보안 가이드

ETS 캘리포니아 학생 데이터 유출: 장애·504·시험 데이터 복사 — 가족이 해야 할 일

ETS는 캘리포니아 주 시험의 학생 데이터가 열람·복사됐으며 장애와 504 상태도 포함된다고 밝혔습니다. 무엇이 포함됐고 가족이 무엇을 해야 하는지 정리합니다.

게시 2026-10-31 업데이트 2026-10-31 최종 확인 2026-10-31 9분 읽기

이 페이지에서

대상: 캘리포니아 공립학교의 현재·과거 학생 가족, 이미 성인이 된 과거 학생, 학생 기록을 보관하는 학교와 업체. 이 글은 캘리포니아주 법무장관에게 제출된 ETS의 데이터 유출 통지와 CDE의 발표를 바탕으로 하며, 공격 기법은 다루지 않습니다.

결론

통지가 우리 아이에게 해당한다고 보고, 편지의 코드로 등록하며, 학교를 언급하는 메시지를 믿지 마세요

ETS에 따르면 주 시험 데이터 교환에 쓰인 파일이 열람·복사됐으며, 여기에는 장애와 504조 정보도 포함됩니다. ETS는 사회보장번호, 카드 정보, 비밀번호는 포함되지 않았다고 밝혔습니다.

아이가 최근 3개 학년도에 캘리포니아 공립학교에 다녔다면 통지가 해당한다고 보세요
편지의 코드로 무료 Experian IdentityWorks에 등록하고, 주소는 직접 입력하세요
학교, 학년, 시험 결과, 학생 ID를 언급한다는 이유만으로 전화나 메시지를 믿지 마세요
장애와 편의 제공 정보는 바꿀 수 없으므로 누구와 이야기할지 신중히 정하세요
학교와 업체: 학생 장애 데이터를 보관하는 시스템과 그 시스템에 로그인할 수 있는 사람을 목록으로 만드세요

진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다

대상: 캘리포니아 공립학교의 현재·과거 학생 가족, 이미 성인이 된 과거 학생, 학생 기록을 보관하는 학교와 업체.
확인된 영향 범위표 보기 ↓: 접근 기간
대상
이름, 생년월일, 주소, 학교, 학군, 학년
5개 더 보기
SSID와 지역 학생 ID
성별, 인종 또는 민족, 언어, 출신 국가, 영어 학습자 여부
장애와 504조 상태, 시험 편의 제공, 주된 장애 유형
프로그램 대상 여부(Title I, McKinney-Vento, Military Connected)
영어 능력과 시험 등록, 응시, 결과
아직 확인되지 않은 사항: 영향받은 학생 수
복사된 기록이 언제까지 거슬러 올라가는지
로그인 자격 증명이 유출된 경위
2개 더 보기
데이터가 공개되는지 여부
CDE와 주 교육위원회 검토의 결과
지금 할 일절차 보기 ↓: 통지가 우리 아이에게 해당한다고 보세요
편지의 코드로 무료 Experian IdentityWorks에 등록하세요
학교나 시험을 언급한다는 이유만으로 전화나 메시지를 믿지 마세요
2개 더 보기
장애와 편의 제공 정보를 누구와 이야기할지 신중히 정하세요
아이의 신용 동결은 선택 사항이며, 통지가 요구하지는 않습니다
확인처(출처)출처 전체 ↓: ETS, 「Notice of Data Breach」(캘리포니아주 법무장관에게 제출된 샘플, PDF, 영어)
마지막 확인: 2026년 10월 31일 기준

후속 발표 예정과 확인 기록

CDE는 추가 정보가 나오면 ETS 사고 페이지를 업데이트하겠다고 밝혔습니다. 2026년 10월 31일 기준으로 ETS와 CDE는 인원 수를 공개하지 않았습니다. CDE는 통지가 10월 16일에 시작됐고 11월 초까지 이어질 것으로 예상된다고 밝혔습니다.

가족과 과거 학생이 오늘 해야 할 일

통지가 우리 아이에게 해당한다고 보세요

통지는 캘리포니아 학생의 정보(직전 3개 학년도에 재학한 모든 학생을 포함하되 이에 한정되지 않음)가 열람·복사됐다고 밝힙니다. ETS는 캘리포니아 공립학교 학생에게 주가 요구하는 시험을 시행합니다. 아이가(또는 본인이) 그 기간에 공립학교에 다녔다면, 편지가 오기 전이라도 해당된다고 보세요.

