[한국저작권위원회] 저작권 등록정보 검색 서비스 서버 응답에 저작자 주민등록번호 포함…개발자도구로 노출 가능, 유출 가능성 통지_2026년 10월

문화체육관광부 산하 한국저작권위원회의 저작권 등록시스템 ‘등록정보 검색 서비스’에서 저작자 등의 주민등록번호가 외부에 노출될 수 있었던 사실이 확인됐다. 검색 결과 화면에는 보이지 않았지만, 웹 브라우저 개발자 도구로 확인되는 서버 응답 데이터에 주민등록번호가 담겨 있었다. 위원회는 2026년 10월 23일 신고를 받은 당일 노출을 차단했고, 10월 26일 ‘개인정보 유출 가능성의 통지’를 공지했다.

□  개요 

   한국저작권위원회는 2026년 10월 26일 저작권 등록시스템(CROS) 공지사항에 ‘개인정보 유출 가능성의 통지’를 올려, 등록정보 검색 서비스에서 저작자 등의 주민등록번호가 외부에 노출될 수 있었던 정황을 확인했다고 밝혔다.
    위원회는 10월 23일 해당 문제에 대한 신고를 받았다. 확인해 보니 일반 검색 결과 화면에는 주민등록번호가 표시되지 않았지만, 서버가 이용자 PC로 보내는 응답 데이터에는 주민등록번호가 들어 있어 브라우저 개발자 도구만으로 볼 수 있었다. 한국경제는 별도의 해킹 도구 없이 확인할 수 있는 구조였다고 전했다. 위원회는 신고 당일인 10월 23일 22시 10분 노출 차단 조치를 마쳤고, 10월 24일부터 노출 원인과 영향 범위를 추가로 점검하고 있다.
    공지 시점까지 실제 유출 여부, 영향을 받은 정보주체와 규모, 노출이 시작된 시점과 기간은 확인되지 않았다. 위원회는 유출이 확정된 것은 아니지만 노출 정황이 있어 ‘유출 가능성’을 먼저 알린다고 설명했다. YTN에 따르면 이용자들에게 이메일로도 안내했다. 저작권 등록은 작사·작곡가, 가수·연주자(저작인접권자), 소프트웨어 개발자 등 여러 분야 창작자가 이용하는 제도다. 지난해 한 해 등록 건수만 약 5만9천 건(시사저널 보도 수치 합산)이어서, 노출이 오래 지속됐다면 영향 범위가 커질 수 있다는 우려가 나온다.

 

□  사고내용 요약  

    1. 회사명 : 한국저작권위원회(문화체육관광부 산하 공공기관)
    2. 사고유형
        - 웹 서비스 설계·개발 취약점에 따른 개인정보 노출(화면에는 표시하지 않지만 서버 응답에 불필요한 민감정보 포함)
        - 외부 신고로 확인. 해킹이나 제3자 악용 정황은 확인되지 않음(조사 중)
        - API 응답 과다 노출(Excessive Data Exposure, OWASP API Security Top 10 ‘객체 속성 수준 권한 검증 실패’) 유형(추정)
    3. 유출규모
        - 미확인(영향받은 정보주체와 규모 조사 중)
        - 참고 : 지난해 저작권 등록 건수(시사저널 보도)

구분	등록 건수(지난해)
일반저작물	42,622건
컴퓨터프로그램	14,116건
저작인접권(실연·음반·방송)	2,077건
데이터베이스	210건
합계	59,025건

    ※ 시사저널 보도의 지난해 등록 건수를 합산한 값입니다. 피해 규모가 아니며, 노출 기간에 따라 실제 영향 범위는 달라집니다.

