대상: LMU 뮌헨(Ludwig-Maximilians-Universität München)의 현재 및 전 학생, 전 교환 학생 및 지원자, 그리고 학생 또는 구성원 데이터를 수년간 보관하는 모든 사람. 이 글은 LMU의 공식 공지를 바탕으로 하며, 공격이나 사기 기법은 다루지 않습니다.
학생과 졸업생이 오늘 해야 할 일
영향을 받았는지 확인하십시오 — 졸업생, 교환 학생, 지원자도 해당됩니다
LMU는 입학 시스템의 전체 데이터 세트가 약 50년에 걸쳐 영향을 받았다고 밝혔습니다. 여기에는 현재 학생, 졸업생, 학위 없이 중퇴한 사람, 그리고 지원만 했던 사람이 포함됩니다.
일본 출신을 포함해 LMU에서 국제 학생 또는 교환 학생으로 공부했고 해당 시스템에 등록되어 있었다면 영향을 받았을 수 있습니다. 2026년 10월 3일 현재 LMU는 개별 통지를 시작하지 않았으므로, 아래 단계를 진행하기 위해 통지 편지를 기다릴 필요는 없습니다.
2005년 이후에 은행 계좌를 제공했다면 명세서를 확인하십시오
LMU는 2005년 이후 기록에 은행 정보(IBAN 및 계좌 소유자 이름)가 포함되어 있다고 밝혔습니다. 수수료나 환불을 위해 LMU에 독일 또는 EU 계좌를 제공했다면, 해당 계좌에서 인식하지 못하는 자동이체가 있는지 확인하십시오.
계좌가 부모님이나 다른 사람 명의라면 그들에게도 알려 주십시오. 독일을 떠날 때 계좌를 해지했다면 그 계좌에서 인출이 이루어질 수 없습니다. 해지했는지 확실하지 않다면 은행에 문의하십시오.
인식하지 못하는 자동이체는 은행에 취소를 요청하십시오
SEPA 직접 인출(EU 전역의 은행 자동이체 제도)은 이체일로부터 8주 이내에 사유를 밝히지 않고도 요청하면 환불받을 수 있습니다. 승인하지 않은 자동이체는 최대 13개월까지 취소할 수 있습니다.
그런 자동이체를 발견하면 본인의 은행 앱이나 지점에서 절차를 시작하십시오. 인식하지 못하는 계약이나 결제 요구를 받았다면 해당 회사에도 문의하십시오.
LMU, 건강보험사 또는 BAföG 사무소를 사칭한 이메일의 링크는 열지 마십시오
유출되었을 수 있는 데이터에는 이름, 주소, 이메일 주소와 등록 정보, 건강보험 번호, BAföG(독일 주정부 학생 지원금) 번호가 포함됩니다. 이런 정보가 있으면 사기범은 매우 그럴듯한 메시지를 작성할 수 있습니다.
LMU는 본인 앞으로 개인적으로 보낸 것처럼 보이는 이메일이라도 신중히 확인하지 않은 첨부 파일이나 링크를 열지 말고, 은행 정보나 비밀번호를 알려주지 말라고 조언합니다. "환불" 또는 "재등록 필요"에 대한 메시지를 받았다면, LMU의 공식 웹사이트를 직접 열어 확인하십시오 (피싱이란? 참조).
LMU 비밀번호를 변경할 필요는 없습니다
LMU는 비밀번호가 영향을 받지 않았으며 대학 계정은 안전하다고 밝혔습니다. 다만 다른 서비스에서도 같은 비밀번호를 사용하고 있다면, 이번 기회에 비밀번호 재사용을 중단하십시오 (비밀번호 관리자 선택하기).
무슨 일이 있었나 (LMU 공지 기준)
LMU는 2026년 9월 19일 첫 공지를 게시했고, 9월 28일 업데이트와 수정된 FAQ를 발표했습니다. 아래 내용은 모두 LMU의 공식 공지에서 가져왔습니다.
2026년 9월 16일
LMU가 사고를 확인합니다. 허가되지 않은 행위자가 학생 등록 관련 기본 정보를 보관한 IT 시스템에 접근했습니다.9월 19일
첫 공지. LMU는 데이터가 빠져나간 것으로 가정해야 한다고 밝혔으며, 바이에른 주 형사경찰청(LKA) 및 수사 기관이 관여하고 있다고 했습니다.9월 22일
등록이 다시 열립니다.9월 28일
업데이트. 범위는 약 50년에 걸친 약 60만 건의 기록입니다. 지금까지 공개나 악용의 징후는 없으며, LMU는 다크웹(일반 검색 엔진에 나타나지 않는 불법 거래 사이트)을 계속 면밀히 모니터링하고 있습니다.9월 30일
강의 관리 시스템(LSF)이 단계적으로 다시 열리기 시작합니다.
