오늘도 무사히 · 국내 정보보안 사고 타임라인

유통·서비스

더존비즈온 (기업용 회계·ERP 소프트웨어 업체)더존비즈온 침해 두 건, 고객사의 유출 가능성 공지로 번져

쉽게 말하면 기업용 회계·인사 프로그램 회사가 두 번 뚫려, 그 프로그램이나 백업 서비스를 쓰던 회사들의 직원·거래처 정보가 샜을 수 있습니다.

기업용 회계·인사 소프트웨어를 공급하는 더존비즈온이 5일 간격으로 두 차례 침해를 신고했습니다. 개발 서버와 백업 서비스가 차례로 뚫렸고, 이 서비스를 쓰던 고객사들이 임직원·거래처 정보가 유출됐을 수 있다고 잇달아 공지하고 있습니다.

규모 규모 미확정 · 고객사 공지 계속 증가현황 민관합동조사단 조사 중 · 고객사 자체 공지가 이어지는 중(11/2 기준)

유출 규모와 실제 유출 여부는 조사 중입니다. 11만·15만 곳은 이용 기업 수로 보도된 숫자이며 피해 고객사 수가 아닙니다. 고객사 공지가 계속 늘고 있어 기준일 이후 달라질 수 있습니다.

내가 해당되는지 확인하기

더존비즈온 프로그램·백업 서비스를 쓰는(쓰던) 회사에 다니거나 다녔던 사람, 그 회사와 거래한 사람

  • 다니는(다녔던) 회사와 거래처에서 온 개인정보 유출 가능성 안내를 확인하세요. 회사가 이 업체의 서비스를 썼는지 물어볼 수도 있습니다.
  • 고객사 공지가 계속 늘고 있고, 계약이 끝난 회사의 옛 자료도 영향 대상에 들어갈 수 있습니다.

해당되거나 불안하다면

  • 계좌정보 통합관리서비스 payinfo.or.kr내 명의 계좌를 조회하고, 계좌 악용이 의심되면 일시 지급정지를 신청합니다.
  • 개인정보노출자 사고예방시스템 금융감독원 금융소비자정보포털 ‘파인’ 또는 은행 영업점등록하면 금융사에 전달되어 내 이름의 거래 때 본인확인을 더 신중히 합니다. 우려가 사라지면 같은 방법으로 해제합니다.
  • 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
  • 주민등록번호(일부 암호화)와 계좌번호가 포함될 수 있다고 안내한 곳이 많습니다. 사칭 문자·전화가 늘 수 있으니 아래 ‘사칭 문자·전화 유형’을 함께 보세요.
  • 더존이나 공공기관을 사칭해 비밀번호·인증번호·계좌번호를 묻는 문자·전화에 주의하세요(회사 안내).

확인된 사실

규모
회사는 피해 고객사와 정보주체를 아직 특정하기 어렵다고 밝힘. 스마트 A 10 이용 기업이 11만 곳 이상, 누적 고객사가 15만 곳 이상이라는 보도가 있으나 이는 영향 가능 범위이지 피해 규모가 아님
1차(스마트 A 10) 유출 가능 항목
일부 이용사가 관리하는 정보주체의 성명, 주민등록번호(뒤 6자리 암호화), 계좌번호(암호화), 주소, 휴대전화번호, 이메일
2차(APO백업) 유출 가능 항목
고객사가 백업해 둔 자료에 든 개인정보. 고객사별 공지에는 성명·연락처·이메일·사업자등록번호·주민등록번호·계좌번호가 나오고, 급여·연말정산 자료를 언급한 곳도 있음
암호화
회사 설명: 백업 데이터 전체가 암호화돼 있고 암호화 키 유출 정황은 없음. 고객사 공지는 대체로 “실제 유출은 확인되지 않았으나 가능성이 있다”는 형태
영향 고객사
10/28~11/1에 10곳이 자체 공지했고(KLPGA, K옥션, 창비 등), 11/2에도 한국공항보안·국기원·더본코리아·성현회계법인 등의 공지가 보도됨. 서비스를 이미 해지한 고객사도 포함됨

