더존 해킹 정리: 확인된 피해 범위와 개인이 할 수 있는 조치

목차

피해 범위: 확인된 것과 확인되지 않은 것

더존 공지에서 밝힌 것은 외부의 무단 접속과 데이터 반출 정황이다. 개인정보 유출이 확정된 것은 아니다. 더존이 공지한 사고는 Smart A 10과 APO백업 두 건이고, 두 건은 대상과 확인된 수준이 다르다.[1][2]

모바일에서는 표를 좌우로 밀어 마지막 열까지 확인할 수 있다.

10월 18일 Smart A 10 공지는 10월 15일 VPN 계정으로 내부 시스템에 무단 접속해 데이터를 조회한 기록을 확인했다고 밝혔다. 유출 가능성이 있는 항목은 일부 이용사가 보유·관리하는 성명, 주민등록번호, 계좌번호, 주소, 휴대전화번호, 이메일 등이다. 회사 설명으로는 주민등록번호 뒤 6자리와 계좌번호는 암호화돼 있었다. 나머지 항목까지 암호화됐다는 뜻은 아니다.[1]

10월 23일 APO백업 공지에 따르면 더존은 서비스 점검 중 이상 징후를 발견해 백업 솔루션 제공사에 문의했고, 솔루션에 취약점이 있다는 답을 받았다. 이후 내부 조사에서 이 취약점을 통해 백업 서버의 암호화된 데이터 일부가 외부로 반출된 정황을 확인했다. 회사는 백업 서버의 데이터가 모두 암호화돼 있었고 암호화 키가 유출된 정황은 발견되지 않았다고 밝혔다. 이는 회사 자체 조사 결과다. 백업에 개인정보가 들어 있었다면 유출됐을 가능성이 있으며, Smart A 10 공지의 항목을 APO백업에 그대로 적용할 수는 없다.[2]

정부는 10월 25일 열린 침해사고 조사 심의위원회에서 이번 건을 중대한 사고로 판단했다. 과학기술정보통신부는 26일 민관합동조사단을 구성해 조사에 착수했다고 밝혔다. 더존도 같은 날 사과문을 올렸다. 사과문에 나온 약 160억 원은 사고 뒤 새로 약속한 투자가 아니라 이미 집행해 온 정보보안 투자액이라는 회사 설명이다.[3][4][5]

우리 회사나 내 정보도 해당될까?

먼저 회사가 Smart A 10이나 APO백업을 쓰는지 확인한다. 인사·급여 담당자나 전산 담당자에게 물어보면 된다. 다만 이용 사실만으로 피해를 입었다고 볼 수는 없다. 개인이 더존에 직접 가입하지 않았더라도 이용 기업이 더존 서비스에 맡긴 개인정보는 공지 대상이 될 수 있다.[1][2]

기사에 나온 ‘11만 곳 이상’은 더존이 밝힌 Smart A 10 이용 기업 수다. 피해가 확인된 고객사나 유출된 사람의 수가 아니다. 이 수치를 전한 뉴스1 기사(파이낸셜뉴스 게재)도 실제 유출 범위와 규모는 아직 확인되지 않았다고 썼다.[6]

더존은 유출된 고객사와 정보주체를 특정하기 어렵다고 밝혔고, 대상과 항목이 확인되면 추가로 알리겠다고 했다. 별도 연락을 받지 못했다고 해서 안전하다고 단정할 수는 없다. 현재까지 확인되지 않은 것은 다음과 같다.[1][2]

• 실제 개인정보 유출 여부
• 피해를 입은 고객사와 정보주체의 수
• 공격자의 정체

명의도용 예방·확인에 쓰는 세 가지 공식 서비스

더존은 두 공지에서 정보주체가 할 수 있는 예방 조치로 아래 세 서비스를 안내했다. 모두 명의도용을 막거나 내 명의의 금융·통신 현황을 확인하는 서비스다. 더존에서 내 정보가 유출됐는지 알려 주는 서비스는 아니다.[1][2]