    4. 유출항목(유출 가능성)
        - 저작권 등록정보에 포함된 저작자 등의 주민등록번호

    5. 특이사항
        - 화면에서만 가리고 서버 응답에는 원본 주민등록번호를 그대로 보낸 구조. 프런트엔드 비표시를 보호조치로 착각한 전형적인 설계 결함(추정)
        - 별도 해킹 도구 없이 브라우저 개발자 도구만으로 확인 가능(한국경제). 누구나 공개 검색 서비스를 이용할 수 있었다면 대량 수집도 가능했을 것(추정)
        - 주민등록번호는 법령상 처리가 엄격히 제한되는 고유식별정보로, 바꾸기 어려워 노출되면 명의도용 위험이 오래 지속됨
        - 대상에 작사·작곡가, 가수·연주자 등 음악계 인사와 공인이 포함될 수 있어 표적형 사칭·사기 우려가 제기됨
        - 유출이 확정되기 전 ‘유출 가능성’ 단계에서 먼저 공지하고 이메일로 안내함
        - 노출이 시작된 시점과 기간, 외부 수집 여부는 조사 중

□  사고대응 타임라인  

    - 시점 미상
        . 등록정보 검색 서비스 서버 응답에 주민등록번호가 포함되기 시작함(노출 시작 시점·기간 조사 중)
    - 2026년 10월 23일(금)
        . 주민등록번호 외부 노출 가능성 신고 접수, 긴급점검 실시
        . 22시 10분 주민등록번호 노출 차단 조치 완료
    - 2026년 10월 24일(토)~
        . 노출 원인과 영향 범위 확인을 위한 추가 점검 진행
    - 2026년 10월 26일(월)
        . 저작권 등록시스템 공지사항에 ‘개인정보 유출 가능성의 통지’ 게시, 이용자 이메일 안내
    - 2026년 10월 27일(화)
        . YTN, 한국경제, 시사저널, 한국NGO신문, 뉴스1 등 언론 보도
    - 진행 중
        . 발생 시점, 노출 기간, 영향 범위, 실제 유출 여부 조사. 유출이 확정되면 정보주체에게 추가 통지 예정

□  개인정보 유출 관련 홈페이지 안내  

개인정보 유출 가능성의 통지
작성자 : 관리자 / 작성일 : 2026-10-26

안녕하세요. 한국저작권위원회입니다.

우리 위원회는 2026년 10월 23일 저작권 등록시스템의「등록정보 검색 서비스」에서 저작자 등의 주민등록번호가 외부에 노출될 수 있다는 신고를 접수하였습니다.

신고 내용을 확인한 결과, 일반적인 검색 결과 화면에는 주민등록번호가 표시되지 않으나, 웹 브라우저의 개발자 도구를 통해 서버의 응답 데이터에 주민등록번호가 포함되어 있는 사실을 확인하였습니다.

다만, 현재까지 개인정보의 실제 유출 여부와 영향받은 정보주체 및 규모는 확인되지 않았으며, 관련 사항을 조사 중입니다. 이에 개인정보 유출이 확정된 것은 아니나, 개인정보가 외부에 노출될 수 있었던 정황이 확인됨에 따라 유출 가능성을 안내드립니다.

유출 가능성이 있는 개인정보 항목은 저작권 등록정보에 포함된 저작자 등의 주민등록번호입니다.

우리 위원회는 해당 사실을 인지한 즉시 긴급점검을 실시하여 2026년 10월 23일 22시 10분에 주민등록번호 노출 차단 조치를 완료하였습니다.
또한 2026년 10월 24일 개인정보 노출 원인 및 영향 범위를 확인하기 위한 추가 점검을 진행하고 있습니다.

아울러 관련 시스템의 개인정보 처리 현황 및 보안 취약점을 점검하고, 유사한 사례가 재발하지 않도록 개인정보 보호 및 보안 관리체계를 강화하겠습니다.

이번 사안으로 개인정보가 유출되었을 경우 명의도용, 보이스피싱, 스미싱 등 2차 피해가 발생할 우려가 있습니다.

피해 예방을 위해 출처가 불분명한 전화나 문자메시지, 이메일 등에 주의하시고, 주민등록번호 등 개인정보를 요구하는 의심스러운 연락에는 응하지 않으시기 바랍니다.

