아이 이름과 다니는 학교, 학년, 생년월일이 학부모 전화번호와 한 묶음으로 빠져나갔습니다.

2026년 9월 17일, 전국 80여 개 지점을 운영하는 초등수학 전문학원 '생각하는황소'의 시험 예약 사이트에 외부 침입이 발생했습니다. 학원은 다음 날인 9월 18일 홈페이지 공지를 통해 "정체불명의 해커가 침입한 사실을 확인했다"며 "이 사이트를 통해 시험을 예약한 이력이 있는 모든 학부모님과 학생의 개인정보가 유출됐을 가능성이 높은 상황"이라고 밝혔습니다. 학원은 사이트를 임시 폐쇄하고 개인정보보호위원회에 유출을 신고했으며, 위원회는 사실관계를 파악하고 있습니다.

1. 무엇이 유출되었나 — 아이를 특정할 수 있는 정보 전부입니다

• 학생: 이름, 다니는 학교, 학년, 생년월일

• 학부모: 전화번호

항목 수는 적지만 조합이 문제입니다. 이름과 학교와 학년이 함께 있으면 아이가 몇 시에 어디에 있는지 짐작할 수 있고, 여기에 부모 전화번호가 붙으면 "당신 아이 ○○○, ○○초등학교 ○학년 맞지요"라고 말하며 거는 전화가 가능해집니다. 유출 건수는 현재까지 공개되지 않았습니다.

2. 이미 2차 피해가 시작됐습니다

유출 통보 직후 학부모들에게 자녀를 빌미로 한 피싱·스미싱 시도가 보고되고 있습니다. 교통사고를 냈으니 합의금을 보내라거나, 아이가 입원했다거나, 납치했다는 내용입니다. 유출된 정보에 아이의 실명과 학교가 들어 있어 이런 연락은 실제처럼 들립니다.

3. 학원의 과실

• 시험 예약 사이트 하나가 뚫려 예약자 전원의 정보가 나갔습니다: 개인정보 보호법 제29조는 개인정보처리자에게 유출되지 않도록 안전성 확보에 필요한 기술적·관리적·물리적 조치를 할 의무를 지웁니다.

• 시험이 끝난 뒤에도 정보를 계속 갖고 있었습니다: 같은 법 제21조 제1항은 처리 목적을 달성해 개인정보가 불필요하게 되었을 때에는 지체 없이 파기하도록 정하고 있습니다. 레벨테스트 예약이라는 목적이 끝난 정보가 왜 남아 있다가 유출됐는지가 이 사건의 핵심 쟁점입니다.

• 아동의 개인정보입니다: 같은 법 제22조의2는 만 14세 미만 아동의 개인정보를 별도로 규율합니다. 초등학생을 대상으로 영업하며 아동 정보를 수집하는 사업자에게 요구되는 보호 수준은 그만큼 높습니다.

4. 우리는 정당한 손해배상을 요구합니다

개인정보 보호법은 구체적인 금전 피해를 증명하지 못해도 유출 사실 자체를 근거로 배상을 청구할 수 있도록 하고 있으며(제39조의2), 사업자가 고의 또는 과실이 없음을 증명하지 못하면 책임을 면할 수 없도록 하고 있습니다(제39조 제1항).

로피드 법률사무소는 유출된 정보가 아동을 특정할 수 있는 정보라는 점, 그리고 이미 자녀를 빌미로 한 2차 범죄 시도가 발생하고 있다는 점을 근거로 학생과 학부모가 입은 정신적 고통에 대한 위자료를 청구합니다. 미성년 자녀는 법정대리인인 부모를 통해 원고가 되며, 신청 1건으로 학부모 본인과 자녀 전원의 청구를 함께 제기합니다.

미성년자는 법정대리인에 의해서만 소송행위를 할 수 있고(「민사소송법」 제55조 제1항), 부모가 혼인 중이면 친권은 부모가 공동으로 행사합니다(「민법」 제909조 제2항). 그래서 신청서에 친권자 확인 단계를 두었습니다. 신청과 본인인증·서명·결제는 학부모 한 분이 하시되, 부모가 함께 친권을 행사하시는 경우에는 다른 한 분의 동의를 확인합니다. 배우자분이 따로 신청하실 필요는 없습니다. 단독으로 친권을 행사하시는 경우에는 그 사유를 선택하시면 됩니다. 법정대리권이 있는 사실은 서면으로 증명해 소송기록에 붙여야 하므로(「민사소송법」 제58조), 가족관계증명서(상세) 1통을 함께 제출해 주셔야 합니다. 인터넷에서 무료로 발급받으실 수 있습니다.