더존비즈온 해킹, 우리 회사가 쓰는 ERP라면 내 급여·주민번호 정보는 괜찮을까
국내 대표 ERP 업체 더존비즈온이 10월에 두 차례 해킹 사고를 신고했고, 정부는 이를 중대한 사고로 보고 민관합동조사단을 꾸려 조사하고 있습니다. 11월 들어서는 더존비즈온 서비스를 쓰던 기업과 기관들이 "임직원 개인정보 유출 가능성"을 알리는 공지를 잇따라 올리고 있습니다.
회사에서 급여나 인사 업무에 더존 프로그램을 쓰는지 잘 모르는 직원 입장에서는 내 급여 계좌나 주민번호가 들어 있었는지부터 궁금할 수밖에 없습니다. 더존비즈온 해킹으로 어떤 정보가 위험해졌는지, 내가 해당되는지 어떻게 확인하는지 11월 3일 기준으로 정리했습니다.
더존비즈온 해킹, 어디가 뚫렸나
사고는 두 곳에서 확인됐습니다. 하나는 중소기업과 세무사무소가 많이 쓰는 회계·인사 프로그램 스마트 A 10이고, 다른 하나는 기업 자료를 보관하는 APO백업 서비스입니다.
스마트 A 10 쪽은 10월 15일 외부인이 직원 VPN 계정으로 개발 서버에 접속해 데이터를 조회한 기록이 확인됐고, 회사는 해당 계정과 해외 IP를 막고 VPN 기능을 껐습니다. APO백업 쪽은 백업 서버 점검 중 이상 징후가 발견됐는데, 백업 솔루션 공급업체 아세이(Ahsay)의 알려지지 않은 취약점을 노린 공격으로 파악됐습니다.
- 110월 15~16일스마트 A 10 개발 서버 무단 접속 확인, 정부에 신고
- 210월 18일스마트 A 10 개인정보 유출 가능성 홈페이지 공지
- 310월 21~23일APO백업 서버 침해 신고, 유출 가능성 공지
- 410월 25~26일과학기술정보통신부가 중대 사고로 판단, 민관합동조사단 구성, 회사 사과문 게시
스마트 A 10은 11만 곳이 넘는 기업이 쓰는 프로그램이고, 중소기업과 세무사무소 비중이 높습니다. 다만 실제로 어느 회사의 어떤 정보가 빠져나갔는지는 아직 확정되지 않았고, 정부 조사 결과를 기다리는 상황입니다.
ERP에는 내 정보가 어디까지 들어 있을까
ERP의 급여·인사 기능에는 회사가 월급을 주고 세금을 처리하기 위해 필요한 정보가 모여 있습니다. 보도에 따르면 직원의 이름, 연락처, 주소, 주민등록번호에 더해 급여 금액과 급여 계좌번호까지 들어갈 수 있습니다.
연말정산 기능을 함께 쓰는 회사라면 부양가족의 이름과 주민등록번호가, 건강보험 피부양자 업무까지 처리했다면 가족관계를 확인하는 정보도 들어 있을 수 있습니다. 실제로 한 공공기관은 배우자, 다자녀, 경로우대 공제 같은 항목까지 유출 가능 항목으로 공지했습니다. 이런 기능은 회사마다 따로 구입해 쓰는 것이라 모든 회사에 해당하지는 않습니다.
암호화된 정보와 그렇지 않은 정보
더존비즈온은 스마트 A 10의 유출 가능 항목으로 이름, 주민등록번호, 계좌번호, 주소, 휴대전화번호, 이메일을 공지했습니다. 이 중 주민등록번호 뒤 6자리와 계좌번호는 암호화돼 있었다고 설명했습니다.
반대로 말하면 이름, 연락처, 주소, 주민등록번호 앞자리는 암호화 대상이 아니었다는 뜻입니다. 백업 서버 자료는 모두 암호화돼 있었고 암호화 키가 유출된 흔적은 없다는 것이 회사 설명이지만, 보안 업계에서는 키 유출 여부를 방어하는 쪽이 모를 수도 있다는 지적도 나왔습니다.
우리 회사가 해당되는지 확인하는 방법
직원이 직접 더존비즈온에 내 정보가 있는지 조회할 수 있는 창구는 아직 따로 없습니다. 회사가 쓰는 서비스를 기준으로 확인하는 것이 순서입니다.
- 1회사 공지부터 확인더존비즈온은 영향 가능성이 있는 고객사에 개별 안내를 했다고 밝혔습니다. 사내 게시판, 인사팀 메일, 회사 홈페이지에 "개인정보 유출 가능성" 공지가 올라왔는지 확인합니다.
- 2급여·인사 담당자에게 직접 문의공지가 없다면 급여나 연말정산을 어떤 프로그램으로 처리하는지 담당자에게 물어보는 것이 가장 빠릅니다. 스마트 A 10이나 APO백업을 쓰는지, 회사가 받은 안내가 있는지 확인합니다.
