호주의 수학 교육 플랫폼 Mathspace에서 패치되지 않은 Metabase(기업용 데이터 분석 도구)의 취약점이 악용돼, 학생·학부모·교직원 107만여 명의 개인정보가 유출됐습니다. 공격자는 정상적인 로그인 없이도 관리자 권한을 획득할 수 있는 SQL 인젝션(데이터베이스 명령을 악의적으로 삽입하는 공격) 결함을 이용해 내부 보고 시스템에 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 사용자 유형 등이 포함되지만, 비밀번호·성적·인증 토큰은 포함되지 않았습니다. Mathspace는 피해 시스템을 오프라인으로 전환했으며, 유출된 이메일·이름을 이용한 피싱(사용자를 속여 정보를 빼내는 사기) 공격 가능성에 대해 사용자에게 주의를 당부했습니다. 동일한 Metabase 취약점은 같은 시기 Framework, Tally, Kilo Code 등 다른 기업에서도 이미 악용된 것으로 확인돼, 자체 호스팅 Metabase를 운영하는 조직의 즉각적인 패치 적용이 필요합니다.
공격자가 Mathspace의 자체 호스팅 Metabase 인스턴스에 존재하는 미패치 SQL 인젝션 취약점을 악용해 관리자 권한을 획득, 내부 보고 시스템에서 학생·학부모·교직원 1,079,819명의 개인정보를 탈취했다. 무단 접근은 2026년 8월 10일부터 시작됐으며, 실제 데이터 다운로드는 8월 27일에 이루어졌다.
호주·뉴질랜드 소재 107만여 명의 사용자 이름, 이메일, 국가, 시간대, 사용자 유형, 계정 활동 일시 등이 노출됐다. 비밀번호·성적·SSO 토큰·API 자격증명은 유출되지 않았으나, 노출된 이름·이메일이 표적 피싱에 활용될 수 있다.
자체 호스팅 Metabase에 패치가 적용되지 않아 SQL 인젝션 취약점이 방치됐다. 동일한 취약점은 같은 시기 Framework, Tally, Kilo Code 등 다수 기업에서도 악용됐다.
피해 내부 보고 시스템을 오프라인으로 전환했다. 로그인 자격증명은 유출되지 않아 비밀번호 재설정은 요구하지 않았으나, 사용자에게 출처 불명 메시지 주의, 비밀번호·인증코드 미공유, 서비스별 고유 비밀번호 사용을 권고했다.
자체 호스팅 Metabase를 운영하는 조직은 SQL 인젝션 취약점 패치 적용 여부를 즉시 점검해야 한다. 데이터 분석·BI 도구가 내부 고객 DB에 연결된 경우, 이 도구 자체가 공격 경로가 될 수 있으므로 정기적인 취약점 점검과 신속한 패치가 필수적이다.
본문
Mathspace는 공격자들이 패치되지 않은 Metabase 취약점을 통해 내부 보고 시스템에 침입해, 100만 명 이상의 학생·학부모·교직원 데이터를 탈취했다고 공식 확인했습니다.
시드니에 본사를 둔 이 수학 교육 기업은 블로그 게시물을 통해, 자체 호스팅 Metabase 설치본에 존재하는 취약점이 공격자로 하여금 정상적인 로그인 없이도 시스템에 관리자 권한으로 접근할 수 있게 했다고 밝혔습니다.
Metabase는 회사 데이터베이스에 연결하고 데이터를 탐색하는 데 사용되는 비즈니스 인텔리전스(BI) 도구입니다. 무료 오픈소스 자체 호스팅 버전과 클라우드 및 자체 호스팅 옵션이 포함된 유료 서비스로 제공됩니다.
Mathspace의 CTO인 Alvin Savoy는 다음과 같이 밝혔습니다. "2026년 9월 3일, 저희는 미인가 당사자들이 Mathspace의 내부 보고 시스템에 접근해 학생, 학부모 또는 보호자, 교직원에 관한 정보를 다운로드했음을 확인했습니다."
Savoy는 이어 "조사 결과, 무단 접근이 호주 동부 표준시 기준 2026년 8월 10일까지 거슬러 올라가는 것으로 확인됐으며, 8월 27일에 호주 보고 데이터베이스에서 정보가 다운로드된 것을 확인했습니다"라고 덧붙였습니다.
회사에 따르면, 이번 침해 사고는 호주와 뉴질랜드에 위치한 총 1,079,819명에게 영향을 미쳤습니다.
유출된 데이터에는 사용자 이름, 성명, 이메일 주소, 국가, 시간대, 사용자 유형, 이메일 인증 상태, 마지막 활동 날짜, 마지막 로그인 날짜, 가입일이 포함됩니다. 이 중 일부는 학생 계정에 연결된 Mathspace 내부 식별자입니다.
Mathspace는 학업 기록, 평가 결과, 비밀번호, 인증 토큰, API 자격증명은 유출되지 않았다고 밝혔습니다. 유출 데이터에는 사용자 계정을 해당 학교와 연결하는 기록이 포함되지 않았지만, 식별 가능한 이메일 도메인을 가진 학교의 경우 연결이 가능할 수 있다고 언급했습니다.
Savoy는 "고객의 비밀번호, SSO(싱글 사인온) 토큰 및 기타 고객 인증 자격증명은 유출되지 않았습니다"라고 밝혔습니다.
"현재까지 해당 데이터가 게시되거나 유포·판매되는 등의 방식으로 악용됐다는 증거는 없습니다."
Mathspace는 로그인 자격증명이 유출되지 않았으므로 비밀번호 재설정을 요구하지 않습니다. 다만 유출된 이름과 이메일 주소가 피싱(사용자를 속여 정보를 빼내는 사기) 시도를 더 그럴듯하게 만드는 데 악용될 수 있다고 경고했습니다.
Savoy는 사용자들에게 예상치 못한 메시지를 주의하고, 비밀번호나 인증 코드를 절대 공유하지 말며, 모든 계정에 고유한 비밀번호를 사용할 것을 권고했습니다.
"현재까지의 조사 결과에 따르면, 수업과 과제를 위해 Mathspace를 계속 이용하셔도 됩니다. 피해를 입은 내부 보고 시스템은 오프라인으로 전환되었습니다"라고 Savoy는 마무리했습니다.
이번 사건은 공격자들이 Metabase의 취약점을 이용해 고객 데이터에 접근한 사례 중 하나에 불과합니다. Framework, Tally, Kilo Code 모두 2026년 8월, 자사의 Metabase 인스턴스에서 동일한 SQL 인젝션 결함이 악용된 후 유사한 침해 사실을 공개했습니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
