SM엔터테인먼트와 팬 소통 앱 버블을 운영하는 디어유의 보안 이슈와 관련해, 두 회사는 전자결재 등 업무시스템 문서의 개인정보 유출을 공지했습니다. 이 공지만으로 버블 이용자 대화가 유출됐다고 볼 수는 없습니다. 두 회사는 발생 시점을 2026년 11월 4일경으로 안내했으며, 정확한 피해 규모는 아직 확인되지 않았습니다.[1][2][4]
팬 소통 서비스인 버블 이름이 보이면 구독 계정이나 대화 내용부터 걱정하실 수 있습니다. 다만 이번에는 서비스를 운영하는 회사의 업무문서 유출과 서비스 이용자 정보 유출을 구분해서 읽어야 합니다. SM과 디어유의 공식 공지, 11월 8일 보도에서 무엇을 확인할 수 있는지 정리했습니다.[1][2][5]
어떤 회사와 시스템에서 유출이 발생했나요?
SM엔터테인먼트는 전자결재시스템 등 업무시스템에 외부 공격자가 비인가 방식으로 접근해 일부 문서 파일을 외부로 유출했다고 공지했습니다. 전자결재시스템은 회사가 내부 문서를 올리고 승인받는 업무용 시스템을 말합니다.[1]
버블 운영사인 디어유도 문서 유출을 공지했습니다. 디어유는 자사가 이용하는 계열사 운영 업무시스템에 비인가 접근이 있었다고 설명했습니다. 공식 사업 소개에서는 버블을 아티스트와 팬이 메시지로 소통하는 서비스로 안내하고 있습니다. 회사가 운영하는 서비스의 성격과 이번에 피해를 본 시스템은 같은 말이 아닙니다.[2][3]
뉴시스는 SM·디어유·드림메이커의 업무시스템 유출을 함께 보도했고, SBS도 SM과 일부 계열사의 정보 유출을 전했습니다. 이 글은 해당 공지와 보도가 설명하는 보안사고를 한 편으로 묶어 다룹니다. 단순히 계열사이거나 버블에 SM 아티스트가 참여한다는 이유로 연결한 것은 아닙니다. 다만 확보한 자료만으로 동일 공격자나 공통 취약점까지 확인할 수는 없습니다.[2][4][5]
SM과 디어유의 유출 항목은 같나요?
두 회사가 안내한 항목에는 차이가 있습니다. SM의 공지에는 계약서 내 기재 정보 등이, 디어유 공지에는 임직원 데이터베이스 정보가 포함되어 있습니다. 아래 표는 실제 개인정보가 아니라 회사가 공개한 항목의 종류를 요약한 것입니다.[1][2]
| 구분 | 공개된 유출 항목 | 읽을 때 주의할 점 |
|---|---|---|
| SM엔터테인먼트 | 이름, 휴대전화번호, 주소, 계좌번호, 주민등록번호, 소속, 계약서 내 기재 정보 등 일부 | 사람마다 해당 항목이 다릅니다.[1] |
| 디어유 | 임직원 DB의 이름, 생년월일, 사번, ID, 이메일, 전화번호, 부서·직위, 입사일 등 | 팬 계정 DB가 유출됐다는 공지가 아닙니다.[2] |
| 피해 규모 | 정확한 인원·건수는 미확인 | 회사별 피해를 임의로 합산할 수 없습니다.[4][5] |
표에 나온 모든 정보가 모든 대상자에게서 한꺼번에 유출됐다는 뜻도 아닙니다. 두 회사는 대상자마다 구체적인 항목이 다르며, 대상과 항목을 확인해 개별 통지를 순차적으로 진행하고 있다고 안내했습니다. 실제 통지를 받은 분은 일반 기사에 나열된 항목보다 본인에게 안내된 내용을 먼저 확인하는 것이 좋습니다.[1][2]
SM 구성원과 협력사 관계자 등의 정보가 포함됐다는 설명도 보도됐습니다. 그러나 공개 자료만으로 특정 아티스트나 개인이 피해자인지 판단할 수는 없습니다. 계약서 정보라는 표현을 특정인의 계약 내용 유출로 확대해서는 안 됩니다.[5]
버블 팬 정보나 대화도 유출됐나요?