- 3세무사무소를 통해 처리하는 경우도 확인작은 회사는 급여와 원천세 신고를 외부 세무사무소에 맡기는 경우가 많습니다. 우리 회사가 직접 쓰지 않더라도 거래하는 세무사무소가 스마트 A 10을 쓴다면 내 정보가 그쪽에 들어가 있을 수 있습니다.
- 4예전에 다닌 회사도 생각해 보기퇴사한 회사의 기록도 남아 있을 수 있습니다. 실제로 전·현직 직원 정보를 함께 공지한 곳들이 있습니다.
서비스를 끊었어도 안심할 수 없는 이유
이번 사고에서 눈에 띄는 부분은 이미 계약이 끝난 회사들도 공지를 냈다는 점입니다. 한 회계법인은 APO백업 계약이 지난해 말 끝났는데도 과거 백업 자료 때문에 성명, 주민등록번호, 급여정보, 연말정산 자료 유출 가능성을 알렸고, 서비스를 해지한 지 6개월이 지난 곳에서도 데이터가 남아 있었다는 공지가 나왔습니다.
회사가 "지금은 더존 안 쓴다"고 답하더라도, 예전에 APO백업을 쓴 적이 있는지까지 물어보는 것이 좋습니다.
지금 해 둘 수 있는 일
유출 여부가 확정되기 전이라도 미리 해 둘 수 있는 조치가 있습니다. 공지에 나온 항목이 이름, 연락처, 주민번호, 계좌번호인 만큼 사칭 연락과 명의도용을 막는 쪽에 초점을 두면 됩니다.
- 1회사·세무사무소·더존 사칭 연락 무시더존비즈온은 문자나 전화로 비밀번호, 인증번호, 계좌번호를 요구하지 않는다고 밝혔습니다. 회사 인사팀이나 거래 업체를 사칭해 첨부파일이나 링크를 보내는 연락도 바로 열지 말고, 아는 번호로 직접 확인합니다.
- 2명의도용 방지 서비스 등록금융감독원 개인정보노출자 사고예방시스템에 등록하면 내 명의의 신규 계좌 개설 등이 제한되고, 엠세이퍼에서는 휴대전화 신규 개통을 막아 둘 수 있습니다.
- 3내 명의 계좌 한 번 점검계좌정보통합관리서비스(어카운트인포)에서 모르는 계좌가 개설돼 있지 않은지 확인합니다.
회사 공지에 유출 가능 항목이 "가족 정보"까지 적혀 있다면, 가족에게도 사칭 문자와 전화를 조심하도록 알려 두는 것이 좋습니다. 가족은 자기 정보가 회사 ERP에 들어 있었다는 사실 자체를 모르는 경우가 많습니다.
앞으로 확인할 것
민관합동조사단이 침입 경로와 실제 유출 범위, 피해 고객사 규모를 조사해 결과를 공개하겠다고 밝혔습니다. 두 사고가 같은 공격자의 연속 공격인지, 암호화 키가 안전했는지도 조사 결과에서 확인될 부분입니다.
더존비즈온은 유출 대상이 특정되면 추가로 통지하겠다고 밝혔으니, 당분간은 회사 공지와 더존비즈온 홈페이지 공지사항을 함께 살펴보시는 것이 좋습니다. 이 글은 11월 3일까지 나온 회사 공지와 보도를 바탕으로 정리했으며, 조사 결과에 따라 내용이 달라질 수 있습니다.
데이터 세이브 · 데이터 복구 전문 기업
하드디스크, SSD, 외장하드, USB, 메모리카드, 나스 등 저장 매체의 진단과 데이터 복구를 진행합니다. 대표 전화 1588-6598로 문의하시면 가까운 지점에서 상담을 받으실 수 있습니다.
부산시 부산진구 중앙대로 799-1 브라다빌딩 8층
서울시 용산구 청파로 77 원효전자상가 6동 1층 52호
경기도 안양시 동안구 시민대로327번길 7 대영글로벌 비즈스퀘어 606호
제주시 남광로 11, 2층
부산시 동구 중앙대로180번길 13 프레지던트 오피스텔 5층
'IT 정보' 카테고리의 다른 글
| 윈도우 11 26H2 업데이트가 안 뜰 때 확인할 것, 설치 전 알아둘 문제 (0) | 2026.11.03 |
|---|---|
| 초등생 200만 원 후원 논란, 유튜브 자녀 계정과 쇼츠 설정부터 확인하세요 (0) | 2026.11.02 |
| 핫월렛 콜드월렛 뜻과 차이, 거래소 해킹 사태에서 안전하려면 (0) | 2026.11.02 |
| 윈도우 업데이트 후 비트락커 복구 화면, 복구 키부터 확인해야 하는 이유 (0) | 2026.10.30 |
| 갤럭시 A18 LTE 국내 출시, 42만 원대 보급형 폰 누구에게 맞을까 (0) | 2026.10.30 |