PowerSchool 해킹 사건은 정확히 무엇인가요?

미국 K-12 학교에서 널리 쓰는 학생정보시스템(SIS) 업체 PowerSchool이 2024년 12월 해킹을 당했고, 2025년 1월 초 이를 공지했습니다. 알려진 피해 규모는 학생 약 6,200만 명, 교직원 약 950만 명 수준입니다. 공격자는 고객지원 포털의 계정 정보를 이용해 침입한 것으로 알려졌습니다.

어떤 정보가 유출됐나요?

학교와 학구마다 다릅니다. 이름, 주소, 연락처, 생년월일이 흔했고, 일부 학구에서는 사회보장번호(SSN), 의료·투약 정보, 성적, 출결, 학부모 정보가 포함됐습니다. 내 자녀 정보가 어디까지 나갔는지는 학구가 받은 통지문으로 확인해야 합니다.

우리 아이 정보가 유출됐는지 어떻게 알 수 있나요?

PowerSchool이나 학구에서 우편·이메일로 보낸 통지문이 1차 근거입니다. 받지 못했다면 학구 행정실에 서면으로 문의하세요. 통지문에는 보통 무료 신용감시 서비스 가입 코드가 들어 있고, 소송 합의가 이뤄지면 별도 공식 웹사이트에서 청구 자격도 조회할 수 있습니다.

집단소송에 내가 직접 가입해야 하나요?

대부분 아닙니다. 미국 집단소송은 opt-out 방식이라, 요건에 해당하는 사람은 자동으로 집단 구성원이 됩니다. 다만 합의가 성립되면 현금 보상이나 보호 서비스를 받으려고 청구서를 따로 내야 하는 경우가 많고, 이 마감을 놓치는 게 가장 흔한 실수입니다.

소송에서 제외(opt-out)하면 어떻게 되나요?

제외하면 합의 혜택을 받지 못하는 대신 이 사건 합의로 청구권이 소멸하지도 않습니다. 개별 소송을 낼 수 있다는 뜻인데, 개인 유출 사건의 실제 손해액이 작아 변호사 비용을 감당하기 어려운 경우가 대부분입니다. 제외는 심각한 실제 피해가 이미 발생한 사람이 변호사와 상의한 뒤 택하는 예외적 선택으로 보는 게 현실적입니다.

합의금은 얼마나 받을 수 있나요?

MDL은 아직 진행 중이라 확정된 금액은 없습니다. 일반적으로 데이터유출 합의는 총액이 정해진 합의기금을 청구자 수로 나누거나, 신용감시 제공과 함께 소액 정액 보상, 그리고 입증된 실손해에 대한 별도 보상 한도를 두는 구조입니다. 개인 수령액은 대개 소액이며 청구자 수에 따라 줄어들 수 있습니다.

신용동결과 사기경보는 무엇이 다른가요?

신용동결(freeze)은 Equifax, Experian, TransUnion에 요청해 신규 대출 심사를 위한 내 신용정보 열람 자체를 막는 조치로 무료입니다. 사기경보(fraud alert)는 대출 신청 시 본인 확인을 강화하도록 표시를 붙이는 것으로 보통 1년 유효합니다. 사회보장번호가 유출된 경우 동결이 더 강력합니다.

미성년 자녀도 신용동결이 가능한가요?

가능합니다. 미국 연방법상 만 16세 미만 자녀에 대해 부모나 법정대리인이 3대 신용조사기관에 동결을 요청할 수 있습니다. 아이 명의 신용 파일이 아예 없는 경우가 정상이며, 파일이 존재한다면 그 자체가 명의도용 신호일 수 있으니 조사 요청과 함께 진행하세요.

한국에 사는 사람도 이 소송과 관련이 있나요?

미국 학교나 학구를 통해 PowerSchool에 정보가 들어간 적이 있다면 국적과 무관하게 관련될 수 있습니다. 주재원이나 유학생 가정, 과거 미국 학교를 다닌 자녀가 대표적입니다. 해외 주소로도 통지가 갈 수 있어 옛 학구 이메일과 우편을 확인해야 합니다.

