SecurityHeroblog
보안 상식13조회

빈칸이 채워진 사기 대본 — 수학학원 유출 뒤 올 전화

대치동을 비롯해 전국에 지점을 둔 수학학원 '생각하는황소'의 시험 예약 사이트가 뚫려 학생 이름·학교·학년·생년월일과 학부모 전화번호가 나갔을 수 있다고 보도됐습니다. 그 정보를 손에 든 사람이 '아이가 다쳤다'고 전화할 때 무엇을 해야 하는지, 그리고 아직 확인되지 않은 것은 무엇인지 정리했습니다.

휴대폰에 이런 문자, 다들 받아 봤을 겁니다. “○○○님, 생일 축하드립니다. 특별 쿠폰을 드려요.” 이름 자리만 내 이름으로 바꿔 넣은 문자입니다. 나머지는 누구에게 보내든 똑같습니다. 그래서 아무도 안 속습니다. 빈칸이 하나뿐이고, 그 빈칸에 내 이름이 들어갔다고 해서 상대가 나를 아는 건 아니니까요.

그런데 빈칸이 다섯 개면 어떨까요. 아이 이름. 아이가 다니는 학교. 학년. 생년월일. 그리고 내 전화번호. 이 다섯 칸이 전부 정확하게 채워진 채로 전화가 옵니다. “○○이 어머니시죠? ○○초등학교 3학년 ○○이가 학원 가는 길에 다쳤어요.”

이 글은 그 빈칸이 어디서 채워졌는지, 그리고 빈칸이 다 맞아도 왜 그 전화를 믿으면 안 되는지에 관한 이야기입니다. 빈칸 채우기 하나로 끝까지 갑니다.

먼저, 내 쪽에서 벌어질 수 있는 일

모르는 번호로 전화가 옵니다. 상대가 아이 이름을 말합니다. 학교와 학년도 맞습니다. 그리고 이렇게 말합니다. 학원 가는 길에 접촉 사고가 났다. 다쳐서 지금 병원으로 가야 한다. 또는, 아이를 데리고 있다.

부모는 그 자리에서 얼어붙습니다. 상대가 보내라는 곳에 돈을 보내거나, 뒤이어 온 문자 속 링크를 누릅니다. 아이 이름과 학교를 정확히 아는 사람이 거짓말을 할 리 없다고 생각하니까요. 그런데 이번 주부터 그 생각의 전제가 흔들립니다.

사실 9월 17일, 수학학원 생각하는황소의 시험 예약 사이트에 누군지 모르는 사람이 침입했다고 머니투데이가 보도했습니다. 학원은 다음 날인 18일 홈페이지에 이 사실을 알렸습니다. 시험 예약 사이트는 이 학원에 들어가려는 학생이 입학 시험이나 레벨 테스트 날짜를 잡는 곳입니다. 그러니 그 사이트에 있던 정보는 곧 ’시험을 예약한 적 있는 아이와 부모의 정보’입니다.

사실 빠져나간 것으로 추정되는 정보는 학생 이름, 학교, 학년, 생년월일, 그리고 학부모 이름과 전화번호라고 보안뉴스가 보도했습니다. 성적이나 결제 정보 같은 민감정보는 포함되지 않은 것으로 개인정보보호위원회가 파악했다고 아시아경제가 전했습니다. 개인정보보호위원회는 개인정보가 새는 사고를 감독하는 정부 기관입니다. 민감정보는 새면 특히 큰 피해가 나는 정보를 따로 부르는 말입니다.

사실 유출 공지 뒤, 학부모들이 모이는 온라인 커뮤니티에 이런 연락을 받았다는 글이 올라오고 있다고 보안뉴스가 보도했습니다. 학원 가는 길에 사고가 났으니 보상하라는 전화. 아이가 다쳐 병원에 가야 한다는 말. 아이를 데리고 있다는 문자.

추정 여기서 선을 하나 긋겠습니다. 커뮤니티에 올라온 그 전화들이 정말 이번 유출 정보를 써서 걸려온 것인지는 확인되지 않았습니다. 이 글은 “이런 전화가 올 수 있다”까지만 말합니다. 다만 그 대본의 빈칸을 채울 재료가 나갔을 수 있다는 건 보도된 사실이고, 그래서 지금 씁니다.

