기말고사 직전 Canvas에 들어가지 못한다면 문제는 단순한 "사이트 장애"가 아닙니다. 시험 자료, 과제 제출, 성적 확인, 교수와 학생 간 메시지가 한곳에 묶여 있을 때, LMS 장애는 곧 학사 운영의 단일 장애점이 됩니다.
이번 Instructure Canvas 사건은 그 불안을 현실로 끌어냈습니다. 해킹 그룹 ShinyHunters는 Canvas 로그인 페이지를 변조해 협박 메시지를 띄웠고, Instructure의 이전 침해에서 훔친 데이터를 공개하겠다고 압박했습니다. TechCrunch는 일부 학교의 Canvas 로그인 화면에 공격자 메시지가 삽입된 것을 확인했으며, 공격자는 5월 12일까지 "합의"하지 않으면 데이터를 공개하겠다고 주장했습니다.1
Canvas 계정은 로그인 정보보다 많은 것을 담고 있다
현재까지 Instructure가 밝힌 침해 데이터 범위는 이름, 이메일 주소, 학생 ID, 사용자 간 메시지 등입니다. 회사는 비밀번호, 생년월일, 정부 식별번호, 금융정보가 포함됐다는 증거는 없다고 밝혔습니다.2
이 차이는 중요합니다. "비밀번호가 털리지 않았다"는 말은 안심 요소지만, "위험이 없다"는 뜻은 아닙니다. 이름, 학교 이메일, 수강 맥락, 교수·학생 간 메시지만으로도 꽤 정교한 피싱이 가능합니다. 예를 들어 "OO 과목 기말 과제 재제출 링크"처럼 보이는 메일은 일반 스팸보다 훨씬 설득력이 있습니다.
또 하나 봐야 할 것은 Canvas가 단독 시스템이 아니라는 점입니다. 많은 학교는 Canvas를 SSO, Google Workspace, Microsoft 365, 출석·시험·표절검사 도구와 연결합니다. 실제 위험은 Canvas 안의 데이터뿐 아니라, 어떤 외부 앱과 토큰이 연결되어 있었는지에 따라 달라집니다.
확인된 사실과 공격자 주장은 분리해서 봐야 한다
ShinyHunters는 거의 9,000개 학교, 수억 명 규모의 데이터를 언급했지만, 이런 숫자는 독립적으로 모두 검증된 상태가 아닙니다. BleepingComputer는 약 330개 교육기관의 로그인 포털 변조를 파악했다고 보도했고, 공격자가 Canvas 데이터 export 기능과 API를 통해 사용자 기록, 메시지, 등록 데이터를 모았다고 주장했다고 전했습니다.3
여기서 실무적으로 중요한 판단 기준은 "최대 피해 규모"가 아니라 "내 학교가 어떤 통보를 받았고, 어떤 데이터가 확인됐는가"입니다. 공격자 수치는 협박을 키우기 위해 부풀려질 수 있습니다. 반대로 학교나 벤더의 초기 발표도 조사 중에는 축소되거나 불완전할 수 있습니다.
학생, 학부모, 교직원이 학교에 물어야 할 질문은 단순합니다.
우리 학교 사용자가 실제 영향 대상에 포함됐는가?
노출 가능 데이터에 메시지, 성적, 과제 제출물, 첨부파일이 포함되는가?
비밀번호뿐 아니라 SSO 토큰, API 키, 연결 앱 권한은 점검했는가?
Canvas와 연결된 서드파티 도구 목록은 무엇인가?
피싱 신고, 계정 복구, 신원보호 지원 절차가 있는가?
학교가 "벤더 조사 중"이라고만 답한다면 충분하지 않습니다. 최소한 사용자에게 무엇을 조심해야 하는지, 어떤 공식 채널로 추가 공지를 확인해야 하는지는 알려야 합니다.
이번 주에 할 수 있는 비과잉 대응
개인이 할 수 있는 일은 제한적입니다. Canvas 자체 취약점이나 벤더 인프라를 사용자가 고칠 수는 없습니다. 그러나 계정 탈취와 2차 피해 가능성은 줄일 수 있습니다.
우선 Canvas 비밀번호를 다른 서비스와 재사용했다면 즉시 바꾸는 것이 좋습니다. 학교가 SSO를 쓴다면 학교 계정의 MFA를 켜고, 낯선 로그인 알림이나 기기 등록을 확인해야 합니다. Canvas나 학교 계정에 연결된 외부 앱 권한을 볼 수 있다면 오래된 앱, 모르는 앱은 제거하십시오.
또 당분간은 "Canvas 복구", "기말 과제 재제출", "성적 확인"을 내세운 링크를 조심해야 합니다. 공지는 이메일 링크가 아니라 학교 공식 홈페이지, 포털, 학과 공지, 교수의 확인된 이메일 등 별도 경로로 검증하는 습관이 필요합니다.
마지막으로 중요한 강의자료, 과제 원본, 제출 확인 화면은 로컬이나 학교가 허용한 클라우드에 사본을 보관하세요. 보안 사고가 아니더라도 LMS 장애는 언제든 학습 연속성을 끊을 수 있습니다.
학교에는 보안 성명보다 LMS 장애 계획이 필요하다
Canvas는 전 세계 3,000만 명 이상이 쓰고, 8,000개 이상 기관이 고객인 대형 교육 플랫폼입니다.4 그래서 이번 사건은 특정 학교 IT팀의 실패만으로 보기 어렵습니다. 교육기관 전체가 SaaS 기반 학사 운영에 얼마나 의존하는지 드러낸 사건입니다.
반론도 있습니다. 중앙화된 LMS는 편리하고, 보안 역량이 낮은 개별 학교가 직접 시스템을 운영하는 것보다 안전할 수 있습니다. 맞는 말입니다. 문제는 "클라우드냐 자체 운영이냐"가 아니라, 한 플랫폼이 멈췄을 때 수업·시험·채점·공지의 대체 경로가 준비돼 있느냐입니다.
교수자는 시험지 배포, 과제 제출, 긴급 공지의 백업 절차를 갖춰야 합니다. 관리자는 학기 말과 시험 기간에 맞춘 장애 대응 시나리오를 만들어야 합니다. 학생과 학부모는 학교가 어떤 데이터를 LMS에 넣고, 사고 때 어떤 순서로 통지하는지 요구할 권리가 있습니다.
이번 Canvas 해킹은 "내 정보가 털렸나"라는 질문에서 끝나면 안 됩니다. 더 중요한 질문은 이것입니다. 우리 학교는 학습과 개인정보를 어디에 맡기고 있으며, 그 시스템이 흔들릴 때 학생의 시간과 권리를 어떻게 보호할 준비가 되어 있는가.
참고
1Hackers deface school login pages after claiming another Instructure hack
2Canvas Breach Disrupts Schools & Colleges Nationwide
3Canvas login portals hacked in mass ShinyHunters extortion campaign
4What we know about the Canvas hack impacting thousands of schools
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.