확인하려면 브라우저에 직접 입력한 CDE 페이지(cde.ca.gov/ets)를 이용하거나, 통지에 있는 번호(833-931-8488, 월요일부터 금요일, 태평양 시간 오전 6시부터 오후 6시, 미국 주요 공휴일 제외)로 전화하세요. 통지는 CDE 페이지에서 여러 언어로 볼 수 있습니다.

편지의 코드로 무료 Experian IdentityWorks에 등록하세요

ETS는 Experian IdentityWorks를 2년간 무료로 제공합니다. 18세 미만 학생은 부모나 보호자가 미성년자용 상품에 등록합니다. 이미 18세 이상이 된 학생은 성인용 상품에 직접 등록합니다. 활성화 코드는 편지에 있으며 신용카드 정보는 요구하지 않습니다.

통지 본문은 등록 기한을 2027년 3월 19일로 밝힙니다(성인용 첨부에는 2029년 3월 19일도 적혀 있습니다). 2029년 3월 19일까지 18세가 되는 미성년자는 18세 생일에 성인용 상품에 등록할 수 있습니다. ETS는 가짜 신원 보호 사이트를 경고합니다. 이메일이나 문자의 링크를 따라가지 말고, 편지에 인쇄된 Experian 주소를 직접 입력하세요.

학교나 시험을 언급한다는 이유만으로 전화나 메시지를 믿지 마세요

복사된 데이터에는 학교, 학년, 학생 식별 번호, 시험 결과가 포함될 수 있습니다. 이를 인용한 메시지는 진짜처럼 보일 수 있습니다. ETS는 학생의 학교, 주 시험 또는 이번 사고를 언급하는 예상치 못한 이메일, 문자, 전화에 주의하고, 이에 응해 개인정보, 비밀번호, 금융 정보를 알려 주지 말라고 안내합니다.

메시지가 아이의 정보를 "확인"하거나 무언가를 결제하라고 요구하면 닫고, 학교나 학군의 공식 웹사이트에 있는 번호로 전화하세요(구별하는 방법: 피싱이란?).

장애와 편의 제공 정보를 누구와 이야기할지 신중히 정하세요

데이터에는 장애와 504조 상태, 시험 편의 제공, 주된 장애 유형이 포함될 수 있습니다. 이는 비밀번호처럼 바꿀 수 없습니다. 먼저 연락해 와서 아이의 장애, 지원 계획, 편의 제공을 언급하는 사람(서비스를 권하거나 기록을 요구하는 등)에게 주의하세요. 무엇이든 건네기 전에 학교에 확인하세요.

아이의 신용 동결은 선택 사항이며, 통지가 요구하지는 않습니다

ETS는 사회보장번호는 포함되지 않았다고 밝혔습니다. 그래도 통지의 일반 안내는 16세 미만 아이의 신용 파일을 Equifax, Experian, TransUnion에서 무료로 동결할 수 있다고 설명합니다. 이는 선택할 수 있는 예방책이며, 통지는 이번 사고에 필요하다고 말하지 않습니다.

무슨 일이 있었나요(ETS 통지 기준)

다음은 캘리포니아주 법무장관에게 제출된 ETS의 데이터 유출 통지와 2026년 10월 16일 CDE의 보도자료를 바탕으로 합니다. ETS는 캘리포니아주와 계약해 California Assessment of Student Performance and Progress(CAASPP)와 English Language Proficiency Assessments for California(ELPAC)를 맡는 비영리 시험 기관입니다.

캘리포니아주 교육부

ETS와 주 시험 정보를 주고받음

↓→

ETS의 SFTP 사이트

유출된 로그인 자격 증명으로 접근, 파일 복사

↓→

학생 기록

인구통계, 프로그램, 장애, 시험 데이터

자격 증명이 어떻게 유출됐는지는 공개되지 않았습니다.

