한양증권 그룹웨어 유출 31건, 고객이 확인할 것

한양증권이 외부 업무 그룹웨어에서 개인정보 31건의 유출을 확인했다는 보도가 2026년 11월 3일 나왔다. 회사 설명을 인용한 보도에 따르면 고객 관련 15건, 임직원 관련 2건, 일반 개인정보 14건이며, 주민등록번호가 포함된 정보는 3건이다. 이번 사고는 거래 시스템이 아닌 업무 도구에서도 개인정보가 유출될 수 있음을 보여준다.[1][2][4]

파이낸셜뉴스와 매일경제 등은 해당 그룹웨어를 다우기술의 다우오피스로 보도했다. 거래·주문 시스템이 아니라 직원이 결재와 자료 공유에 쓰는 외부 업무 시스템이 유출 지점으로 지목된 것이다. 다만 거래 시스템의 안전까지 이번 보도로 입증된 것은 아니다. 고객은 본인의 유출 항목을, 운영자는 업무 문서의 개인정보 보관과 접근 범위를 확인해야 한다.[3][4]

핵심 요약: 보도 단위는 개인정보 31건이며, 인원수 집계와는 다르다. 10월 29일은 회사가 유출을 인지한 날이며, 최초 침투일로 확인된 날짜는 아니다.[1][2] 다우오피스 보안 공지는 공개됐지만, 해당 취약점이 이번 사고의 원인인지는 확인되지 않았다.[4][6][7]

31건에는 어떤 정보가 포함됐나?

이름·계좌번호·연락처 등을 포함한 개인정보 31건이며, 모든 건에서 같은 항목이 유출된 것은 아니다. 보도에는 운전면허번호, 주소, 생년월일, 이메일도 등장한다. 주민등록번호 포함 정보 3건을 전체 31건에 확대하거나, 나열된 모든 항목이 모든 대상에게 해당한다고 읽으면 안 된다.[2][3][4]

고객 관련 15건과 임직원 관련 2건, 일반 개인정보 14건은 구분된 집계다. 특히 ‘일반 개인정보’라는 분류만으로 증권사 미이용자가 누구인지, 어떤 관계에서 정보가 보관됐는지는 알 수 없다. 중복 여부와 개인별 구성을 확인하지 않은 채 건수를 인원수로 바꿔 읽어서는 안 된다.

고객에게 필요한 것은 전체 항목 목록보다 본인에게 해당하는 항목과 확인 결과다.[2][4]

회사가 유출을 인지했다고 전한 날짜는 2026년 10월 29일이다. 실제 비정상 접근이 언제 시작됐는지와는 별개다. 인지일, 접근 차단 시점, 조사 대상 기간을 한 날짜로 합치면 사고 경과를 잘못 이해하게 된다.[1][2]

그룹웨어 보도와 제품 공지는 같은 이야기인가?

아니다. 사고가 발생한 업무 시스템에 관한 보도와 특정 버전의 일반 제품 보안 공지는 근거와 적용 범위가 다르다. 파이낸셜뉴스와 매일경제 등은 해당 그룹웨어를 다우오피스로 보도했지만, 한양증권의 사용 버전·배포형태와 공지된 취약점의 연결은 확인되지 않았다.[3][4][6]

매일경제는 빗썸과 공격 경로나 보안 취약점이 같은지는 확인되지 않았다고 명시했다. 같은 제품명이 등장한다는 사실만으로 동일 원인이나 동일 공격자를 뜻하지 않는다. 빗썸 개인정보 유출 정리는 별도 사례로 참고하되, 두 사고의 규모나 원인이 같다고 볼 수는 없다.[4]

회사 조치와 신고·안내는 어디까지 확인됐나?

접근 차단과 공급사 협력 보안 패치 등은 기사에 인용된 회사 설명으로 확인되며, 신고와 안내의 진행 상태는 매체마다 다르다. 회사 조치에 관한 설명을 독립적인 보안 검증이나 조사 종결 확인으로 해석할 수는 없다.[1][2][4]

• 연합뉴스는 관계기관 신고를 지난주 마쳤으며 개별 안내는 예정이라고 보도했다.[1]
• 머니투데이는 신고 진행 중, 개별 안내 중이라는 취지로 전했다.[2]
• 매일경제는 신고 절차를 진행했으며 개별 안내했다고, IT조선은 신고 절차를 진행했고 개별 안내를 마쳤다고 보도했다.[4][5]

서로 다른 표현을 하나의 완료 상태로 합치지 않는 것이 정확하다. 고객별 안내 여부는 보도 표현을 비교하는 것보다 회사의 공식 연락 경로로 직접 확인하는 편이 낫다. 안내를 받지 못했다는 이유만으로 본인이 대상이 아니라고 판단하지 말고, 궁금한 경우 개인별 확인을 요청할 수 있다.

