캔버스가 멈추자, 대학도 멈췄다

자정 마감을 앞두고 일곱 시간이 남은 저녁, 한 학생이 패닉 상태로 교수에게 이메일을 보냈다. 기말 프로젝트를 제출해야 하는데, 제출 플랫폼이 통째로 사라져버렸다.

이것은 단순한 서버 오류가 아니었다. 북미 대학의 40%가 사용하는 학습관리시스템(LMS) Canvas가 랜섬웨어 공격으로 전 세계에서 동시에 다운됐다. Google과 Ticketmaster를 이전에 공격한 바 있는 해커 집단이 기말고사 시즌을 정확히 노렸다. 그들은 Canvas를 운영하는 Instructure에 2억 7,500만 명의 사용자 개인정보를 유출하겠다고 협박했다.

소프트웨어가 교실을 삼킨 날

미국 세인트루이스 워싱턴대학에서 강의하는 이 교수가 맞닥뜨린 현실은 기묘했다. 자신이 직접 작성한 채점 기준표(루브릭)를 볼 수 없었다. 학생들에게 이메일을 보내려 해도, 학생-교수 간 소통 자체가 Canvas 안에 갇혀 있었기 때문에 연락처조차 찾기 어려웠다.

그는 결국 수백만 달러를 들여 도입한 또 다른 기업용 소프트웨어 Workday에 로그인해 수강생 명단을 찾아냈다. 낯선 인터페이스를 헤매며 이메일을 발송했지만, 제대로 전송됐는지조차 확신할 수 없었다. 밤 9시 45분, Canvas가 잠시 복구됐다. 그는 마감을 자정에서 다음날 정오로 연장한다는 공지를 올렸다.

다음 날 아침, Canvas는 또 내려갔다. 이번엔 해커 때문이 아니라 대학 측이 "추가 피해 방지"를 이유로 자체적으로 접속을 차단한 것이었다. 한 학생은 휴대폰 배터리가 방전되어 2단계 인증(2FA)을 통과하지 못해 로그인 자체가 불가능하다고 알려왔다. 캠퍼스 밖에서 Canvas에 접속하려면 반드시 작동하는 스마트폰이 필요하기 때문이다.

교수는 그 학생에게 답장을 보냈다. "What a world." 그것이 전부였다.

왜 지금, 이 사건이 중요한가

이 에피소드가 드러내는 것은 기술 장애 그 이상이다. 대학들은 지난 10여 년간 강의실 운영, 과제 관리, 성적 처리를 소수의 클라우드 기반 SaaS(서비스형 소프트웨어) 기업에 통째로 위탁해왔다. 편의성과 비용 효율을 명분으로 한 이 선택이, 단일 장애점(single point of failure)을 만들어냈다.

광고

광고주 모집

[email protected]

광고

해커들은 이 구조를 정확히 이해하고 있었다. 기말고사 주간이라는 타이밍은 우연이 아니다. 교육기관의 협상력이 가장 낮아지는 순간, 즉 학생들의 학업 결과가 직접적으로 위협받는 시점을 골랐다. 이것은 병원을 노리는 의료 랜섬웨어 공격과 동일한 논리다. 인질은 데이터가 아니라, 사람들의 삶이다.

한국도 이 흐름에서 자유롭지 않다. 국내 대학들도 LMS, 에브리타임, 블랙보드 등 플랫폼 의존도가 빠르게 높아지고 있으며, 교육부의 디지털 교육 전환 정책은 이 집중화를 더욱 가속화하고 있다. 국내 대학 사이버보안 인프라의 취약성은 이미 여러 차례 지적된 바 있다.

효율이 만든 취약성

이 사건에는 두 개의 층위가 있다.

첫 번째는 기술적 취약성이다. 클라우드 SaaS로의 집중화는 효율을 높였지만, 동시에 공격 표면을 하나의 거대한 과녁으로 만들었다. Canvas 하나가 무너지자 수천 개 대학이 동시에 마비됐다.

두 번째는 더 조용하지만 더 깊은 문제다. 교수는 자신이 만든 채점 기준을 소프트웨어 없이는 볼 수 없었다. 학생들은 제출 여부를 확인받기 위해 "혹시 몰라서" 이메일을 보내고, 또 보내고, 또 보냈다. 교수는 학생들이 패닉 상태라는 것을 알면서도, 패닉을 가라앉힐 정보를 제공할 수단이 없었다. 소프트웨어는 소통을 매개하는 도구였지만, 그 순간 소통을 가로막는 벽이 됐다.

교수는 글 속에서 Mad Men의 한 장면을 떠올린다. 공중전화가 연결되지 않을 수도 있다는 것을 모두가 알고 받아들이던 시대. "어떤 답은 바로 오지 않는다. 그냥 기다려야 한다." 그는 20세기에 대한 향수가 단순한 아날로그 낭만주의가 아니라, 직접적인 인간 상호작용에 대한 갈망이라고 말한다. 실패하더라도, 그 실패가 인간적이었던 시절에 대한.

루브릭이라는 이름의 관료주의

이 사건에서 흥미로운 조연이 있다. 바로 '루브릭(rubric)'이다. 채점 기준표는 원래 자의성을 줄이기 위해 도입됐다. 하지만 오늘날 루브릭은 대학 인증 평가를 위한 "학습 성과" 데이터를 생산하는 관료적 도구이기도 하다. Canvas 같은 소프트웨어의 존재 이유 중 하나가 바로 이 데이터를 수집하고 집계하는 것이다.

교수는 그 루브릭을 자신의 소프트웨어 없이는 볼 수 없었다. 학생의 질문—"계획을 바꾸면 점수가 나빠질까요?"—에 답할 수 없었던 이유다. 교육의 핵심적 순간, 즉 교수자와 학습자 사이의 판단과 소통이 필요한 순간에, 소프트웨어는 그 판단을 위한 정보를 독점하고 있었다.

이것은 단지 IT 인프라의 문제가 아니다. 교육이 무엇을 위해 존재하는가, 그리고 누가 그 과정을 통제하는가에 대한 질문이다.