대상: 호주와 뉴질랜드의 학생, 학부모, 교사 중 수학 학습 플랫폼 Mathspace를 사용하고 있거나 사용했던 사람들(해외에서 이주해 온 가정 포함), 그리고 학교 IT 담당자와 교육 서비스를 운영하는 모든 사람.
이 글은 Mathspace의 공식 블로그 게시물, 호주 정보위원회(OAIC) 및 뉴질랜드 개인정보보호위원회의 안내를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
학부모와 학생이 해야 할 일
Mathspace나 학교를 사칭하는 메시지의 링크로는 로그인하지 마세요
Mathspace는 이름, 이메일 주소, 계정 정보 때문에 사칭 시도가 더 설득력을 얻게 된다고 경고하며, 메시지에 본인 이름이 있거나 학교나 이번 사고를 정확히 언급하더라도 계속 주의하라고 요청합니다. 확인하려면 Mathspace 웹사이트나 앱을 직접 여세요. 또는 공식 웹사이트에서 별도로 찾은 연락처를 이용하세요(기초 정보: 피싱이란 무엇인가?).
자녀와 약속하세요: 인증 코드와 비밀번호는 절대 공유하지 않습니다
Mathspace는 메시지에 응답하면서 비밀번호나 인증 코드를 알려주지 말라고 하며, 무엇을 해야 할지 확신이 없는 학생은 부모, 보호자 또는 교사에게 물어보라고 안내합니다.
아이들은 "선생님이 보낸 것" 또는 "숙제에 관한 것"이라고 적힌 메시지에 쉽게 응하는 경향이 있습니다. 집에서 영어 안내문을 이해하기 어렵다면, 자녀가 이 한 가지 규칙을 이해하도록 하는 것만으로도 위험의 대부분을 막을 수 있습니다.
다른 서비스에서 같은 비밀번호를 썼다면 그곳에서 바꾸세요
Mathspace는 이번 사고로 비밀번호 재설정을 요구하지는 않지만, 다른 서비스에서 Mathspace 비밀번호를 재사용했다면 그 비밀번호를 고유한 것으로 바꾸라고 권장합니다.
OAIC도 연락처 정보가 노출된 경우 다른 곳에서 쓰지 않은 강력한 이메일 비밀번호를 사용하고, 가능하면 다중 인증을 켜라고 권장합니다(비밀번호 관리자 선택하기).
요청하지 않은 비밀번호 재설정 이메일을 확인하세요
Mathspace는 사람들에게 예상치 못한 비밀번호 재설정 이메일이나 계정 정보 변경에 주의를 기울이라고 요청하며, 의심스러운 활동을 발견하면 비밀번호를 바꾸고 회사에 문의하라고 안내합니다.
확인하려면 공식 주소로 새 이메일을 쓰세요
Mathspace는 메시지에 회신하지 말고 data-breach-response@mathspace.co로 새 이메일을 보내거나, 직접 웹사이트로 이동해 지원 채널을 이용하라고 말합니다. 이전 사용자나 비활성 사용자도 영향을 받을 수 있으며, 이들도 문의할 수 있다고 합니다.
도움을 받을 곳을 알아두세요
OAIC는 사기 식별에 도움을 받으려면 호주 정부의 사기 정보 사이트인 Scamwatch를 참고하라고 안내합니다.
뉴질랜드 개인정보보호위원회는 사이버 문제에 대한 조언을 받으려면 NCSC에 연락할 수 있다고 말하며, 신원 도용이 걱정된다면 지원 서비스인 IDCARE를 안내합니다. 아동의 온라인 안전과 관련해 Mathspace는 가정에 호주의 eSafety Commissioner를 안내합니다. 위험을 느낀다면 경찰(뉴질랜드에서는 111)에 연락하세요.
학교 IT 담당자가 해야 할 일
학교의 수치와 기록을 요청하세요
Mathspace에 따르면 학교 관리자는 data-breach-response@mathspace.co로 연락해 학교와 관련된 영향받은 학생, 직원, 학부모 또는 보호자의 수나 영향받은 기록의 세부 내용을 요청할 수 있으며, 개별 기록이 필요한 경우 회사가 안전한 공유 방식을 마련한다고 합니다.
