더존비즈온 침해사고, 어디까지 확인됐나

리드

정부가 더존비즈온에서 두 차례 발생한 침해사고를 '중대한 사고'로 판단하고 민관합동조사단을 꾸렸다. 조사단은 10월 25일 구성됐고, 26일 조사 착수가 발표됐다. 더존비즈온은 기업용 회계·세무 소프트웨어를 쓰는 수많은 중소기업과 세무사무소의 업무 데이터를 다루는 회사라, 이번 사고는 단순한 한 기업의 해킹 뉴스가 아니라 '우리 회사 정보도 새어 나갔나'를 확인해야 하는 실무 이슈가 됐다.

첫 번째 공지: Smart A 10 — VPN 계정 탈취

10월 18일 공지에 따르면, 10월 15일 신원 미상의 인물이 직원 VPN 계정으로 내부 시스템에 무단 접속해 데이터를 조회한 정황이 확인됐다. 유출 가능성이 있는 개인정보 항목은 Smart A 10 일부 이용사가 보유·관리하는 정보주체의 성명, 뒷 6자리가 암호화된 주민등록번호, 암호화된 계좌번호, 주소, 휴대전화번호, 이메일 등이다.

다만 '유출 정보를 특정하지는 못했다'는 단서가 붙는다. 항목 목록은 '유출 가능성이 있는' 항목이지, 확정된 유출 명단이 아니다. 회사 측은 침입에 이용된 직원 VPN 계정을 차단하고 VPN 기능을 비활성화했으며, 침입에 사용된 해외 IP를 차단했다.

두 번째 공지: APO백업서비스 — 백업 솔루션 취약점

10월 23일 공지는 성격이 다르다. 서비스 점검 중 이상징후를 발견한 더존비즈온이 백업 솔루션 제공사 Ahsay에 문의했고, Ahsay로부터 백업 솔루션에 취약점이 있다는 답변을 받았다. 내부조사 결과 그 취약점을 통해 백업서버 내 암호화된 일부 데이터가 외부로 반출된 정황이 확인됐다.

여기서 핵심은 두 가지다. 첫째, 이 공지 자체가 '유출 사실 확정'이 아니라 피해 예방을 위한 사전 통지라는 점이다. 회사도 공지 첫머리에 그렇게 못 박았다. 둘째, 아직 유출된 고객사와 정보주체가 특정되지 않았다는 점이다. 백업서버에 개인정보가 저장돼 있었다면 유출 가능성이 있고, 실제 대상과 항목은 조사 결과에 따라 달라질 수 있다.

다만 완화 요소도 공지에 명시돼 있다. 백업서버 내 보관 중인 데이터는 모두 암호화된 상태였고, 암호화 키가 유출된 정황은 발견되지 않았다. 회사는 사고 인지 직후 피해 서버를 강제 종료하고 해외 IP 접근을 차단했으며, KISA에 즉시 신고했다.

두 번의 신고, 두 개의 사고인가

두 차례 신고가 정확히 무엇인지는 아직 열려 있다. 더존비즈온이 홈페이지에 올린 공지는 10월 18일과 23일 두 건이다. 18일 공지는 세무·회계용 ERP 솔루션 'Smart A 10' 관련, 23일 공지는 백업 서비스 'APO백업서비스' 관련이다. 두 공지 사이의 관련성은 회사도, 정부도 아직 확인 중이다. 과기정통부는 두 차례 신고가 동일한 사건에 대한 추가 신고인지 별개 사건인지도 조사하고 있다고 밝혔다. 즉 '사고가 두 번'이라는 사실은 확인됐지만, '사고가 두 개'인지는 아직 확정되지 않았다.

