과 규모, 실제 보안조치 내용, 수집한 개인정보의 내용과 유출로 인한 피해 정도를 종합해 책임을 판단합니다(대법원 2015. 2. 12. 선고 2013다43994·44003 판결).

학부모 대응 체크리스트

이번 사고처럼 자녀 이름·학교·생년월일이 포함된 정보가 새어 나간 경우에는 아래 순서로 점검하는 것이 좋습니다.

이상 연락 차단 — 아이 이름·학교를 언급하는 모르는 번호의 전화·문자는 보이스피싱으로 간주하고, 송금·앱 설치·링크 클릭을 하지 않습니다.
비밀번호 재사용 정리 — 학원 관련 계정에서 쓴 비밀번호를 다른 사이트와 똑같이 쓰고 있지 않은지 확인하고, 같다면 즉시 변경합니다.
2차 피해 대비 — 아이 이름을 도용한 스미싱·사칭 가입 문자가 늘 수 있으므로, 자주 쓰는 가족 메신저로 인증 코드 공유 금지를 미리 정해 둡니다.
기록 보관 — 수상한 연락은 캡처해 두고, 필요 시 학원·수사기관에 제출할 수 있게 남깁니다.
기관 신고 여부 확인 — 개인정보보호위원회 신고 사실과 사후 안내(피해 구제 절차)를 학원 측에 문의해 확인합니다.