교육 대기업 피어슨 해킹당해, 고객 데이터 노출

피어슨은 고객 정보와 내부 데이터가 노출된 사이버 공격을 확인했습니다. 공격자들은 노출된 개발자 토큰을 통해 그들의 시스템에 접근했습니다.

세계 최대 교육 기업 중 하나인 피어슨이 고객 정보와 내부 데이터가 유출된 사이버 공격을 당했다고 확인했습니다. 이 내용은 처음으로 BleepingComputer에서 보도되었습니다.

영국에 기반을 둔 이 대기업은 70개국 이상에서 교과서, 디지털 도구, 시험 등으로 알려져 있으며, Bleeping Computer에 대한 침해를 인정했습니다.

“우리는 최근에 무단으로 접근한 사람이 우리 시스템의 일부에 접근했다는 사실을 발견했습니다.”라고 피어슨 대변인이 Bleeping Computer에 말했습니다. “활동을 확인하자마자 그것을 중단하고 사건이 어떻게 발생했는지, 어떤 데이터가 영향을 받았는지 포렌식 전문가들과 함께 조사하기 시작했습니다.”

해당 회사는 도난당한 정보 대부분이 “레거시 데이터”라며, 직원 기록은 포함되어 있지 않다고 밝혔습니다. 피어슨은 “우리는 또한 법 집행 기관의 수사를 지원했다”고 덧붙였으며, Bleeping Computer에 따르면 그들의 시스템 보안을 강화하고 모니터링 도구를 개선했습니다.

이 해킹은 2025년 1월에 해커들이 공개 파일에서 GitLab 개인 액세스 토큰(PAT)을 발견한 이후 시작되었다고 보도되었습니다. 이 토큰은 피어슨 개발자들이 사용하였으며, 공격자들이 회사의 내부 소스 코드에 접근할 수 있게 하였습니다. 이 코드에는 클라우드 서비스를 위한 더 많은 비밀번호와 토큰이 포함되어 있었습니다.

이를 활용해, 해커들은 피어슨의 시스템 및 AWS, 구글 클라우드, 스노우플레이크, 세일즈포스와 같은 클라우드 제공업체로부터 테라바이트 단위의 데이터를 도난당했다고 보도되었습니다. 도난당한 정보에는 고객 세부 정보, 재무 데이터, 헬프 데스크 티켓 등이 포함되어 있다는 주장이 있습니다.

Bleeping Computer의 보도에 따르면, 피어슨은 랜섬을 지불했는지, “레거시 데이터”의 정확한 의미가 무엇인지, 몇 명의 사람들이 영향을 받았는지, 또는 고객에게 알릴 계획이 있는지에 대한 질문에 답하려 하지 않았습니다.

피어슨은 이번 사건으로 얼마나 많은 사용자가 피해를 입었는지 확정하지 않았지만, 이는 전 세계 교육 시스템에 있어 중요한 시점에 발생한 문제입니다. UAE, 중국, 그리고 미국과 같은 국가들은 교육 과정에 AI를 빠르게 통합하고 있습니다. 예를 들어, UAE는 2025년부터 모든 공립 학교에서 AI 교육을 시작할 계획입니다.

이러한 세계적인 변화는 사이버 보안에 대한 중요성을 더욱 높이고 있습니다. 교육에 사용되는 AI 시스템들은 종종 개인 및 행동 데이터를 대량으로 처리하게 됩니다.

만약 이 시스템이 침해된다면, 이는 학생들의 정보뿐 아니라 학생들이 어떻게 학습하고, 교사들이 어떻게 평가하고, 학업 성적에 대한 결정이 어떻게 내려지는지에 대한 알고리즘까지 노출시킬 수 있습니다.