경과

  1. 신원 미상자가 직원 VPN 계정으로 스마트 A 10 개발 서버에 무단 접속해 데이터를 조회한 기록을 회사가 확인하고 접근 경로를 차단
  2. 회사가 KISA·개인정보위에 1차 침해를 신고
  3. 회사가 홈페이지에 개인정보 유출 가능성과 침해사고(스마트 A 10)를 공지
  4. 회사가 2차 침해(APO백업 서비스)를 신고. 같은 날 KISA가 백업 솔루션 제공사 아세이(Ahsay) 제품의 보안 업데이트를 권고했다고 보도됨공식 조치
  5. 회사가 APO백업 관련 개인정보 유출 가능성을 공지
  6. 과기정통부가 침해사고 조사 심의위원회를 열어 중대 침해사고로 판단하고 민관합동조사단을 구성공식 조치
  7. 회사가 사고 사실을 알리고 사과(사과문 게시일은 보도마다 25일·26일로 엇갈림)
  8. 회사가 고객사들에 APO 백업서버 침해와 유출 가능성을 통지(고객사 공지 기준)
  9. 성현회계법인이 공지: 지난해 말 계약이 끝난 APO 백업 자료가 영향 대상에 포함될 수 있다고 안내
  10. 10/28 이후 유출 가능성을 통보받아 자체 공지한 고객사가 10곳으로 집계됨
  11. 더본코리아가 KISA에 신고했다고 보도되고, 한국공항보안·국기원 등 고객사 공지가 추가로 이어짐

원인으로 지목된 것

  • 1차: 직원 VPN 계정으로 내부 개발 서버에 접속했다는 것이 회사·정부 발표 내용입니다. 계정이 어떻게 쓰이게 됐는지는 공개되지 않았습니다.
  • 2차: 백업 솔루션 제공사의 취약점을 통해 암호화된 데이터 일부가 외부로 반출된 정황을 회사가 고객사에 통지했습니다. 실제로 어떤 고객 데이터가 반출됐는지는 확인되지 않았습니다.

대응과 조치

  • 1차: 외부 접근 경로 차단과 관련 계정 보호조치, KISA·개인정보위 신고, 홈페이지 공지.
  • 2차: 피해 서버 강제 종료와 해외 IP 접근 차단, 신고와 공지. 고객사에는 정보주체 대상 별도 안내를 요청.
  • 전담 상담 창구와 외부 전문기관 정밀조사 운영, 민관합동조사단 조사 협조, 더존·공공기관 사칭 문자·전화 주의 당부.

점검해 볼 지점 (편집 의견)

  • 백업도 외부 솔루션이므로 자산 목록에 넣고 패치·외부 접근 통제 대상으로 관리할 만합니다. 이 사건에서는 백업 솔루션 취약점이 쟁점입니다.
  • 계약이 끝난 뒤에도 백업이 남아 있던 정황이 있습니다(성현회계법인 공지). 계약 종료 시 데이터 파기와 확인 절차를 점검해 볼 만합니다.
  • 개발 서버에 고객사 정보가 있었다는 점은 개발·테스트 환경의 실데이터 보관 여부와 VPN 계정 인증 수준을 되짚어 보게 합니다.
  • 수탁사가 유출 가능성을 통지하면 정보주체 안내와 신고를 바로 판단할 수 있게 절차를 미리 정해 두면 좋습니다.

관련 ISMS-P 인증기준 (편집 의견)

위탁·협력사·솔루션 경유2.3.1 외부자 현황 관리2.3.2 외부자 계약 시 보안2.3.3 외부자 보안 이행 관리3.3.2 개인정보 처리 업무 위탁

계정·인증 약점2.5.1 사용자 계정 관리2.5.3 사용자 인증2.5.4 비밀번호 관리

공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.

용어: 공급망·수탁사 공격

출처

‘오늘도 무사히’는 민간 기업 Sprout Security가 운영하는 정보 제공 사이트이며 정부 기관이 아닙니다.