개인정보 악용으로 의심되는 전화, 문자메시지, 이메일 등을 받으시거나 기타 궁금하신 사항이 있으시면 아래 담당부서로 연락하여 주시기 바랍니다.
  - 피해 등 접수 담당부서: 한국저작권위원회 등록임치팀
  - 담당부서 연락처: 055-792-0262 (평일 09:00~18:00)
  - 피해 등 접수 이메일: shlee@copyright.or.kr

개인정보 침해로 인한 피해가 발생한 경우 다음 기관을 통해 상담 및 피해구제 등을 신청하실 수 있습니다.
  - 개인정보 침해신고센터: 국번 없이 118
  - 개인정보 분쟁조정위원회: 1833-6972

우리 위원회는 현재 해당 현상의 발생 시점, 개인정보 노출 기간, 영향 범위 및 실제 유출 여부 등을 확인하고 있습니다.

향후 조사 결과 개인정보 유출 사실이 확인되고 유출된 정보주체 및 개인정보 항목이 특정되는 경우, 해당 정보주체에게 관련 사실과 필요한 조치 사항을 추가로 통지하겠습니다.

개인정보 보호와 관련하여 심려를 끼쳐드린 점 깊이 사과드리며, 앞으로 안전한 개인정보 관리와 유사 사례 재발 방지를 위해 최선을 다하겠습니다.

 

□  대응내역  

    - (한국저작권위원회) 신고 접수 당일 긴급점검, 주민등록번호 노출 차단(10월 23일 22:10)
    - (한국저작권위원회) 노출 원인·영향 범위 추가 점검(10월 24일~), 관련 시스템 개인정보 처리 현황·보안 취약점 점검
    - (한국저작권위원회) 저작권 등록시스템 공지와 이용자 이메일로 유출 가능성 통지, 2차 피해 주의 안내
    - (한국저작권위원회) 피해 접수 창구 운영(등록임치팀 055-792-0262, shlee@copyright.or.kr)
    - (한국저작권위원회) 유출이 확정되면 해당 정보주체에게 추가 통지 예정
     ※ 개인정보보호위원회 신고 여부, 노출 기간, 로그 분석 결과(외부 대량 조회 여부)는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 서버 응답(API·JSON·XML)에서 화면에 필요 없는 필드 제거. 민감정보 마스킹·제외는 클라이언트가 아닌 서버 단에서 처리
        - 공개 검색 서비스용 데이터 객체(DTO)를 내부 원장 데이터와 분리하고, 고유식별정보 컬럼은 조회 쿼리에서 제외
        - 주민등록번호 암호화 저장 상태를 점검하고, 복호화 권한을 업무상 꼭 필요한 기능으로만 제한
        - 웹·API 응답에 주민등록번호 패턴이 있는지 자동 점검(DLP, 응답 필터링, 배포 전 보안 테스트) 도입
        - 접속·조회 로그를 분석해 노출 기간 중 대량·자동화 조회가 있었는지 확인하고, 검색 서비스에 조회 빈도 제한 적용

    2. 관리적 조치
        - 개발·유지보수 단계 보안성 검토와 소스코드 점검에 ‘응답 데이터 과다 노출’ 항목 반영
        - 공공 웹서비스 전체를 대상으로 같은 유형(화면 비표시, 응답 포함)이 있는지 전수 점검
        - 노출 기간과 영향 범위가 확정되면 지체 없이 정보주체에게 개별 통지하고 관계기관에 신고
        - 저작권 등록에 주민등록번호 수집이 꼭 필요한지 재검토(생년월일 등 대체수단, 수집 최소화)

□  관련기사(출처)  

• 개인정보 유출 가능성의 통지 - 한국저작권위원회 저작권 등록시스템
• 한국저작권위원회, ‘개인정보 유출 가능성’ 신고 접수 - YTN
• “유명 가수도 등록하는데”…주민번호 노출 가능성에 저작권위 ‘비상’ - 한국경제
• 내 권리 보호하려 저작권 등록했는데…주민번호 노출 우려 - 시사저널
• 저작권 등록정보에서 주민번호 노출 가능성…‘한국저작권위원회’ 긴급 차단 - 한국NGO신문
• 저작권위원회, 등록정보 검색시 ‘주민번호 노출’ 가능성 신고 - 뉴스1

감사합니다.