[한국벤처캐피탈협회] ‘PHP 보안 취약점 현황 파악' 메일에 개인정보 엑셀 잘못 첨부…회원사 임직원 186명 성명·생년월일·연락처·학력·경력 유출_2026년 10월

한국벤처캐피탈협회가 2026년 10월 28일 회원사에 ‘PHP 보안 취약점 현황 파악 회신양식’ 메일을 보내면서 개인정보가 담긴 엑셀 파일을 잘못 첨부했다. 이로 인해 회원사 임직원 186명의 성명·생년월일·이메일·휴대전화번호·학력·경력이 약 4시간 30분 동안 수신자에게 노출됐다. 외부 해킹이 아닌 직원 과실(이메일 오발송)이며, 보안 점검을 안내하려던 메일이 오히려 유출 통로가 됐다.

□  개요 

   한국벤처캐피탈협회는 2026년 10월 28일 오전 10시 18분쯤 회원사에 ‘PHP 보안 취약점 현황 파악 회신양식’ 메일을 보내면서 개인정보가 담긴 엑셀 파일을 잘못 첨부해 회원사 임직원 186명의 개인정보를 유출했다(머니투데이 단독).
    협회는 10월 21일 보고된 PHP의 치명적 보안 결함에 대응해 회원사 피해를 막으려고 현황 파악을 하던 중이었다. 유출 항목은 성명, 생년월일, 이메일, 휴대전화번호 등 연락처와 학력·경력 사항이다. 휴대전화번호와 학력·경력은 협회가 원래 보유하던 대상자의 것만 포함됐다. 파일은 발송 후 약 4시간 30분 동안 수신자에게 노출됐고, 협회는 같은 날 오후 2시 45분쯤 회원사 제보로 사실을 알았다.
    협회는 28일 수신자에게 메일과 첨부파일 삭제를 요청하고 첨부파일 다운로드를 막았다. 29일부터는 재전송과 저장을 금지하고, 삭제 완료와 제3자 전달 여부를 적은 확인서(서약서)를 받고 있다. 중소벤처기업부에 보고하고 개인정보보호위원회와 한국인터넷진흥원(KISA)에 자진 신고했으며, 30일 개인정보 보호법 제34조에 따라 정보주체에게 유출 통지문을 보내 사과했다. 무단 이용이나 재유포가 확인되면 삭제를 요구하고 법적 조치를 하겠다고 밝혔다. 재발 방지를 위해 배포용 양식과 원자료를 분리하고 발송 전 검수 절차를 두기로 했다.

 

□  사고내용 요약  

    1. 회사명 : 한국벤처캐피탈협회
    2. 사고유형
        - 내부 직원 과실에 따른 이메일 오발송(개인정보 엑셀 파일 잘못 첨부)
        - 외부 해킹 아님
    3. 유출규모
        - 회원사 임직원 186명
        - 노출 시간 : 약 4시간 30분(10월 28일 10:18~14:45경)

    4. 유출항목
        - 성명, 생년월일, 전자우편주소
        - 휴대전화번호, 학력·경력 사항(협회가 기존 보유한 대상자에 한함)

    5. 특이사항
        - 보안 점검(PHP 취약점 현황 파악) 안내 메일이 유출 통로가 된 역설적 사례
        - 9~10월 해킹 사고가 잇따르는 가운데 생긴 관리적(인적) 유출. 기술적 보안과 별개로 업무 절차 통제가 중요함을 보여 줌
        - 회사가 아닌 회원사 제보로 인지함. 발송 전 검수 절차가 없었던 것으로 보임
        - 유출 항목에 학력·경력이 포함됨. 벤처투자 업계 종사자를 노린 투자 권유·채용 제안 사칭 메일(스피어피싱)에 악용될 수 있어 협회도 이를 주의하라고 안내함
        - 수신자에게 삭제 확인서(서약서)를 받는 방식으로 2차 확산을 막고 있음
        - 감독기관(중기부) 보고와 개인정보위·KISA 자진 신고, 이틀 만의 정보주체 통지