학교는 사고 보고서 또는 포렌식 보고서도 요청할 수 있습니다.
이메일 도메인으로 학교가 드러날 수 있다고 생각하세요
회사는 노출된 데이터에 사용자 계정과 학교를 연결하는 기록은 포함되지 않았다고 말하지만, 식별 가능한 이메일 도메인을 가진 학교는 이것이 가능할 수 있다고 밝힙니다. 학교 이름을 사용하는 가짜 메시지가 나올 것으로 예상하고, 공식 학교 연락이 어떤 채널로 오는지 학부모에게 분명히 알려주세요.
학교의 공식 채널을 통해 학부모에게 안내를 보내세요
Mathspace는 학교가 학부모 소통을 조율할 수 있도록 학교에 먼저 통보했다고 말합니다. 학부모에게 사실(포함된 내용과 포함되지 않은 내용)과 위의 단계를 학교 웹사이트나 평소 사용하는 학부모 앱을 통해 전달하고, 알림 이메일의 링크가 아니라 이 채널을 통해 확인하도록 안내하세요.
무슨 일이 있었나 (Mathspace 공개 내용 기준)
아래 내용은 모두 Mathspace의 공식 블로그 게시물(2026년 9월 5일, 9월 8일 업데이트)에서 밝힌 내용입니다. 날짜는 회사가 제시한 그대로입니다.
2026년 8월 6일
Mathspace가 사용한 보고 소프트웨어의 개발사가 심각한 보안 권고와 패치 버전을 발표합니다. Mathspace는 자사의 취약점 통보 절차가 이 권고를 식별하고 상향 보고하지 못했다고 말합니다.8월 10일
회사 조사에서 확인된 최초의 승인되지 않은 접근 시점입니다(호주 동부 표준시).8월 27일
호주 보고 데이터베이스에서 정보가 내려받아집니다(나중에 확인됨).8월 29일
개발사의 후속 공지가 회사에 전달된 후 Mathspace가 소프트웨어를 업데이트합니다. 이 시점에 권장된 추가 침해 점검은 완료하지 않았다고 밝힙니다.9월 3일
과거 접근 로그를 검토한 결과 업데이트 이전의 승인되지 않은 접근이 확인됩니다. 보고 시스템은 오프라인 전환되고, API 키는 폐기되며, 데이터베이스 접근 계정은 비활성화되고 데이터베이스 비밀번호는 변경됩니다.9월 4일
학교 담당자에게 통보가 시작됩니다. OAIC, ASD의 ACSC, 뉴질랜드 개인정보보호위원회, NCSC에 신고가 이루어지고, 호주 주 및 준주 교육 부서에 통보됩니다.9월 5일
회사 블로그에 사고가 공개됩니다.9월 6일
개인에 대한 통보가 시작됩니다(학교의 요청에 따라 학교에 처음 안내한 시점보다 앞당겨 이루어짐).
- 유출된 데이터
- 사용자 ID, 사용자 이름, 이름과 성, 이메일 주소, 국가, 시간대, 사용자 유형, 이메일 인증 상태, 마지막 활동일, 마지막 로그인일, 가입일. 모든 사람에게 모든 항목이 있었던 것은 아닙니다
- 관련 대상
- 학생, 학부모 또는 보호자, 교사, Mathspace 직원. 보고 데이터베이스에 정보가 보관되어 있었다면 이전 사용자나 비활성 사용자도 영향을 받을 수 있습니다
- 포함되지 않은 내용
- 비밀번호(해시), 인증 토큰, SSO 자격 증명, API 자격 증명, 학업 기록, 학습 활동, 성적, 평가 기록, 계정과 학교를 연결하는 기록
- 원인(회사 발표 기준)
- 정당한 로그인 없이 관리자 권한을 얻을 수 있었던 자체 호스팅 내부 보고 소프트웨어의 취약점
- 악용 여부
- 지금까지 공개, 배포, 판매 또는 악용의 증거는 없음. 공격자의 신원은 알려지지 않음
- 봉쇄 조치
- 보고 시스템 오프라인 전환, 모든 API 키 폐기, 데이터 플랫폼 접근 계정 비활성화, 데이터베이스 비밀번호 변경
- 신고 및 통보
- OAIC, ASD의 ACSC, 뉴질랜드 개인정보보호위원회 및 NCSC, 호주 주 및 준주 교육 부서
읽는 참고: 소프트웨어 제품명은 언급하지 않습니다
Mathspace는 사용한 보고 소프트웨어의 이름을 밝혔습니다. 우리는 개발사 이름을 언급하지 않으며, 이 사고의 주제가 아니므로 "보고 소프트웨어의 개발사"라고만 부릅니다. 어떤 제품이든 방어 교훈은 같습니다. 국가별 또는 사용자 유형별 전체 수치 내역은 공개되지 않았습니다.