왜 '중대 사고'인가

과기정통부가 중대 판단을 내린 이유는 규모가 확정돼서가 아니라 파급 가능성 때문이다. 더존비즈온은 ERP, 재무·회계, 그룹웨어 등 기업 업무용 소프트웨어를 제공하며, '굉장히 많은 고객사'와 세무·회계 등 민감한 정보를 확보하고 있다는 것이 과기정통부 관계자의 설명이다. 중대 판단 기준은 사고 원인이 명확한지, 국가적 영향이 큰지, 피해 확산 가능성이 큰지 등을 종합적으로 보는 것이며, 현재 확인된 침해 범위뿐 아니라 회사 내 다른 영역으로 피해가 번질 가능성도 살핀다고 했다.

조사단은 과기정통부 정보보호네트워크정책관을 단장으로 하며, 과기정통부와 KISA, 사이버보안·시스템·네트워크 분야 민간 전문가가 참여한다. 심의위원회 자체는 10월 1일 시행된 정보통신망법에 따라 신설된 법정 위원회다.

개정 정보통신망법의 과징금 규정, 이번 사고에 바로 적용되나

10월 1일 시행된 개정 정보통신망법에는 고의 또는 중과실로 반복적 침해사고를 일으킨 사업자에 대해 관련 매출의 최대 3%까지 과징금을 부과할 수 있고, 시정명령이나 자료제출 요구를 이행하지 않는 사업자에게는 미이행 일수마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금을 부과한다는 내용이 있다. 단, 이 규정이 이번 사고에 적용되는지는 조사 결과에 달린 일로, 확정적으로 연결하지 않는다. 구체적인 피해 규모는 정부 조사를 통해 확인할 예정이다.

고객사가 지금 확인해야 할 것

첫째, 우리 회사가 더존비즈온의 어떤 서비스를 쓰는지부터 확인한다. Smart A 10을 쓰는 이용사인지, APO백업서비스를 쓰는 고객사인지, 둘 다인지에 따라 확인해야 할 공지가 달라진다. 백업서비스 고객사라면, 백업서버에 어떤 개인정보가 저장돼 있었는지를 내부적으로 점검해 두는 것이 좋다. 유출 대상이 특정되면 회사로부터 추가 통지가 올 예정이기 때문이다.

둘째, 사칭 연락에 응하지 않는다. 더존비즈온은 자사나 불법침입자를 자처하며 탈취한 정보를 언급하고 금전을 요구하거나 파일 열람·링크 클릭을 요청하는 연락에 응하지 말고 즉시 회사에 알리라고 안내했다. 더존비즈온은 문자나 전화로 비밀번호, 인증번호, 계좌·카드번호를 요구하지 않는다. 이런 정보를 요구받는 연락은 응하지 말고 전담 창구로 알린다.

셋째, 전담 창구를 알아둔다. APO백업 개인정보 안심지원팀, 전화 02-6233-5200(평일 09:00~18:00), 메일 anti-virus@douzone.com이다. 유출 여부가 특정되면 회사가 즉시 추가로 알리겠다고 밝힌 만큼, 공지나 개별 통지가 오는지 주시한다.

넷째, 아직 모른다는 것을 모른다고 받아들인다. 정확한 발생 일자, 유출된 고객사 수, 반출 데이터 규모는 아직 공개되지 않았다. 정부 조사를 통해 피해 규모가 확인될 예정이고, 과기정통부는 조사 결과를 국민에게 투명하게 공개하겠다고 밝혔다. 확인되지 않은 숫자가 돌면, 출처가 정부 조사 결과인지 회사 공지인지부터 따져보는 것이 안전하다.

출처

마무리

이번 사고에서 확정된 것은 '두 차례 신고와 두 건의 공지, 그리고 정부의 중대 판단과 합동조사 착수'까지다. 유출 규모와 두 사고의 관련성은 아직 조사 중이다. 고객사 입장에서 지금 할 일은 거창하지 않다. 쓰는 서비스 확인, 백업 데이터 점검, 사칭 연락 차단, 전담 창구 저장. 그리고 확인되지 않은 숫자에 흔들리지 않고 정부 조사 결과와 회사 추가 통지를 기다리는 것. 그게 이번 사고에서 가장 실용적인 대응이다.