□  사고대응 타임라인  

    - 2026년 10월 21일(수) (참고)
        . PHP 치명적 보안 결함 보고, 협회는 회원사 현황 파악에 착수
    - 2026년 10월 28일(수) 10:18경
        . ‘PHP 보안 취약점 현황 파악 회신양식’ 메일에 개인정보 엑셀 파일을 잘못 첨부해 회원사에 발송
    - 2026년 10월 28일(수) 14:45경
        . 회원사 제보로 오발송 인지(노출 약 4시간 30분)
        . 수신자에게 메일·첨부파일 삭제 요청, 첨부파일 다운로드 제한
    - 2026년 10월 29일(목)
        . 재전송·저장 금지, 삭제 완료·제3자 전달 여부 확인서 징구 시작, 미회신자 개별 확인
        . 중소벤처기업부 보고, 개인정보보호위원회·한국인터넷진흥원(KISA) 자진 신고(신고일은 보도상 명확하지 않음)
    - 2026년 10월 30일(금)
        . 개인정보 보호법 제34조에 따른 정보주체 유출 통지·사과
    - 2026년 10월 31일(토)
        . 머니투데이 단독 보도
    - 진행 중
        . 미회신 수신자 개별 확인, 배포용 양식·원자료 분리와 발송 전 검수 절차 마련

□  개인정보 유출 관련 홈페이지 안내  

※ 협회 홈페이지 공지와 정보주체 통지문 원문은 확인하지 못함. 아래는 언론 보도(머니투데이)에 인용된 통지 내용을 요약한 것임.

· 10월 28일 오전 10시 18분경 ‘PHP 보안 취약점 현황 파악 회신양식’ 메일 발송 과정에서 개인정보가 포함된 엑셀 파일이 잘못 첨부돼 회원사 임직원 186명의 개인정보가 유출됨
· 유출 항목 : 성명, 생년월일, 전자우편주소·휴대전화번호 등 연락처, 학력·경력 사항(휴대전화번호와 학력·경력은 기존 보유 대상자에 한함)
· 28일 오후 2시 45분경 회원사 제보로 인지했으며, 수신자에게 메일과 첨부파일 삭제를 요청하고 다운로드를 제한함
· 29일부터 재전송·저장을 금지하고 삭제 완료·제3자 전달 여부 확인서를 받고 있음
· 중소벤처기업부 보고, 개인정보보호위원회·한국인터넷진흥원 자진 신고
· 무단 이용이나 재유포가 확인되면 삭제 요구와 법적 조치를 진행함
· 사칭 연락에 응하지 말고, 투자 권유나 채용 제안을 가장한 출처 불명 링크·첨부파일을 열지 말 것
· 재발 방지 : 배포용 양식과 원자료 분리, 발송 전 검수 절차 마련

 

□  대응내역  

    - (한국벤처캐피탈협회) 수신자 메일·첨부파일 삭제 요청, 첨부파일 다운로드 제한
    - (한국벤처캐피탈협회) 재전송·저장 금지, 삭제 완료·제3자 전달 여부 확인서 징구, 미회신자 개별 확인
    - (한국벤처캐피탈협회) 정보주체 유출 통지·사과(10월 30일), 무단 이용 시 법적 조치 방침
    - (중소벤처기업부) 사고 보고 접수
    - (개인정보보호위원회·한국인터넷진흥원) 자진 신고 접수
     ※ 오발송 수신자 수, 확인서 회수율, 원본 파일이 담당자 PC에 보관된 경위는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 메일 DLP 적용 : 개인정보(생년월일·휴대전화번호 등)가 담긴 첨부파일을 외부로 보낼 때 탐지·차단하거나 승인을 거치게 함
        - 대량 수신자 발송 시 첨부파일 자동 검사와 발송 지연(회수) 기능 활용
        - 개인정보 파일 암호화(비밀번호 설정)를 의무화하고 문서보안(DRM) 적용
        - 첨부 대신 접근권한이 통제된 링크로 공유

    2. 관리적 조치
        - 배포용 양식과 원자료 분리, 발송 전 2인 검수(협회 발표 이행 점검)
        - 회원사 임직원 정보 등 개인정보 파일의 보관 위치·접근권한 관리, 업무 PC 내 개인정보 파일 정기 점검·파기
        - 개인정보 취급자 대상 오발송 사례 교육
        - 유출 대상자 대상 투자·채용 사칭 피싱 주의 안내 지속

□  관련기사(출처)  

• [단독] 벤처캐피탈협회도 ‘개인정보 유출’…해킹 아닌 이메일 오발송 - 머니투데이

감사합니다.