이 사이트의 견해: 내부 도구가 가장 늦게 패치됩니다
이 사건에서 눈에 띄는 점은 유출이 고객이 사용하는 앱이 아니라 숫자를 보기 위한 내부 도구에서 발생했다는 것입니다. 회사가 밝힌 날짜를 나란히 놓으면, 침입과 다운로드 모두 수정 사항이 발표된 시점과 적용된 시점 사이에 있었습니다.
8월 6일
개발사 수정 발표; 내부 경보가 놓침
8월 10일
최초 승인되지 않은 접근
8월 27일
데이터 다운로드
8월 29일
업데이트; 침해 점검 없음
패치되지 않은 상태로 운영: 8월 6일 – 8월 29일
패치됨, 점검 없음: 8월 29일 – 9월 3일 (로그 검토로 발견)
교훈: (1) 내부 도구의 권고를 담당할 사람을 지정하세요 (2) 패치 후 권고 발표일까지 거슬러 올라가 침해 여부를 확인하세요
나중으로 미뤄지는 내부 도구
- 보고 및 분석 대시보드, 관리자 패널, 내부 위키
- 편리해서 설치했지만 명확한 담당자가 없음
- 아무도 개발사의 보안 권고를 구독하지 않음
- 모든 데이터를 읽을 수 있는 데이터베이스 계정을 보유함
운영 시스템처럼 다루는 같은 도구
- 담당자와 알려진 노출 범위(내부 전용인지 외부에서도 접근 가능한지)를 포함해 자산 목록에 등록됨
- 개발사의 권고가 담당자에게 직접 전달됨
- 심각한 권고는 운영 시스템과 같은 기한 내에 패치되고, 이후 침해 여부를 점검함
- 데이터베이스 계정은 읽기 전용이며 필요한 열로만 제한됨
보고 도구는 숫자를 보는 직원이 사용하기 때문에 운영 시스템과는 다른 것으로 생각하기 쉽습니다. 그러나 실제로는 데이터 플랫폼에 바로 접근하는 데이터베이스 계정과 API 키를 자주 가지고 있습니다. 이번 사고에서 Mathspace는 피해를 막기 위해 보고 도구의 모든 API 키를 폐기하고 데이터 플랫폼 접근 계정을 비활성화했습니다.
즉, 운영 데이터에 접근할 수 있는 도구는 화면이 얼마나 내부용처럼 보이든 운영 시스템과 같은 보호가 필요합니다. 운영자가 오늘 할 수 있는 네 가지는 다음과 같습니다.
직접 운영하는 소프트웨어를 목록으로 만드세요
보고, 분석, 모니터링, 내부 위키 등 직접 호스팅하는 모든 것을 담당자와 접근 가능 범위(내부 전용 또는 외부에서도 접근 가능)와 함께 나열하세요. 목록 작성 방법은 보안 자산 목록을 참고하세요.
각 개발사의 권고를 지정된 담당자에게 전달하세요
Mathspace는 취약점 통보 절차가 권고를 놓친 것을 문제의 일부로 꼽습니다. 자산 목록의 각 항목에 대해 개발사의 보안 권고나 릴리스 공지가 담당자에게 도달하도록 하세요. 무엇을 먼저 패치할지 정하려면 CVSS, EPSS, KEV를 참고하세요.