- 범위
- 입학 시스템의 전체 데이터 세트: 현재 및 전 학생의 약 50년치, 약 60만 건의 기록. 시스템에서 처리된 지원자 및 기타 사람들도 포함될 수 있습니다
- 식별 정보
- 이름, 생년월일, 성별, 일부는 출생지 또는 출생 국가
- 연락처 정보
- 주소, 전화번호, 이메일 주소
- 은행 정보
- IBAN 및 계좌 소유자 이름(2005년 이후 기록. 2005년 이전에는 수집되지 않음)
- 번호
- 건강보험 번호, BAföG(주정부 학생 지원금) 번호(해당되는 경우)
- 학업 이력
- 이전 학력, 전공, 휴학 사유. 휴학 사유에는 건강 정보 등 유럽연합 일반 개인정보 보호법(GDPR) 제9조에 따른 특별 범주의 개인정보가 포함될 수 있습니다
- 연도별 차이
- 1994년까지(1994년 포함)의 기록에는 기본 정보와 학기 이력만 포함됩니다. 2005년 이후 기록에는 더 많은 정보가 포함됩니다
- 영향 없음
- 비밀번호, 시험 정보, 성적, 강의 내용 및 개인 학업 성취도
- 원인
- 공개되지 않음. LMU는 해당 시스템을 중단하고 데이터를 보호했으며, 외부 전문가와 함께 조사하고 있습니다
- 관계 기관
- 바이에른 주 형사경찰청(LKA)이 수사 중입니다. 관련 감독 기관과 수사 기관에 통보되었습니다
이 내용의 의미: "공개 징후 없음"이 안전하다는 뜻은 아닙니다
LMU는 지금까지 데이터가 공개되거나 악용된 징후를 확인하지 못했다고 밝혔습니다. 이는 아직 아무것도 발견되지 않았다는 뜻이지, 데이터가 앞으로 절대 사용되지 않는다는 뜻은 아닙니다.
IBAN, 이름, 주소는 바꾸지 않는 한 수년간 그대로 유지됩니다. 명세서를 한 번만 확인하지 말고, 몇 달 동안 계속 확인하십시오.
1994년까지의 기록
기본 정보와 학기 이력만 포함
1995년–2004년 기록
은행 정보 없음(LMU는 2005년 이전에 수집하지 않음)
2005년 이후 기록
IBAN 및 계좌 소유자를 포함해 더 많은 항목 포함
↓ 해야 할 일
기록의 연도와 관계없이
LMU, 건강보험사 또는 학생 지원 사무소를 사칭한 이메일의 링크는 열지 마십시오. 메시지에 이름이나 번호가 있다고 해서 진짜라는 증거는 아닙니다
2005년 이후에 LMU에 은행 계좌를 제공했다면
몇 달 동안 명세서를 계속 확인하십시오. 인식하지 못하는 자동이체는 8주 이내에 사유 없이 환불받을 수 있고, 승인하지 않은 자동이체는 13개월 이내에 취소할 수 있습니다
유출된 IBAN으로 할 수 있는 일
| 유출된 데이터 | 가능한 악용 | 해야 할 일 |
|---|---|---|
| IBAN + 이름 + 주소 | 본인 이름으로 설정된 자동이체(예: 온라인 쇼핑) | 명세서 확인; 인식하지 못하는 인출은 은행에 취소 요청 |
| 이름 + 이메일 + 등록 정보 | LMU를 사칭한 그럴듯한 이메일 | 링크를 열지 말고, 공식 웹사이트를 직접 여십시오 |
| 건강보험 또는 BAföG 번호 | 보험사 또는 학생 지원 사무소를 사칭한 메시지 | 번호가 맞다고 해서 메시지가 진짜라고 판단하지 마십시오 |
IBAN만으로는 누군가 온라인 뱅킹에 로그인하거나 계좌에서 돈을 옮길 수 없습니다. 네덜란드의 Odido 사례에서도 네덜란드 은행협회는 대부분의 사람이 계좌를 바꿀 필요는 없다고 밝혔습니다 (Odido 데이터 유출 사고 참조).
다만 SEPA 자동이체는 돈을 받는 회사가 계좌 소유자의 위임(승인)을 근거로 시작하며, 은행은 매번 그 위임을 확인하지 않습니다. 그래서 인식하지 못하는 자동이체를 찾아 취소하는 것이 계좌 소유자가 할 수 있는 가장 확실한 조치입니다.
이 사이트의 견해: 귀국한 전 교환 학생이 가장 늦게 알아챌 가능성이 큽니다
귀국한 전 국제 학생들은 독일 계좌를 그대로 유지하면서 명세서를 거의 보지 않는 경우가 있습니다. 등록된 주소가 독일의 오래된 주소라면 은행이나 수납 회사의 편지도 그들에게 전달되지 않습니다.