소송과 별개로 지금 당장 해야 할 일은 무엇인가요?

통지문 보관, 무료 신용감시 가입, 신용동결, 세금 신고 시 IRS Identity Protection PIN 발급, 자녀 신용보고서 조회가 우선순위입니다. 소송 결과는 몇 년이 걸릴 수 있으니, 보호 조치는 합의를 기다리지 말고 지금 실행하는 게 맞습니다.

변호사 없이도 청구할 수 있나요?

네. 합의 청구는 공식 합의 웹사이트에서 본인이 직접 온라인으로 하며, 집단 구성원은 별도 변호사 비용을 내지 않습니다. 변호사 보수는 합의금에서 법원 승인을 받아 지급되는 구조입니다. 합의를 사칭한 유료 대행 사이트는 피하세요.

법률

PowerSchool 학생정보 유출 집단소송 2026: 내 자녀 정보 확인부터 참여·제외 결정까지

Daylongs · 2026년 9월 29일

#PowerSchool #데이터유출 #집단소송 #MDL #학생정보 #신용동결 #명의도용 #미국법률

PowerSchool 소송, 내가 지금 뭘 해야 하나?

결론부터 말하자면 세 가지다. 통지문을 찾아 어떤 정보가 나갔는지 확인하고, 신용동결 같은 보호 조치는 지금 걸고, 소송은 합의 공지가 뜰 때까지 지켜보다가 청구 마감만 놓치지 않으면 된다. 개별 소송을 새로 시작할 이유가 있는 사람은 소수다.

이 사건은 미국 K-12 학교에서 성적, 출결, 학부모 연락처를 관리하는 학생정보시스템(SIS) 회사 PowerSchool이 2024년 12월에 침해당하면서 시작됐다. 회사는 2025년 1월 초 사실을 알렸고, 피해자는 학생 약 6,200만 명, 교직원 약 950만 명으로 알려져 있다. 미국 학령기 아동 상당수가 한 번쯤 데이터에 잡혔다는 뜻이다. 이후 50건이 넘는 집단소송이 제기됐고, 이들은 캘리포니아 남부연방지방법원의 Roger T. Benitez 판사 아래 MDL(다지역소송 병합절차)로 모였다. 이 글을 쓰는 시점에 MDL은 진행 중이므로 확정된 합의금이나 판결 결과는 없다.

필자가 한국 독자에게 이 주제를 쓰는 이유가 있다. 미국 주재원, 유학생, 영주권자 가정은 자녀 학교 정보가 이 시스템에 들어가 있을 가능성이 높다. 한국으로 돌아온 뒤에도 옛 학구 이메일로 통지문이 조용히 쌓이는 경우가 많다.

본 글은 일반 정보 제공 목적이며 법률 자문이 아닙니다. 개별 사안은 미국 변호사와 상담하세요.

어떤 정보가 유출됐고, 위험은 얼마나 되나?

정보의 범위는 학구마다 크게 달랐다. 그래서 “우리 아이는 SSN까지 나갔나”를 일반론으로 답할 수 없다. 통지문에 적힌 항목이 기준이다.

정보 유형	유출 가능성	악용 위험
이름, 주소, 생년월일	대부분의 피해 학구	피싱, 사칭
학부모·보호자 연락처	다수	표적 사기 문자와 전화
사회보장번호(SSN)	일부 학구	명의도용, 신규 계좌 개설
의료·투약·알레르기 정보	일부 학구	사생활 침해, 표적 광고성 사기
성적, 출결, 징계 기록	일부 학구	평판 문제, 협박형 사기

위험을 냉정하게 보자. 이름과 주소만 나갔다면 실제 금전 피해보다 피싱 문자가 늘어나는 정도가 현실적이다. 반면 SSN이 포함됐다면 이야기가 달라진다. 미성년자의 SSN은 신용 이력이 비어 있는 “깨끗한 번호”라서 범죄자에게 오히려 가치가 높다. 피해가 대학 진학이나 첫 자동차 대출 때 드러나는 경우가 있다는 점이 아이 명의도용의 무서운 부분이다.

