5월 7일(목) 오후 4시경, 학습관리시스템 캔버스(Canvas)가 사이버 공격을 받아 인디애나대학교(IU)·아이비테크(Ivy Tech)·블루밍턴 학구(MCCSC) 등 인디애나 내 주요 교육기관이 봄학기 기말고사 주간에 시스템 접속 불가 사태를 겪었다.

캔버스(Canvas)란 어떤 시스템인가

캔버스는 Instructure가 운영하는 학습관리시스템(LMS)으로, 인디애나 데일리 스튜던트(IDS) 보도에 따르면 북미 대학생의 약 50%가 사용하는 미국 1위 LMS다. 전 세계 8,000개 이상의 교육기관이 이 시스템을 통해 강의 자료 배포, 과제 제출, 성적 입력, 시험 관리를 처리한다.

기말고사 기간에는 성적 처리와 과제 마감이 집중되는 만큼, 캔버스 중단은 단순한 불편을 넘어 학기 종료 전체 일정에 직접 영향을 미치는 핵심 인프라 장애다.

공격 발생 — 5월 7일 오후 4시

해커그룹 ShinyHunters는 5월 7일 스스로 “Instructure를 또 침해했다”고 주장하며 공격 사실을 밝혔다. 첫 캔버스 침해는 5월 1일에 이미 발생했으며, 이번은 두 번째 공격이다. ShinyHunters는 전 세계 9,000여 개 학교가 영향을 받았다고 주장했다.

인디애나 퍼블릭 미디어(IPM) 5월 7일 보도에 따르면 공격 직후 교수들은 성적 입력 자체가 불가능한 상태에 빠졌다. Instructure 측이 첫 번째 침해 이후 패치를 적용했으나, ShinyHunters는 해당 보안 조치를 무시하고 재침해에 성공했다고 주장했다.

IU 봄학기 기말고사 마지막 날 직격

인디애나대학교 블루밍턴 캠퍼스는 5월 7일 오후 4시 캔버스 접속이 차단됐다. 5월 8일 오전까지도 시스템은 다운 상태였으며 페이지에는 “유지보수 중(undergoing maintenance)”이라는 안내만 표시됐다. 이날은 봄학기 기말고사 마지막 날로, 블루밍턴 캠퍼스에서만 11,500명 이상의 학생이 학위 수여를 앞두고 있었다.

IU 블루밍턴 예술과학대학(College of Arts and Sciences) 학장 Rick Van Kooten은 사용자에게 “현 시점에는 자격증명(credentials)으로 로그인하지 말라”고 경고했다. IU IT 서비스 부서는 시험·과제 관련 변경사항은 강사에게 직접 문의하도록 안내했다.

IU는 별도 사이버보안 자문 회사를 통해 ShinyHunters와 교섭을 권고받았으나, 공식 입장은 신중했다. “일부 기관이 캔버스 일부 기능을 복구하기 시작했지만, IU는 아직 캔버스 환경이 안전하다는 독립 제3자 확인을 받지 못했다”고 밝혔다.

IU 사이버보안 클리닉 사무총장 Isak Asare는 피해 범위를 이렇게 설명했다. “블루북(시험 책자)을 사용하는 학생도 캔버스로 강의 슬라이드·학습 자료·과거 과제를 확인한다.” Asare는 이번 사태를 더 근본적인 문제로 진단했다. “우리는 부실한 받침대 위에 매우 높은 탑을 쌓고 있다. 디지털 인프라가 대체로 그런 모습이 됐다”고 전했다.

Ivy Tech·MCCSC 등 다른 인디애나 기관 피해

IPM 5월 8일 보도에 따르면 인디애나주 최대 커뮤니티 컬리지 시스템인 아이비테크(Ivy Tech)는 5월 8일 오전 캔버스 접속을 복구했다. 그러나 복구 전까지 약 1,000명 학생의 시험이 취소됐다. Ivy Tech CIO Sejal Vaishnav은 위험 평가 및 안전장치 확인을 위해 일시적으로 접속을 제한했다고 밝혔다.

블루밍턴 학구(Monroe County Community School Corporation, MCCSC)는 캔버스와 함께 학적·성적 관리 시스템인 Skyward까지 두 시스템 모두 접속을 차단했다. 학기 종료까지 약 2주를 남긴 시점이었다. MCCSC는 자체 계정 침해 증거는 없으나 예방적 차원에서 차단했다고 밝혔으며, 교사들에게는 채점 유연성을 허용하는 지침을 내렸다.

이 외에 Purdue 대학교, Butler 대학교, Center Grove 학구, Hamilton Southeastern(HSE) 학구, Carmel 학구도 영향을 받은 것으로 보도됐다. 대부분의 기관은 5월 8일 중 접속을 복구한 것으로 알려졌다.

ShinyHunters 데이터 유출 위협 — 5월 12일 시한

ShinyHunters는 5월 12일(화)까지 협상에 응하지 않으면 탈취한 사용자 정보를 공개하겠다고 위협했다. 공격자가 보호 대상으로 거론한 데이터에는 학생 기록, 교수 통신 등 학교가 보유한 사용자 정보가 포함된다.

IU의 경우 별도 사이버보안 자문 회사를 통해 ShinyHunters와 교섭에 나설 것을 권고받은 상태다. 다만 IU는 공개적으로 교섭 여부를 확인하지 않았다.

전문가 진단 — “부실한 받침대 위 높은 탑”

IU 사이버보안 클리닉의 Isak Asare 사무총장은 이번 사태가 교육 기관의 디지털 인프라 취약성을 드러낸 사례라고 평가했다. 단일 LMS에 강의·시험·성적 처리가 집중되는 구조는 해킹 한 건으로 전체 학사 일정이 흔들릴 수 있는 위험을 내포하고 있다는 지적이다.

IU 블루밍턴 캠퍼스의 경우 기말고사 마지막 날과 공격 시점이 정확히 겹쳐 피해가 더욱 부각됐다. 11,500명 이상의 학위 수여 대상자가 있는 학기 마지막 주에 주요 학사 시스템이 이틀 가까이 중단된 것은 이례적 사태로 평가된다.

앞으로 일정

• 5월 12일(화) — ShinyHunters가 제시한 협상 시한. 이날까지 교섭이 이뤄지지 않으면 데이터 공개가 이뤄질 수 있다.
• IU — 독립 제3자 보안 확인 절차 진행 중. 확인 완료 전까지 캔버스 전면 복구는 보류 상태다.
• MCCSC — 학기 종료까지 약 2주 남은 시점에서 채점 유연성 지침을 유지하며 시스템 복구 시점을 검토 중이다.
• Instructure(캔버스 운영사) — 두 번째 침해까지 허용한 보안 체계에 대한 책임 및 후속 조치가 교육기관들의 요구를 받고 있다.

이 기사는 인디애나 데일리 스튜던트(IDS), 인디애나 퍼블릭 미디어(IPM) 5월 7일, IPM 5월 8일 보도를 기반으로 정리했다.

사진: 본지 자체 제작 (AI 생성, ChatGPT)