확보한 공지에는 버블 팬 대화가 유출됐다는 내용이 없습니다. SBS는 SM 측이 “팬 정보는 유출되지 않았다”고 설명했다고 보도했습니다. 이 문장은 보도를 통해 전달된 회사 설명이며, 외부에서 모든 시스템을 검증한 결과로 받아들여서는 안 됩니다.[1][2][5]
확보한 자료로는 버블 이용자 대화·구독 결제정보·계정 비밀번호 유출을 확인할 수 없습니다. 그렇다고 각 항목을 따로 조사해 안전하다고 보증한 것도 아닙니다. 업무시스템 문서 유출을 곧바로 ‘버블 대화 유출’로 부르거나, 반대로 조사 중인 사안을 ‘완전히 문제없다’고 정리하는 표현 모두 피해야 합니다.[1][2][5]
버블을 쓰고 있다는 사실만으로 이번 개별 통지 대상이라고 볼 근거도 없습니다. 추가 안내가 나오는지 확인하되, 앱 이름이 들어간 출처 불명 메시지에 개인정보를 입력하는 일은 피하시는 편이 좋습니다.[2][3]
발생일과 통지일은 언제인가요?
회사들이 밝힌 발생 시점은 2026년 11월 4일경입니다. 정확한 시각을 뜻하는 날짜가 아니며, 회사가 사고를 처음 인지한 날과도 구분해야 합니다.[1][2]
SM은 내부 보안 모니터링 과정에서, 디어유는 보안 사고 조사 과정에서 유출을 확인했다고 설명했습니다. 하지만 확보한 공지에는 정확한 인지일이나 최초 개별 통지일이 표시되어 있지 않습니다. 홈페이지에서 공지를 확인한 날짜를 사고 인지일이나 통지 완료일로 바꾸어 쓸 수 없는 이유입니다.[1][2]
뉴시스 기사는 11월 8일 오후 12시 56분 등록됐고 오후 1시 수정됐습니다. SBS 기사는 같은 날 오후 6시 58분 작성돼 오후 8시 11분 수정됐습니다. 이는 보도 시점이지 사건 발생 시점이 아닙니다. 이 글은 같은 날 오후 9시 1분 전후 수집된 원문 저장본을 기준으로 작성했습니다.[4][5]
회사가 밝힌 대응은 어디까지인가요?
두 회사는 사고 인지 직후 공격에 사용된 IP와 접근 경로를 차단하고, 비인가 접근 키를 교체했다고 밝혔습니다. 관계당국과 사고 경위·유출 범위를 조사하고 있으며, 정부 당국과 외부 전문기관의 정밀 조사 및 보안체계 점검 등 추가 조치도 시행할 예정이라고 안내했습니다. 완료했다고 밝힌 조치와 앞으로 하겠다는 조치를 나눠 읽어야 합니다.[1][2]
SBS는 SM 측이 한국인터넷진흥원과 개인정보보호위원회 등 관계기관에 신고했다고 설명한 내용도 전했습니다. 다만 이번에 확보한 자료에는 실제 신고 접수일이나 기관의 조사 결과가 포함되어 있지 않습니다.[5]
두 회사 공지는 당시까지 유출 정보를 악용한 2차 피해 사례가 확인되지 않았다고 설명합니다. 이는 피해가 앞으로도 없다는 보장은 아닙니다. 접근 차단 조치가 있었다는 설명만으로 사고 원인이 모두 규명됐거나 위험이 완전히 사라졌다고 결론 내릴 수도 없습니다.[1][2]
이용자와 통지 대상자는 무엇을 주의하면 좋을까요?
먼저 문자나 이메일의 링크를 누르기보다 공식 홈페이지나 평소 사용하던 앱을 직접 열어 안내를 확인하는 편이 안전합니다. 두 회사도 사칭 전화·문자·이메일과 출처가 불분명한 URL 및 첨부파일에 주의하라고 안내했습니다.[1][2]
개별 통지를 받았다면 본인에게 해당하는 유출 항목을 구분해 읽어 보세요. 연락처 항목이 안내됐다고 해서 계좌번호까지 함께 유출됐다고 추정하거나, 다른 회사의 공지 항목을 본인에게 그대로 적용할 필요는 없습니다. 문의가 필요하면 전달받은 연락처만 믿지 말고 공식 홈페이지에서 최신 문의 창구를 직접 확인하시는 것이 좋습니다.[1][2]
특히 회사 관계자를 자처하며 금전 송금이나 개인·금융정보 확인을 요구하는 연락은 주의해야 합니다. 상대가 이름이나 소속을 알고 있다는 사실만으로 정상적인 연락이라고 판단하지 마세요. 업무 관련 내용이 맞아 보이더라도 기존에 알고 있던 별도 연락 수단으로 확인하는 것이 좋습니다.[1][2]
정리하면, 지금 확인할 수 있는 핵심은 SM과 디어유가 업무시스템 문서 유출을 공지했다는 점입니다. 버블은 디어유가 운영하는 서비스이지만, 이번 공지만으로 앱 대화 유출을 뜻하지는 않습니다. 피해 규모와 구체적인 사고 원인은 추가 확인이 필요한 상태이며, 팬 정보에 대해서는 회사 설명이라는 범위를 붙여 읽는 것이 정확합니다.[1][2][3][5]