[단독] 디어유, 임직원 개인정보 유출…모회사 SM도 털렸다

계열사 업무 시스템 무단 접근에 임직원 DB·내부 문서 반출…주민번호·계좌정보도 유출

[디지털데일리 채성오기자] 팬 플랫폼 '버블' 운영사 디어유에서 임직원 개인정보 유출 사고가 발생했다. 외부 공격자가 계열사 업무 시스템에 무단 접근해 임직원 인사정보 등이 담긴 문서를 빼낸 것으로 확인됐다. 모회사 SM엔터테인먼트와 공연기획 계열사 드림메이커엔터테인먼트에서도 주민등록번호와 계좌번호 등이 유출된 것으로 나타났다.

8일 정보기술(IT)업계에 따르면, 디어유는 최근 개인정보 유출 사고를 확인하고 관련 내용을 공지했다. 외부 공격자가 디어유가 이용하는 계열사 운영 업무 시스템에 비인가 접근해 전자결재시스템 등에 보관된 일부 문서 파일을 외부로 반출한 것으로 파악됐다. 유출 발생 시점은 지난 4일쯤으로 추정된다.

디어유가 공개한 유출 정보는 임직원 데이터베이스(DB)에 포함된 이름과 영문 이름, 성별, 생년월일, 사번, 사내 ID, 이메일주소, 휴대전화번호, 소속 부서, 직위·직책·직급·직무, 입사일 등이다. 다만 대상자마다 실제 유출된 항목은 다르며 정확한 피해 인원과 유출 건수는 공개되지 않았다.

이에 따라 디어유는 사고 인지 직후 공격에 사용된 인터넷주소(IP)와 접근 경로를 차단하고 비인가 접근 키를 교체한 것으로 알려졌다. 현재 디어유 측은 시스템 운영 계열사 및 관계기관과 협조해 유출 범위를 파악하고 있으며 대상자별 피해 정보를 확인해 이메일이나 문자메시지로 개별 통지를 순차적으로 진행하고 있다는 입장이다.

이번 사고는 디어유에만 국한되지 않았다. 모회사인 SM엔터테인먼트도 홈페이지를 통해 업무 시스템 침해에 따른 개인정보 유출 사실을 안내했다. SM엔터테인먼트 측은 "내부 보안 모니터링 과정에서 외부 공격자의 무단 접근을 확인했다"며 "전자결재시스템 등에 저장된 일부 문서가 외부로 유출됐다"고 밝혔다.

SM엔터테인먼트가 공개한 유출 항목에는 이름과 휴대전화번호, 주소, 계좌번호, 주민등록번호, 부서·직위·직책 등 소속 정보와 계약서 기재 사항 일부가 포함됐다. 공연기획 계열사 드림메이커 역시 지난 4일께 같은 종류의 업무 시스템 침해를 확인했으며 유출 정보 항목도 SM엔터테인먼트와 동일하게 안내했다.

양사 또한 디어유와 마찬가지로 공격 IP와 접근 경로를 차단하고 비인가 접근 키를 교체했다. 두 회사는 "관계당국과 사고 경위를 조사하는 한편 유출 대상자와 구체적인 항목을 확인해 개별 통지를 진행하고 있다"고 전했다. 세 회사 모두 정부 당국 및 외부 전문기관과 협력한 정밀 조사와 추가 보안 점검을 추진할 방침이다.

한편 각사는 현재까지 유출 정보가 악용된 2차 피해 사례는 확인되지 않았다며 회사 관계자를 사칭한 보이스피싱과 스미싱 등에 주의할 것을 당부했다.