복사된 파일이 있던 곳(ETS 통지 기준)

2026년 5월 22일부터 9월 18일까지
ETS에 따르면 권한 없는 제3자가 이 기간에 여러 차례 유출된 로그인 자격 증명을 사용해, CDE와 주 시험 정보를 주고받는 ETS의 SFTP 사이트에 접근하고 캘리포니아 학생 정보가 담긴 파일을 복사했습니다.
9월 25일
ETS가 무단 활동을 확인합니다. 관련 계정을 비활성화하고 SFTP 사이트를 오프라인으로 전환했으며, 외부 사이버 보안 전문가와 함께 조사를 시작했습니다.
10월 16일
ETS가 CDE의 지시에 따라 학생과 가족에게 통지를 시작합니다. CDE가 보도자료를 발표했으며, 캘리포니아주 법무장관 목록에는 "CDE" 이름으로 유출일 2026년 5월 22일의 신고가 있습니다.
11월 초(예상)
CDE는 통지 발송이 11월 초까지 이어질 것으로 예상된다고 밝혔습니다.

약 4개월

자격 증명이 사용된 기간(5월 22일부터 9월 18일까지)

3개 학년도

최소한 재학한 모든 학생(통지)

미공개

학생 수

2년

무료 Experian IdentityWorks

ETS 통지의 내용

기관: Educational Testing Service(ETS). 캘리포니아주와 계약해 공립학교에서 주와 연방이 요구하는 시험을 시행하는 비영리 기관
시스템: CDE와 주 시험 정보를 주고받는 ETS의 SFTP 사이트
대상: 캘리포니아 학생의 정보(직전 3개 학년도에 재학한 모든 학생을 포함하되 이에 한정되지 않음)
항목(학생마다 다름): 이름, 생년월일, 거주지 주소, 학교, 학군, 학년; SSID와 지역 학생 ID; 성별, 인종 또는 민족, 주 사용 언어, 출신 국가, 영어 학습자 여부; 장애와 504조 상태, 시험 편의 제공, 주된 장애 유형; Title I Part A, Title I Part C, McKinney-Vento, Military Connected Student 대상 여부; 영어 능력 정보와 시험 등록, 응시, 결과
포함되지 않음(ETS): 사회보장번호, 운전면허와 여권 번호, 금융 계좌 정보, 신용카드나 직불카드 정보, 계정 비밀번호. 부모나 보호자의 개인정보는 관련되지 않음
공개 여부: ETS는 정기적인 웹 모니터링 결과 현재까지 정보가 공개된 증거를 찾지 못했으며, 법 집행 기관과 전문가와 함께 그 위험을 줄이는 조치를 했다고 밝힘
대응: 계정 비활성화, 사이트 오프라인 전환, 더 강한 보안 통제를 갖춘 완전히 새로운 SFTP 사이트 구축, 법 집행 기관 통지
주 정부의 대응: CDE와 주 교육위원회가 주 사이버 보안 전문가와 협력하며, 캘리포니아 사이버보안 통합센터가 포렌식을 지원. CDE와 위원회는 사고와 ETS의 데이터 보안 및 계약 요건 준수 여부도 검토 중

확인된 내용과 확인되지 않은 내용

2026년 10월 31일 기준 상태입니다. ETS나 CDE가 추가로 발표하면 상태 열을 고쳐 씁니다.

항목	통지의 내용	상태
접근 기간	2026년 5월 22일부터 9월 18일 사이 여러 차례 유출된 로그인 자격 증명이 사용됨	확인됨 (ETS)
대상	캘리포니아 학생(직전 3개 학년도에 재학한 모든 학생을 포함하되 이에 한정되지 않음)	확인됨 (ETS)
이름, 생년월일, 주소, 학교, 학군, 학년	파일 복사는 확인됨. 이 항목은 포함될 수 있음(학생마다 다름)	유출 확인 (ETS; 항목은 학생마다 다름)
SSID와 지역 학생 ID	포함될 수 있음(학생마다 다름)	유출 확인 (ETS; 항목은 학생마다 다름)
성별, 인종 또는 민족, 언어, 출신 국가, 영어 학습자 여부	포함될 수 있음(학생마다 다름)	유출 확인 (ETS; 항목은 학생마다 다름)
장애와 504조 상태, 시험 편의 제공, 주된 장애 유형	포함될 수 있음(학생마다 다름)	유출 확인 (ETS; 항목은 학생마다 다름)
프로그램 대상 여부(Title I, McKinney-Vento, Military Connected)	포함될 수 있음(학생마다 다름)	유출 확인 (ETS; 항목은 학생마다 다름)
영어 능력과 시험 등록, 응시, 결과	해당하는 경우 포함될 수 있음	유출 확인 (ETS; 항목은 학생마다 다름)
사회보장번호, 운전면허와 여권 번호, 금융과 카드 정보, 비밀번호	포함되지 않음	포함되지 않음 (ETS)
부모나 보호자 정보	관련되지 않음	포함되지 않음 (ETS)
데이터 공개	웹 모니터링에서 현재까지 증거를 찾지 못함	확인되지 않음 (ETS)
학생 수	밝히지 않음	명시되지 않음
자격 증명이 유출된 경위	밝히지 않음	명시되지 않음