우리 집 정보가 유출됐는지 어떻게 확인하나?

순서대로 하면 된다.

자녀가 다녔던 모든 학교와 학구 이름을 적는다. 이사가 잦았다면 옛 학구까지 포함한다.
2025년 초 이후 받은 우편, 이메일, 학부모 포털 공지에서 “PowerSchool” 언급을 검색한다. 스팸함을 꼭 본다.
통지문이 없다면 학구 행정실이나 정보보안 담당자에게 서면으로 문의한다. 해당 학구가 PowerSchool을 썼는지, 자녀 정보가 대상이었는지 물으면 된다.
통지문에 무료 신용감시·명의도용 보호 서비스 가입 코드가 있으면 기한 내 등록한다.
통지받은 적이 없더라도 신용보고서와 아이의 신용 파일 존재 여부를 직접 확인한다.

정직하게 말하면, 통지가 부실했다는 불만이 이 사건 곳곳에 있다. 통지문이 오지 않았다고 피해가 없다는 뜻은 아니니, 확인은 능동적으로 해야 한다.

데이터유출 집단소송이란 무엇이고, 왜 MDL로 묶였나?

집단소송(class action)은 같은 피해를 본 다수를 대표해 소수의 대표 원고가 소송을 이끄는 방식이다. 유출 피해자 한 명의 실손해는 몇십 달러에서 수백 달러에 그치는 경우가 많아 혼자 소송하기가 경제적으로 맞지 않는데, 집단으로 묶으면 총액이 커져 협상력이 생긴다.

MDL은 여러 연방법원에 흩어진 유사 소송을 한 판사 앞에 모아 증거개시와 사전 쟁점을 통일해서 처리하는 절차다. PowerSchool은 전국 학구가 관련돼 소송이 여러 주에서 동시에 제기됐고, 그래서 캘리포니아 남부 법원으로 통합됐다. MDL 자체가 판결 기구는 아니다. 사전 절차 후 합의로 끝나는 경우가 압도적으로 많다. 대형 MDL의 진행 방식은 GLP-1 NAION 시력 손실 MDL 3163 안내에서 절차 중심으로 자세히 다뤘으니 참고할 만하다.

이 사건에서 법적 쟁점은 대체로 세 갈래다. 회사가 합리적 보안 조치를 취했는가, 침해 통지가 적절하고 신속했는가, 그리고 원고가 소송할 자격(standing)을 인정할 만한 구체적 피해를 입증하는가. 데이터유출 사건에서 마지막 쟁점이 가장 자주 발목을 잡는다.

소송에 참여할까, 제외할까?

선택	의미	어울리는 경우
그대로 두기 (집단 구성원)	합의 시 청구서 제출로 혜택 수령, 개별 소송권은 합의에 포함되어 소멸	대다수 가정
제외 (opt-out)	합의 혜택 포기, 개별 소송 가능	이미 큰 금전 피해가 생긴 경우
대표 원고 나서기	법원 승인 하에 소액 서비스상 보상 가능	극히 드문 경우
이의 제기	합의 조건이 부당하다고 서면 반박	합의 내용 자체에 문제 제기하려는 경우

필자의 견해로는 대부분의 가정에는 “그대로 두고 청구 마감을 캘린더에 박아두기”가 가장 합리적이다. 제외는 신중해야 한다. 나중에 실제 피해가 커질 수 있다는 불안 때문에 제외하는 경우가 있는데, 대개 합의 조건에 실손해 청구 항목이 이미 들어 있어 그 조항으로 충분히 커버된다. 소송 참여 여부를 판단하기 전에 변호사 상담 비용 가이드로 초기 상담 비용을 파악해 두면 부담이 덜하다.

데이터유출 합의금은 보통 어떻게 정해지나?

이 부분에서는 숫자를 지어내지 않겠다. 이 MDL은 진행 중이고 합의가 확정된 것이 없다. 다만 과거 유사 사건의 구조는 알려져 있다.