계좌를 해지했는지 확실하지 않다면 은행에 문의하고, 더 이상 사용하지 않는다면 해지를 고려하십시오. 승인되지 않은 자동이체를 취소할 수 있는 기간이 13개월로 제한되어 있으므로, 명세서를 확인하지 않고 방치하는 것이 실제 위험입니다.
학생 또는 구성원 데이터를 수년간 보관하는 기관을 위한 안내
이번에 관련된 데이터는 학생과 졸업생 기록 약 50년치입니다. 대학은 등록 증명서나 학위 증명처럼 일부 기록을 오랫동안 보관해야 합니다. 그러나 은행 정보와 건강보험 번호는 등록 절차를 위해 수집됩니다. LMU는 왜 이를 보관했는지 밝히지 않았습니다.
이를 고려하여, 학생 또는 구성원 데이터를 보관하는 모든 기관이 검토할 수 있는 일반적인 세 가지 사항은 다음과 같습니다.
장기 보관해야 하는 기록과 절차에만 필요한 데이터를 분리하십시오
학위 증명에는 이름, 생년월일, 등록 기간, 학위 정보가 필요합니다. 은행 정보와 보험 번호는 등록 절차가 끝나면 보통 필요하지 않습니다. 각 항목에 대해 법률이나 규정상 보관이 요구되는지, 아니면 단순히 삭제 절차가 없는 것인지 확인하십시오.
졸업생과 전 구성원의 은행 정보에 대한 삭제 날짜를 정하십시오
GDPR 제5조 제1항 (e)호는 개인정보가 처리 목적에 필요한 기간을 넘어 개인을 식별할 수 있는 형태로 보관되지 않아야 한다고 규정합니다(보관 기간 제한).
졸업생이나 전 구성원의 은행 정보는 일상 업무에서 사용되지 않지만 유출 사고에서는 여전히 노출됩니다. 보관 기간을 정하고 기간이 끝나면 자동으로 삭제하십시오. 수동 삭제는 오래 지속되지 않습니다.
오래된 기록을 일상 절차에 쓰는 시스템 밖으로 옮기십시오
입학처럼 매년 많은 사람이 사용하는 시스템에 수십 년 된 기록도 함께 보관되어 있다면, 그 시스템의 침해는 모든 기록을 노출시킵니다. 졸업생 기록은 별도의 접근 권한이 있는 별도 저장소로 옮겨, 일상 시스템이 이를 직접 읽을 수 없도록 하십시오. 조직을 위한 보안 기준선을 참조하십시오.
교육 분야의 다른 사례: 학습 관리 시스템인 Canvas(Instructure) 유출 사고와 학습 플랫폼인 Mathspace 유출 사고.
출처 (공개 기록)
이 글의 내용은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 방법이나 원인에 대해서는 추측하지 않습니다.
- LMU, "Information über einen Datenschutzvorfall" (2026년 9월 19일) — lmu.de
- LMU, "Update zum Datenschutzvorfall" (2026년 9월 28일) — lmu.de
- LMU, "Questions about the data security incident" (FAQ, 2026년 9월 28일 업데이트) — lmu.de (영어) / lmu.de (독일어)
- European Commission, Your Europe, "Payments, transfers and cheques" (자동이체 8주 환불) — europa.eu
- Stiftung Warentest, "Lastschrift zurückholen" (위임이 있는 경우 8주, 없는 경우 13개월) — test.de
- Directive (EU) 2015/2366 (PSD2), Articles 71 and 77 — EUR-Lex
- Regulation (EU) 2016/679 (GDPR), Articles 5 and 9 — EUR-Lex
업데이트 기록
2026-10-03: 최초 버전. LMU의 9월 19일 첫 공지와 9월 28일 업데이트 및 FAQ를 바탕으로 작성되었습니다. LMU의 조사는 진행 중이며, 영향을 받은 사람들에게 통지하거나 원인을 공개하면 업데이트하겠습니다.
다음으로 읽을거리
- 미국의 교육 분야 사례: 플로리다 교육부(약 490만 건, 사회보장번호) / Frontline Education(학교 소프트웨어, 사회보장번호 및 Medicaid ID)
- 후속 사기로부터 자신을 보호하기: 피싱이란? / 가짜 바이러스 경고(기술 지원 사기)
- IBAN이 유출된 또 다른 사례: Odido(네덜란드, IBAN 및 신분증 번호)
- 교육 분야 사례: Canvas (Instructure) / Mathspace(호주 및 뉴질랜드)
- 2026년 기타 사례: 2026년의 데이터 유출 및 사이버 공격
- 운영자용: 조직을 위한 보안 기준선