읽는 법: 언론의 인원 추정치는 공식 수치가 아닙니다

일부 보도는 영향받은 학생 수를 추정해 제시하며, 매체마다 숫자가 다릅니다. ETS와 CDE는 숫자를 공개하지 않았으므로 이 글은 숫자를 쓰지 않습니다. 통지의 "포함하되 이에 한정되지 않음"이라는 표현은 3개 학년도 밖의 학생도 포함될 수 있다는 뜻입니다.

이런 데이터 조합은 어디에 쓰일 수 있나요

일반적으로 다음과 같은 조합은 악용될 수 있습니다. 이번에 그런 일이 일어났다는 뜻은 아닙니다.

이름 + 학교 + 학년 + 학생 ID: 학교, 학군, 시험 프로그램을 사칭하는 그럴듯한 메시지
장애, 504조 상태, 편의 제공: 유료 서비스 권유나 기록 요구처럼 가족의 걱정을 이용하는 접근
주소 + 생년월일: 사회보장번호가 없어도 사칭의 출발점
사고 자체: 실제 통지의 모양을 흉내 낸 가짜 "보호 서비스 받기", "자녀 확인" 메시지

학생 기록을 보관하는 학교와 업체를 위해

통지는 로그인 자격 증명이 어떻게 유출됐는지 밝히지 않으므로, 이 절은 ETS의 보안을 평가하지 않습니다. 공개된 사실로 다른 조직이 확인할 수 있는 점만 다룹니다.

로그인 하나로 많은 학생의 파일이 열리는 시스템을 찾으세요. 이번에는 파일 교환 사이트의 계정 하나로 주 전체 학생의 파일에 접근했습니다. 파일 전송 사이트, 공유 폴더, 내보내기와 그 계정을 가진 사람을 목록으로 만드세요.
오래 이어지는 접근을 알아챌 수 있게 하세요. 자격 증명은 활동이 확인되기 전 약 4개월 동안 여러 차례 사용됐습니다. 파일 교환 시스템의 로그인과 다운로드가 기록되고 검토되는지 확인하세요.
작업에 필요한 항목만 보내세요. 파일에는 시험 데이터와 함께 장애와 프로그램 정보가 들어 있었습니다. 각 데이터 교환이 싣고 있는 항목이 모두 필요한지 검토하세요.

출처(공개 자료)

이 글의 사실은 아래 공개 자료에 근거합니다. 언론의 학생 수 추정치는 쓰지 않았습니다.

ETS, 「Notice of Data Breach」(캘리포니아주 법무장관에게 제출된 샘플, PDF, 영어) — oag.ca.gov
캘리포니아주 법무장관, 데이터 유출 목록 항목(기관명 "CDE", 유출일 2026년 5월 22일, 신고일 2026년 10월 16일) — oag.ca.gov
캘리포니아주 교육부, 보도자료 #26-45 「ETS Begins Notifying California Students and Families Following Data Security Incident」(2026년 10월 16일, 영어) — cde.ca.gov
캘리포니아주 교육부, ETS 사고 정보 페이지 — cde.ca.gov/ets
미국 연방거래위원회(FTC), 「Credit Freezes and Fraud Alerts」(영어) — consumer.ftc.gov

업데이트 기록

2026-10-31: 최초 버전. 캘리포니아주 법무장관에게 제출된 ETS의 데이터 유출 통지와 10월 16일 CDE 보도자료를 바탕으로 작성했습니다. 인원 수는 공개되지 않았습니다. ETS나 CDE가 추가로 발표하면 업데이트합니다.