구성 요소	일반적 형태	참고
합의기금	총액을 정해 두고 청구자에게 분배	청구가 많으면 1인당 금액이 줄어드는 비례 조정
정액 보상	소액 현금 (대개 수십 달러 이하 범위)	청구서만 내면 수령
실손해 보상	입증 시 상한 내 지급	영수증, 소요 시간 기록 필요
신용감시	1~수년 무료 제공	현금 대신 선택하는 경우도
보안 개선 약정	회사가 보안 체계 개선	금전 지급이 아닌 조건
변호사 보수	기금의 일정 비율, 법원 승인	대개 기금의 30퍼센트 안팎이 상한선으로 논의

솔직히 말해 큰 금액을 기대하면 실망할 가능성이 높다. 수천만 명이 얽힌 사건에서 1인당 현금은 커피값 수준이거나 신용감시 서비스로 대체되는 경우가 흔하다. 소송의 실질 가치는 회사에 보안 투자를 강제하는 것과 실피해 구제 통로를 여는 쪽에 있다. 비슷한 소송 절차를 소비재 사건 맥락에서 보고 싶다면 라운드업 소송 합의 안내가 합의 진행 과정을 이해하는 데 도움이 된다. 다만 제품 인체 피해 소송은 금액 규모가 전혀 다르니 비교 기준으로 삼지는 말자.

지금 바로 할 수 있는 보호 체크리스트는?

조치	방법	비용
통지문 보관	사진과 PDF로 백업	무료
신용동결	Equifax, Experian, TransUnion 각각 신청	무료
무료 신용감시	통지문의 코드로 등록	무료
자녀 신용 파일 조회	3사에 부모 자격으로 확인 요청	무료
IRS IP PIN	세금 신고용 일회용 식별번호	무료
학구 연락처 정정	오래된 주소·이메일 갱신	무료
피싱 경계	학교 사칭 링크 클릭 금지	무료

자녀 명의를 지킬 때는 동결이 핵심이다. 미성년자는 신용 파일이 없는 게 정상이고, 동결을 걸면 누가 아이 SSN으로 대출을 신청해도 승인이 막힌다. 성인이 되어 첫 대출이 필요할 때 동결을 해제하면 된다. 신청 절차는 3사 사이트의 아동 신용동결 안내 페이지에서 서류 목록을 확인하면 되고, 부모 신분증과 아이 출생증명서 사본이 보통 필요하다.

흔한 실수는 무엇인가?

첫째, 통지문을 스팸으로 버리는 것. 둘째, 무료 신용감시 등록 기한을 놓치는 것. 셋째, “합의금이 별로 안 된다”며 청구를 포기하는 것. 청구서는 몇 분이면 끝나고 어차피 무료다. 넷째, 소송 대행을 자처하는 사이트에 수수료를 내는 것. 공식 합의 사이트는 청구 수수료를 받지 않는다. 다섯째, 동결만 걸고 세금 사기는 방치하는 것. 세금 환급을 가로채는 명의도용은 미국에서 흔하다.

여섯째, 신용감시를 신용동결의 대체재로 착각하는 것이다. 감시는 사고가 난 뒤 알려주는 서비스고, 동결은 사고를 미리 막는 조치다. 둘을 함께 쓰는 게 맞다.

미국 법률 비용과 소송 부담은 어느 정도인가?

집단 구성원으로 남는 한 개인 부담은 사실상 없다. 변호사 보수는 합의기금에서 법원 승인을 거쳐 나간다. 개별 소송으로 가면 이야기가 다르다. 성공보수제가 흔하다는 점은 교통사고·상해 변호사 수임료 가이드에서 설명한 구조와 비슷하지만, 데이터유출은 손해 입증이 어려워 개별 사건을 받아주는 변호사가 드물다. 정보 유출과 얽힌 사생활 침해나 평판 문제가 심각하다면 명예훼손 변호사 안내도 함께 읽어보길 권한다.