32만 명분의 개인정보가 유출된 학교가 "유출 내용에 문제가 없다"고 하는 이유는?

해커의 손에 의해 대규모 학군에 다니는 약 32만 명의 학생의 이름과 주소 등의 개인정보가 온라인상에 공개되어 버리는 사건이 발생했습니다. 학교가 해커의 침입을 허용했다는 점에도 문제가 있지만, 해커에 의해 불법으로 공개된 데이터의 내용은, 어느 법에 따라 "큰 문제는 없다"고 합니다.

Ransomware Threat Actors Dump Data on Clark County School District Employees and Students
https://www.databreaches.net/ransomware-threat-actors-dump-data-on-clark-county-school-district-employees-and-students/

Hacker Releases Information on Las Vegas-Area Students After Officials Don’t Pay Ransom - WSJ
https://www.wsj.com/articles/hacker-releases-information-on-las-vegas-area-students-after-officials-dont-pay-ransom-11601297930

WSJ News Exclusive | Hacker Releases Information on Las Vegas-Area Students After Officials Don’t Pay Ransom

피해를 당한 곳은 라스베가스에 있는 학교구 Clark County School District(CCSD)에 다니는 약 32만 명의 학생입니다. 해커는 학교의 서버를 무단으로 잠금하고는 해제를 대가로 학교에 금전을 요구. 학교 측이 이를 거부하였고, 해커에 의해 학생들의 이름, 성적, 생년월일, 주소, 다니는 학교 이름 등의 개인정보가 온라인에 공개되었습니다.

학생의 개인정보가 공개된 것에 대해 월스트리트저널(WSJ)은 "코로나바이러스의 대유행으로 온라인 학습에 크게 의존하고 있는 학교를 대상으로 한 해커의 전술이 커지고 있다는 것을 보여주고 있다"고 지적합니다.

그러나 CCSD는 가정교육 권리와 개인정보 보호에 관한 법률(FERPA)에 따라, 학교가 학생 정보의 일부를 명단 정보로서 공개하는 것이 인정되고 있습니다. 어떤 데이터를 명단 정보로 공개하거나 학교가 결정할 수 있으며, CCSD는 학생의 이름, 주소, 학년, 생년월일, 출생지, 출석 연수, 학위, 수상 경력, 다니던 학교 소속하고 있는 동아리, 스포츠팀에 소속되어 있는 경우에는 체중과 신장의 공개가 허용되고 있습니다.

FERPA를 고려하면 해커에 의해 공개된 데이터는 기밀 정보로 간주되지 않을 수 있습니다. 보안계 뉴스사이트 DataBreaches.net을 운영하는 Dissent Doe 씨는 해커가 공개한 데이터 내용을 실제 확인 후 "지금까지 학생들의 의료 기록, 징계 기록, 사회활동이나 심리 기록 등 민감한 정보는 확인하지 못했습니다"라고 코멘트.

그러나 해커에 의해 공개된 것들이 중요하지 않은 데이터라도, 낙관해서는 안된다고 Dissent Doe 씨는 지적합니다. "해커가 한 것은 교육구의 기능을 방해하고 다른 업무에 할애할 수 있는 교직원들의 자원을 강탈했습니다. 해커 각각의 공격은 수법이 다르기 때문에 다양한 공격에 대항할 수단과 복구 방법을 준비해야 합니다. 해커가 항상 중요한 데이터만 탐색하고 있다고 가정해 버리는 것은 매우 위험합니다"라고 Dissent Doe 씨는 말합니다.