왜 통하나 — 빈칸이 채워지면 남의 대본이 ’내 일’이 된다

추정 “아이가 다쳤다”는 대본은 누구에게 걸든 같습니다. 바뀌는 건 빈칸뿐입니다. 빈칸이 비어 있으면 이 대본은 잘 안 통합니다. “자녀분이 다쳤어요”라고 하면 “누구요? 어느 학교요?“라고 되묻게 됩니다. 되묻는 그 한 박자에 의심이 들어옵니다.

추정 빈칸이 채워지면 그 한 박자가 사라집니다. 아이 이름과 학교, 학년이 정확히 나오면 머리보다 몸이 먼저 움직입니다. 확인할 틈 없이 돈을 보내거나 링크를 누르게 됩니다. 사기꾼이 원하는 건 바로 그 ’틈 없음’입니다. 이번에 나갔을 수 있다고 보도된 항목이 정확히 그 빈칸들입니다.

사실 학원은 이렇게 당부했다고 아시아경제가 보도했습니다. 누군지 모르는 사람의 연락이나 메시지를 받으면 보이스피싱일 수 있다고 생각하고, 개인정보를 주거나 링크를 누르는 일을 삼가라. 보이스피싱은 전화로 급한 상황을 꾸며 돈이나 정보를 뜯어내는 사기입니다. 문자 속 링크로 같은 일을 하면 스미싱이라고 부릅니다.

사실 학원은 해당 사이트를 임시로 닫고 관계기관에 신고했다고 보도됐습니다. 관계기관은 이런 사고를 맡아 처리하는 정부 기관을 뭉뚱그려 부르는 말입니다. 유출 대상 학부모에게는 문자로 알리는 중이고, 경찰에 수사를 요청할 자료를 준비하고 있다고 합니다.

추정 어떻게 침입했는지는 보도되지 않았습니다. 이 글은 방법을 추측하지 않습니다. 부모가 알아야 할 건 뚫린 방법이 아니라, 어떤 빈칸이 채워졌고 그래서 어떤 전화를 걸러야 하는지입니다.

숫자로 본 규모

이번 건은 숫자가 적습니다. 특히 몇 명의 정보가 나갔는지가 어느 보도에도 없습니다. 그래서 없는 숫자를 만들어 넣지 않았습니다. 둘째 칸을 봐 주세요.

숫자 무엇 출처
약 70개 생각하는황소 전국 지점 수 보안뉴스 (보도)
9월 17일 시험 예약 사이트 침입일 머니투데이 (보도)
9월 18일 학원 홈페이지 공지일 머니투데이 (보도)
(없음) 유출된 학생·학부모 수 어느 보도에도 없음

사실 약 70개 지점. 대치동 학원 하나의 일이 아닙니다. 전국 어느 지점이든 이 학원 시험을 한 번이라도 예약했다면 대상일 수 있습니다. 학원은 해커가 자료를 전부 확보 중이라고 알려 왔다는 이유로, 예약 이력이 있는 학부모와 학생 전원의 정보가 나갔을 가능성이 높다고 밝혔다고 보도됐습니다. 다만 ’전원’은 학원의 추정 표현이고, 그게 몇 명인지는 어디에도 없습니다.

사실 17일 침입, 18일 공지. 하루 차이입니다. 그리고 그 18일자 보도에 이미 커뮤니티의 피싱 전화 글이 언급됐습니다. 아이가 학교에 갔다 오는 사이에 대본의 빈칸이 채워졌을 수 있다는 뜻입니다.

추정 그래서 대응은 “나중에 조심해야지”가 아닙니다. 오늘입니다. 빈칸이 채워진 대본은 만들어진 그날부터 쓰입니다. 오늘은 공지가 나온 다음 날입니다.

그래서 지금 할 일

두 가지입니다. 둘 다 오늘 할 수 있고, 돈이 들지 않습니다.

하나. 아이가 다쳤다·사고가 났다는 전화는, 끊고 내가 겁니다.

상대가 아이 이름을 알든, 학교와 학년까지 대든, 학원이나 병원이나 경찰이라고 하든 똑같습니다. 일단 끊습니다. 그리고 아이 본인에게 전화합니다. 아이가 안 받으면 학교로, 학원 대표번호로 겁니다. 내가 원래 알고 있던 번호로, 내가 직접 거는 것이 핵심입니다. 상대가 불러 준 번호는 안 됩니다. 정말 아이가 다쳤다면 이 확인은 전화 한 통이면 끝나고, 사기라면 여기서 바로 드러납니다.