다음으로 읽기

미국 학교 업체의 또 다른 유출: Frontline Education 데이터 유출
학생 학자금 지원 데이터: 플로리다주 교육부 학자금 지원 웹사이트 침해
캘리포니아의 또 다른 계약업체 통지: Paradigm Healthcare Services Medi-Cal 데이터 유출
뒤따르는 사기 알아보기: 피싱이란?
2026년의 다른 사고: Data breaches and cyberattacks of 2026

FAQ

QETS 데이터 유출에는 무엇이 포함됐나요?

ETS의 데이터 유출 통지에 따르면 열람·복사된 정보는 학생마다 다르지만 다음이 포함될 수 있습니다: 이름, 생년월일, 거주지 주소, 학교, 학군, 학년; 주 학생 식별 번호(SSID)와 지역 학생 식별 번호; 성별, 인종 또는 민족, 주 사용 언어, 출신 국가, 영어 학습자 여부; 장애와 504조 상태, 시험 편의 제공, 주된 장애 유형; Title I Part A, Title I Part C, McKinney-Vento, Military Connected Student 프로그램 대상 여부; 영어 능력 정보와 주 시험 등록, 응시, 결과.

Q우리 아이도 해당되나요?

통지는 캘리포니아 학생의 정보(직전 3개 학년도에 재학한 모든 학생을 포함하되 이에 한정되지 않음)가 열람·복사됐다고 밝힙니다. ETS는 캘리포니아 공립학교 학생에게 주가 요구하는 시험을 시행합니다. 이미 성인이 된 과거 학생도 해당됩니다. ETS는 인원 수를 공개하지 않았습니다. CDE는 통지가 10월 16일에 시작됐고 11월 초까지 이어질 것으로 예상된다고 밝혔습니다.

Q사회보장번호나 비밀번호도 유출됐나요?

ETS는 데이터에 사회보장번호, 운전면허 번호, 여권 번호, 금융 계좌 정보, 신용카드나 직불카드 정보, 계정 비밀번호가 포함되지 않았고, 부모나 보호자의 개인정보도 관련되지 않았다고 밝혔습니다.

Q원인은 무엇인가요?

ETS에 따르면 권한 없는 제3자가 유출된 로그인 자격 증명을 사용해, ETS가 CDE와 주 시험 정보를 주고받는 데 쓰던 SFTP 사이트에 접근했습니다. 자격 증명이 어떻게 유출됐는지는 공개되지 않았습니다. ETS는 사이트를 오프라인으로 전환하고 더 강한 보안 통제를 갖춘 새 사이트를 구축했습니다.

Q아이의 학교나 시험 결과를 언급하는 전화나 이메일이 오면?

ETS는 학생의 학교, 주 시험 또는 이번 사고를 언급하는 예상치 못한 이메일, 문자 메시지, 전화에 주의하고, 이에 응해 개인정보, 비밀번호, 금융 정보를 알려 주지 말라고 안내합니다. 학교, 학년, 학생 ID를 안다고 해서 진짜라는 증거는 아닙니다. 직접 입력한 CDE 페이지(cde.ca.gov/ets)에서 확인하세요.

Q무료 Experian 보호는 어떻게 받나요? 기한이 있나요?

ETS는 Experian IdentityWorks를 2년간 무료로 제공합니다. 18세 미만 학생용 상품은 부모나 보호자가 등록하고, 이미 18세 이상이 된 학생은 성인용 상품에 등록합니다. 활성화 코드는 편지에 있으며 신용카드 정보는 요구하지 않습니다. 통지 본문은 등록 기한을 2027년 3월 19일로 밝히며, 성인용 첨부에는 2029년 3월 19일도 적혀 있습니다. 2027년 3월 19일 전에 등록하면 둘 다 충족합니다. 2029년 3월 19일까지 18세가 되는 미성년자는 18세 생일에 성인용 상품에 등록할 수 있습니다. ETS는 가짜 신원 보호 사이트에 주의하고 URL을 다시 확인하라고 안내합니다.