패치 후 권고 발표일까지 거슬러 올라가 침해 여부를 확인하세요
Mathspace는 업데이트할 때 권장된 추가 침해 점검을 완료하지 않았다고 말합니다. 심각한 취약점의 경우 패치 적용은 끝이 아닙니다.
개발사가 권장하는 점검을 모두 실행하고, 권고 발표일 이후의 접근 로그에서 익숙하지 않은 관리자 계정이나 세션, 대량 내보내기 기록을 검토하세요(전체 과정: 의존성 CVE를 실제로 해결하기).
보고 도구가 가지는 데이터와 권한을 줄이세요
보고 도구의 데이터베이스 계정을 읽기 전용으로 만들고, 필요한 테이블과 열만 노출하는 뷰로 제한하세요.
Mathspace는 서비스를 더 이상 사용하지 않는 사람의 정보도 보고 데이터베이스에 보관되어 있었고, 그 때문에 이들이 영향을 받았다고 말합니다. 보고서에 더 이상 필요하지 않은 개인정보를 삭제하거나 익명화하는 규칙을 두면 유출될 수 있는 범위가 줄어듭니다.
이 사이트의 견해: 아동 데이터를 보관한다면, 유출 시 어떤 피해가 생길지 묻고 보관 여부를 정하세요
이 항목들은 성적이나 집 주소에 비하면 민감하지 않아 보입니다. 하지만 아이의 이름과 이메일 주소, '학생'이라는 사용자 유형, 마지막 로그인 날짜만 있어도 실제로 서비스를 이용하는 아이들에게 "숙제 기한이 지났습니다" 또는 "계정이 정지됩니다"라는 메시지를 보내기에 충분합니다. 회사가 이메일 도메인으로 학교를 추정할 수 있다고 인정한 것도 같은 논리에서 나온 것입니다.
교육 서비스 운영자는 보고서에 이름과 이메일 주소가 정말 필요한지 자문해야 합니다. 대부분의 보고는 내부 ID만으로 충분합니다.
또한 학습 관리 시스템 Canvas에서 수강 등록 데이터와 메시지가 탈취된 교육 분야 사고도 다룬 바 있습니다(Canvas(Instructure) 침해 사고).
같은 기간에 영국 공항의 예약 데이터도 확보된 사실이 있습니다(Manchester Airports Group(MAG) 데이터 유출).
출처 (공개 기록)
이 글의 사실은 아래 공개 출처에 근거합니다. 언론 보도의 추측, 공개되지 않은 세부 내역, 공격자에 관한 정보는 반복하지 않습니다.
- Mathspace, "Mathspace data breach: what happened and what affected users should know" (2026년 9월 5일, 9월 8일 업데이트) — blog.mathspace.co
- OAIC, "Respond to a data breach notification" — oaic.gov.au
- 뉴질랜드 개인정보보호위원회, "My information was part of a privacy breach. What can I do?" — privacy.org.nz
- eSafety Commissioner(Mathspace가 안내한 아동 온라인 안전 자료) — esafety.gov.au
업데이트 기록
2026-09-30: Mathspace의 공식 블로그 게시물(9월 8일 업데이트)과 OAIC, 뉴질랜드 개인정보보호위원회의 개인 대상 안내를 바탕으로 한 첫 버전입니다. 회사는 사고 후 검토에서 나온 변경 사항과 이행 현황을 블로그에 보고할 예정이라고 밝혔으며, 이를 게시하면 이 페이지를 업데이트하겠습니다.
다음으로 읽을 글
- 교육 플랫폼 사고: Canvas(Instructure) 침해 사고
- 운영자용: 보안 자산 목록 / 무엇을 먼저 패치할지 정하기 / 의존성 CVE를 실제로 해결하기
- 가짜 메시지 식별: 피싱이란 무엇인가? / 비밀번호 관리자 선택하기
- 같은 시기의 침해 사고: Manchester Airports Group(MAG) 데이터 유출
- 2026년 다른 사고: 2026년 데이터 유출 및 사이버 공격