빈칸으로 말하면 이렇습니다. 빈칸이 다 맞게 채워졌다는 건 상대가 그 대본을 손에 들고 있다는 뜻이지, 상대가 진짜라는 뜻이 아닙니다. 진짜인지는 내가 거는 전화 한 통으로만 확인됩니다.

둘. 학원이나 기관 이름으로 온 문자 속 링크는 누르지 않습니다.

학원이 유출 대상자에게 문자로 알리는 중이라고 보도됐습니다. 그 문자를 받았다면 이제부터는 이렇게 생각하면 됩니다. 내 아이의 빈칸은 이미 채워져 있을 수 있다. 그러니 앞으로 오는 낯선 연락은 사기일 가능성을 먼저 둔다. 특히 문자 안의 링크를 누르라고 하거나, 앱을 설치하라고 하거나, 개인정보를 적으라고 하거나, 돈을 보내라고 하면 그 자리에서 멈춥니다. 학원 스스로가 링크를 누르지 말라고 당부한 상태입니다.

추정 두 가지를 한 줄로 줄이면 이렇습니다. 채워진 빈칸은 믿을 근거가 아닙니다. 내가 건 전화만 근거입니다. 이 한 줄은 초등학생 아이에게 말해 줘도 되고, 조부모께 말해 드려도 됩니다. 어느 쪽이든 전화를 받을 수 있으니까요.

우리가 모르는 것

이 블로그는 확인되지 않은 걸 확인된 것처럼 쓰지 않습니다. 이번 건에서 아직 모르는 것들입니다.

  • 유출된 사람 수를 모릅니다. 어떤 보도에도 수치가 없습니다. ’전원’은 학원의 추정 표현이고, 이 글도 그대로 추정으로 적었습니다.
  • 커뮤니티에 올라온 사고·납치 빙자 전화가 이번 유출 정보를 쓴 것인지 모릅니다. 연관성이 확인되지 않았습니다. 그 보고를 전한 매체도 보안뉴스 한 곳입니다. 그래서 이 글의 전화 장면은 “올 수 있는” 일이지 “이 유출 때문에 벌어진” 일이 아닙니다.
  • 누가, 왜 했는지 모릅니다. 해커가 돈을 요구했는지, 데이터를 어디에 공개하거나 팔았는지 보도되지 않았습니다. 그래서 이 글에는 국적도 조직 이름도 없습니다.
  • 어떻게 들어갔는지 모릅니다. 침입 경로와 어떤 약점이 있었는지 보도가 없습니다.
  • 학원 공지 원문을 직접 보지 못했습니다. 학원 홈페이지 공지 페이지는 접근이 막혀 있었습니다. 이 글의 공지 내용은 전부 언론 보도가 인용한 것을 기준으로 했습니다.

확인되지 않은 것: 유출 인원, 커뮤니티 피싱 전화와 이번 유출의 연관성, 해커의 요구와 데이터 유통 여부, 침입 경로, 학원 공지 원문. 본문의 사실은 보안뉴스·머니투데이·아시아경제 세 매체 보도를 서로 대조한 것으로, 침입일·공지일·유출 추정 항목·학원의 당부 내용이 일치했습니다. 피싱 전화 보고는 보안뉴스 한 곳만 전했습니다.

출처

1차 출처는 생각하는황소 홈페이지의 유출 안내 공지입니다. 접근이 차단돼 원문을 확인하지 못했고, 아래 보도가 인용한 내용으로 대신합니다.

이 글은 우리 관측이 아니라 남의 취재를 재료로 씁니다. 그래서 공격 타임라인·MITRE·IOC 블록이 없고, 마스킹할 IP나 인용할 자격증명 자료도 없습니다 — 없는 자료를 만들어 넣지 않습니다. 모든 사실은 2026년 9월 18일 학원 공지를 전한 보도를 기준으로 적었고, 공지 원문은 직접 확인하지 못했으므로 본문에서 “보도됐습니다”로 구분했습니다. 유출 인원은 보도되지 않았고, 커뮤니티의 피싱 전화와 이번 유출의 연관성은 확인되지 않았습니다. 공격 주체·원인·국적은 확인되지 않았으므로 적지 않았습니다. 따라 할 수 있는 명령어·주소·절차는 싣지 않습니다. 관측일·발행일 2026-09-19.