온라인 수학 학습 플랫폼 Mathspace가 내부 보고 시스템인 Metabase의 취약점을 통해 해킹을 당해, 호주·뉴질랜드의 학생·학부모·교직원 107만 명의 개인정보가 유출됐습니다. 공격자는 Metabase의 SQL 인젝션(데이터베이스를 조작하는 악성 명령을 주입하는 공격) 제로데이 취약점(패치가 없는 상태에서 악용되는 취약점)을 이용해 관리자 권한을 탈취했습니다. 비밀번호나 학업 기록은 유출되지 않았지만, 이름·이메일 등 식별 정보가 노출되어 추가 피싱 공격에 악용될 수 있습니다. 동일한 취약점을 이용한 공격이 Framework, Tally, ShipMonk 등 여러 기업에도 연쇄적으로 발생했으며, 해킹 그룹 ShinyHunters가 배후로 지목되고 있습니다. Metabase를 자체 호스팅(직접 서버에 설치·운영)하는 기업은 즉시 패치 적용 여부를 확인해야 합니다.
해킹 그룹 ShinyHunters로 추정되는 공격자가 Metabase SQL 인젝션 제로데이 취약점을 악용해 Mathspace의 내부 보고 시스템에 침입, 2026년 8월 27일 호주 데이터베이스에서 107만 명의 개인정보를 탈취했다.
호주·뉴질랜드의 학생, 학부모·보호자, 교직원 1,079,819명의 이름·이메일 등 식별 정보가 유출됐다. 비밀번호, 학업 기록, 인증 토큰은 포함되지 않았으나 이메일 도메인을 통한 소속 학교 특정이 가능한 경우가 있다.
Mathspace가 자체 호스팅한 Metabase 인스턴스에 존재하는 치명적 SQL 인젝션 제로데이 취약점이 악용되어, 공격자가 정상 로그인 없이 관리자 권한을 획득했다.
Mathspace는 9월 3일 침해를 공식 확인하고 주말에 블로그를 통해 공개 공지했다. 피해자들에게 계정 관련 이상 활동(계정 정보 변경, 비밀번호 재설정 요청 등)을 주의하도록 경고했다.
Metabase를 자체 호스팅하는 기업은 동일 취약점 노출 여부를 즉시 점검하고 최신 패치를 적용해야 한다. Framework, Tally, ShipMonk 등 다수 기업이 동일 캠페인의 피해를 입었으므로, Metabase 사용 여부와 버전을 전수 조사하는 것이 시급하다.
본문
온라인 수학 학습 플랫폼 Mathspace는 주말에 공개한 공지를 통해, 공격자들이 내부 보고 시스템인 Metabase를 침해한 뒤 100만 명이 넘는 학생·교직원·학부모의 데이터를 탈취했다고 밝혔다.
2010년 시드니에서 창립된 Mathspace는 현재 호주, 뉴질랜드, 미국, 영국 등 수천 개 학교에서 사용 중이다(2023년 회사 발표 기준 호주 3,432개교, 해외 3,557개교).
Mathspace의 CTO Alvin Savoy는 토요일 블로그 게시물에서, 신원 미상의 공격자들이 회사 시스템에 접근해 학교 교직원과 학생, 그리고 그들의 부모·보호자 개인정보를 탈취했다고 밝혔다.
"2026년 9월 3일, 저희는 비인가 당사자들이 Mathspace의 내부 보고 시스템에 접근하여 학생, 학부모 또는 보호자, 학교 교직원에 관한 정보를 다운로드했음을 확인했습니다. Mathspace 직원 기록도 피해를 입었습니다."라고 Savoy는 말했다.
"공격자들은 저희가 내부 보고 용도로 사용하는 소프트웨어 Metabase의 자체 호스팅 설치본에 존재하는 보안 취약점을 악용했습니다. 해당 취약점을 통해 공격자들은 정상적인 로그인 없이 해당 시스템의 관리자 권한을 획득할 수 있었습니다."
데이터 탈취는 9월 3일 확인됐지만, 공격자들은 8월 10일에 이미 침해된 시스템에 접근해 8월 27일 Mathspace의 호주 보고 데이터베이스에서 데이터를 다운로드했다.
Savoy는 이번 사고에서 호주와 뉴질랜드의 학생 및 교직원 데이터만 탈취됐다고 밝혔다. 공격자들은 자격증명(credentials)을 탈취하지는 않았으나, 경우에 따라 일부 피해 계정을 소속 학교와 연결하는 것이 가능했을 수 있다.
"총 1,079,819명이 영향을 받았으며, 학생·교직원·학부모 또는 보호자를 합산한 수치입니다. 호주와 뉴질랜드 사람들만 영향을 받았습니다."라고 그는 덧붙였다.
"학업 기록, 학습 활동, 성적, 평가 기록, 비밀번호(해시), 인증 토큰, SSO(싱글 사인온) 자격증명, API 자격증명은 노출되지 않았습니다. 노출된 데이터에는 사용자 계정을 소속 학교와 연결하는 기록이 포함되어 있지 않습니다. 다만, 식별 가능한 이메일 도메인을 사용하는 학교의 경우 이러한 연결이 가능할 수 있음을 인지하고 있습니다."
Savoy는 또한 피해를 입은 학생 및 교직원에게 공격자들이 탈취한 데이터를 이용해 공격을 시도할 수 있다고 경고하며, 계정 정보 변경이나 비밀번호 재설정 메시지 수신과 같은 의심스러운 계정 관련 활동에 주의할 것을 당부했다.
ShinyHunters가 자행한 Metabase 침해
이번 침해는 지난 한 달 동안 전 세계 여러 기업의 Metabase 인스턴스에서 발생한 일련의 사건에 추가된 사례다.
BleepingComputer가 이전에 보도한 바와 같이, 위협 행위자들은 Metabase의 치명적인 SQL 인젝션 제로데이 취약점을 악용해 고객 인스턴스를 침해하고 관리자 권한을 획득한 뒤 데이터를 탈취했다.
Trezor는 8월 13일, 공격자들이 자사의 배송·물류 공급업체 ShipMonk를 해킹해 약 14,000명의 고객 데이터를 탈취했다고 공개했다. 그리고 지난 금요일에는 피해 인원이 81,000명으로 증가했다고 경고했다.
Trezor는 아직 특정 위협 행위자나 해킹 그룹을 공격 배후로 지목하지 않았지만, BleepingComputer는 ShipMonk가 ShinyHunters 갈취 조직으로부터 협박 이메일을 받았다는 사실을 파악했다. ShinyHunters는 8월 11일 자신들의 다크웹 유출 사이트에 Metabase를 추가하기도 했다.
이번 캠페인의 피해 기업 목록에는 노트북 제조사 Framework와 온라인 양식 빌더 플랫폼 Tally도 포함되며, 이들 역시 자사의 Metabase 인스턴스가 침해된 후 데이터 침해 사실을 공개했다.
앞서 ShinyHunters는 Snowflake 고객사 10여 곳 이상의 침해, 수백 개의 Salesforce 고객사를 대상으로 한 Salesloft Drift 및 Salesforce Aura 캠페인, 그리고 Oracle PeopleSoft 제로데이 취약점을 악용한 데이터 탈취 공격으로 100개 이상의 기업 피해와 연루된 것으로 알려져 있다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