2026년 11월 3일 10시 41분 KST까지 확인한 한양증권 고객 공지·보도자료·공시 목록과 기관 사이트 한정 검색에서는 이번 사고의 전용 공식 공지나 개인정보보호위원회·금융감독원 발표, DART 관련 공시를 찾지 못했다.

일부 기관 페이지의 접속 오류와 개별 공시 확인 제약이 있어 공식 발표가 없다고 단정하지는 않는다.

사고 규모와 회사 조치는 현재 직접 확인한 언론 보도에 귀속해 읽어야 한다.

고객은 무엇부터 확인하면 되나?

문자 속 링크보다 기존에 사용하던 공식 앱과 직접 확인한 고객센터 경로에서 본인 해당 여부를 묻는 것이 먼저다. 아래는 일반적인 확인 순서이며, 이번 사고에서 계정 탈취나 금전 피해가 발생했다는 뜻은 아니다.

1. 앱 공지함과 수신 안내를 확인하고, 문자·메일로 온 링크만 믿고 로그인하거나 정보를 입력하지 않는다.
2. 회사에 본인 정보 포함 여부, 해당 항목, 주민등록번호 포함 여부, 추가 안내 계획을 구체적으로 묻는다. 본인 확인 자료는 회사가 확인해 준 공식 절차로만 제출한다.
3. 계좌의 거래·이체 알림 설정과 최근 내역을 점검한다. 알 수 없는 알림이나 거래가 있으면 공식 고객센터로 확인하고, 의심 메시지는 수신 시각과 함께 보관한다.
4. OTP나 비밀번호 변경은 안내 내용과 실제 계정 이상 여부에 따라 판단한다. 이 보도만으로 모든 고객에게 일괄 OTP 재설정을 요구할 근거는 없다.

운영자는 첨부파일과 패치를 어떻게 점검하나?

개인정보 보관 목적과 접근 권한, 남아 있는 사본부터 확인한다. 이어 자사 배포형태·버전·패치 기록과 로그를 확보한다. 다음은 일반 점검 권고이지, 한양증권에 해당 통제가 없었다거나 특정 결함이 있었다는 판정이 아니다.

• 보관 목적: 결재와 업무 확인에 원본 개인정보가 계속 필요한지, 마스킹된 자료로 대체 가능한지 살핀다. 보존 근거와 기한, 삭제 승인 책임자를 정한다.
• 권한과 사본: 결재선·부서 공유·외부 공유·퇴사자 권한을 확인한다. 원본 첨부뿐 아니라 전달본, 다운로드본, 백업의 잔존 여부도 조사하고 필요한 증거를 보존한다.
• 패치 증빙과 로그: 제품명만 적지 말고 배포형태·실제 버전·적용 일시·작업 내역·확인 결과를 남긴다. 접근·인증·다운로드·관리자 변경 로그를 확보하고, 의심 시간대와 업무상 정상 접근을 구분한다.

제품 권고는 별도로 적용 범위를 대조해야 한다. 11월 2일 다우오피스 공식 공지와 10월 30일 KISA 공지는 접근통제 미흡 취약점의 영향 버전을 3.6.8.5 이하로 안내하고, 공급사 안내에 따른 순차 패치 적용과 패치 전 외부망 직접 접근 차단을 권고한다.[6][7]

공급사는 서비스형·엔터프라이즈형·HR형 다우오피스는 본 취약점 영향이 없다고 설명한다.[6]

두 공지에는 CVE 번호와 수정 버전 번호가 제시되지 않았다. 운영자는 임의로 수정 버전을 추정하지 말고 공급사에 자사 환경의 적용 대상과 절차를 확인해야 한다. 이 권고를 모든 제품의 결함이나 모든 고객사의 피해로 확대할 수 없으며, 한양증권 사고 원인과의 연결도 확인되지 않았다.[6][7]

개인정보가 오가는 업무 문서 관리와 자산 보관 보안도 구별해야 한다. 가상자산 거래소 자산 보관 보안 정리는 다른 보안 영역을 살펴보는 참고 글이며, 이번 그룹웨어 사고의 원인 설명이 아니다.

11월 3일 10시 41분 KST 재확인 범위에서는 2차 피해 확정 사례나 과징금·제재를 확인하지 못했다. 고객에게는 개인별 항목 확인이, 운영자에게는 개인정보가 남는 이유와 실제 접근 범위를 확인하는 일이 우선이다. 이 글은 공개 자료와 일반 점검 사항을 정리한 것으로 투자 권유나 법적 조언이 아니다.

출처