금융감독원에 노출자 등록하기

금융감독원의 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 등록하는 방법이다. 더존은 등록하면 본인 명의의 신규 계좌 개설, 카드 발급 등이 제한돼 명의도용 피해를 예방할 수 있다고 안내했다. 기존 계좌의 거래를 모두 막는 기능은 아니다. 등록 전에 사이트에서 적용 범위와 이용 안내를 확인한다.[1][2]

M-Safer에서 휴대전화 명의도용 확인하기

한국정보통신진흥협회의 명의도용 방지 서비스 M-Safer(msafer.or.kr)에서는 본인 명의의 휴대전화 개통 여부를 확인하고 신규 개통을 차단할 수 있다고 더존 공지는 안내한다. 모르는 회선이 이미 있는지 확인하는 일과 앞으로의 개통을 막는 일은 따로 살펴야 한다. 신청 화면과 메뉴는 사이트 안내를 따른다.[1][2]

payinfo에서 내 명의 계좌 확인하기

금융결제원의 계좌정보통합관리서비스(payinfo.or.kr)에서 본인 명의 계좌 현황을 확인한다. 이 사이트의 ‘내 계좌 한눈에’(어카운트인포) 서비스로 흩어져 있는 금융계좌를 한 번에 확인할 수 있다. 이상 거래가 의심되면 해당 금융기관에 바로 지급정지를 요청하라는 것이 더존 공지의 권고다.[1][2][8]

지금 할 일: 사칭 연락 차단과 계정 보안

유출 여부가 확정되기를 기다리지 않아도 지금 할 수 있는 예방 조치가 있다. 사칭 연락에 응하지 않고, 문의는 공식 창구로 하고, 쓰고 있는 WEHAGO 계정에는 2차 인증을 켠다.[1][2]

• 사칭 연락 무시: 더존이나 침입자를 자처하며 탈취한 정보를 언급하고 돈을 요구하거나 파일·링크를 열라고 하는 연락에는 응하지 않는다. 이름이나 주소를 알고 있다고 해서 믿지 않는다.
• 인증 정보 제공 금지: 더존은 문자나 전화로 비밀번호, 인증번호, 계좌·카드번호를 요구하지 않는다고 밝혔다. 그런 요구를 받으면 응하지 말고 아래 창구로 알린다.
• WEHAGO 2차 인증: 더존은 이번 사고가 WEHAGO 서비스에 미치는 영향은 없다고 밝혔고, 예방 차원에서 접속 시 가급적 2차 인증을 쓰라고 권했다.

더존 공지가 연결한 WEHAGO 2차 인증(QR 인증) 설정 가이드의 순서는 다음과 같다.[7]

1. WEHAGO 사이트 우측 상단 프로필에서 ‘개인설정’을 연다.
2. ‘보안설정 → QR인증 설정’을 ON으로 바꾼다.
3. 본인 휴대전화의 WEHAGO 앱에서 ‘Smart Key’를 눌러 화면의 보안 QR코드를 스캔하고 인증 기기를 등록한다. 본인 휴대전화에서 등록해야 하며 사용자당 1대만 등록할 수 있다.
4. 이후 로그인할 때 아이디와 비밀번호를 입력하고, 앱의 Smart Key로 QR코드를 스캔해 승인한다.

공식 가이드를 정리한 것이며, 직접 설정을 바꿔 시험한 내용은 아니다.

문의 창구는 아래 두 곳이다. 운영 시간은 모두 평일 09:00~18:00이다.[1][2][4]

• Smart A 10 개인정보 안심지원팀: 02-6233-0700
• APO백업 개인정보 안심지원팀: 02-6233-5200

정리: 지금 기억할 점

매일 새로운 보안 이슈가 나오는데, AI 때문에 앞으로는 이런 일이 더 많아질 것 같다. 나도 시스템을 개발하는 입장에서 보안에 더 신경 써야겠다.

연관 글

• 🔗 Tailworm 패치 전에 Tailscale에서 먼저 바꾼 설정
• 🔗 HTTP2Shell Brotli 취약점, Node.js·Python·.NET 수정 버전과 점검 순서

참고 자료