[케이옥션] 더존비즈온 이용 종료(5월) 후에도 남아 있던 백업 데이터 침해…임직원·소득수령자·거래 개인 성명·주민등록번호·계좌번호 유출 가능성_2026년 10월

미술품 경매사 케이옥션은 2026년 5월 1일 더존비즈온의 클라우드 서비스(백업 포함) 이용을 끝냈다. 그런데 10월 28일 더존비즈온으로부터 “이용 종료 후에도 케이옥션 데이터가 백업 서버에 보관돼 있었고, 그 서버에 외부 불법 접근이 있었다”는 통보를 받았다. 유출 가능성이 있는 대상은 2026년 5월 이전 임직원, 대금·소득 수령자, 거래 개인이다. 항목은 성명·주민등록번호(외국인등록번호)·계좌번호·지급 정보 일부다. 케이옥션은 10월 31일 이를 공지했다.

□  개요 

   주식회사 케이옥션은 2026년 10월 31일 오후 5시 30분 ‘[공지] 개인정보 유출 가능성 안내’를 게시했다. 과거 이용한 외부 업체 더존비즈온의 백업 서버에 외부 불법 접근이 있었고, 그 서버에 보관된 케이옥션 데이터 속 개인정보가 유출됐을 수 있다는 내용이다.
    케이옥션은 2026년 5월 1일 더존비즈온의 클라우드 서비스(백업 포함) 이용을 종료했다. 그러나 10월 28일 더존비즈온은 이용 종료 후에도 케이옥션 데이터가 백업 서버에 남아 있었고, 그 서버에 외부 불법 접근이 있었다고 통보했다. 더존비즈온에 따르면 백업 솔루션의 취약점으로 암호화된 일부 데이터가 외부로 반출된 정황이 확인됐다. 정확한 발생 일시는 관계기관이 조사하고 있다. 데이터는 암호화돼 있었고 암호화 키가 유출된 정황은 없으며, 케이옥션이 운영하는 시스템에도 침해 정황이 없다.
    유출 가능성이 있는 대상은 2026년 5월 이전에 케이옥션에서 근무했거나, 대금 또는 소득(사업·기타·이자소득)을 받았거나, 케이옥션과 거래한 개인이다. 항목은 성명, 주민등록번호(외국인등록번호), 계좌번호, 지급 정보 일부다. 케이옥션은 더존비즈온에 사실관계 확인과 조사 결과 공유를 요청했다. 해당 데이터는 현재 더존비즈온이 분리 보관하고 있으며, 조사가 끝나면 복구할 수 없게 파기하고 그 결과를 확인할 예정이다. 비건뉴스는 공지가 이용 종료 후 데이터가 왜 보관됐는지, 종료 당시 삭제를 요청하거나 확인했는지는 설명하지 않았다고 지적했다.

 

□  사고내용 요약  

    1. 회사명 : 주식회사 케이옥션(과거 수탁사 : ㈜더존비즈온)
    2. 사고유형
        - 계약이 끝난 외부 업체(더존비즈온) 백업 서버에 남아 있던 데이터에 외부 불법 접근, 암호화 데이터 일부 반출 정황(공급망·위탁형)
        - 백업 솔루션 취약점을 통한 침해, 케이옥션 자체 시스템 침해는 아님
    3. 유출규모
        - 미확정(대상 인원 미공개)

    4. 유출항목(유출 가능성)
        - 대상 : 2026년 5월 이전 임직원, 대금 또는 소득(사업·기타·이자소득) 수령자, 거래 개인
        - 항목 : 성명, 주민등록번호(외국인등록번호), 계좌번호, 지급 정보 중 일부
        ※ 데이터는 암호화 상태, 암호화 키 유출 정황 없음

    5. 특이사항
        - 이용 종료(2026년 5월 1일) 후에도 데이터가 공급사 백업 서버에 남아 있었음. 위탁 종료 시 데이터 반환·파기 관리의 허점이 드러남
        - 대상에 사업·기타·이자소득 수령자가 포함됨. 미술품 위탁자·작가 등 경매 대금·소득 지급 대상자일 가능성(추정)
        - 주민등록번호와 계좌번호가 함께 포함돼 명의도용·금융사기 위험이 큼
        - 공지에 더존비즈온 원 공지(10월 23일 ‘개인정보 유출 가능성 및 침해사고 공지’)를 참고처로 명시함
        - 더존비즈온이 해당 데이터를 분리 보관 중이며, 조사 후 복구 불가능하게 파기하고 결과를 확인하겠다고 밝힘
        - 더존비즈온 고객사 공지 확산 : 천안충무병원, 창비·창비교육, KLPGA, 재원푸드, 위드유, 참존오토모티브, 펫닥, 국립박물관단지, 춘천문화재단 등

□  사고대응 타임라인  

    - 2026년 05월 01일(금)
        . 케이옥션, 더존비즈온 클라우드 서비스(백업 포함) 이용 종료(데이터는 백업 서버에 남아 있었음)
    - 시점 미상
        . 더존비즈온 백업 서버에 백업 솔루션 취약점을 통한 외부 불법 접근, 암호화 데이터 일부 반출
    - 2026년 10월 23일(금)
        . 더존비즈온, ‘개인정보 유출 가능성 및 침해사고 공지’ 게시(피해 서버 강제 종료, 해외 IP 차단, KISA 신고)
    - 2026년 10월 28일(수)
        . 케이옥션, 이용 종료 후 데이터 보관 사실과 불법 접근을 더존비즈온으로부터 통보 받음
    - 2026년 10월 31일(토) 17:30
        . ‘[공지] 개인정보 유출 가능성 안내’ 게시
    - 2026년 11월 01일(일)
        . 비건뉴스 보도
    - 진행 중
        . 더존비즈온 분리 보관, 조사 후 파기와 결과 확인 예정

□  개인정보 유출 관련 홈페이지 안내  

[공지] 개인정보 유출 가능성 안내
게시일 2026-10-31 오후 5:30

안녕하십니까, 케이옥션입니다.

당사가 과거 이용한 외부 업체(주식회사 더존비즈온)의 백업 서버에 외부의 불법 접근이 있었다는 통보를 받았습니다.
이 서버에 보관돼 있던 당사 데이터에 포함된 개인정보가 유출되었을 가능성이 있어, 「개인정보 보호법」에 따라 안내드립니다.

이 안내는 유출이 확정되었다는 의미가 아니라, 피해를 예방하기 위해 유출 가능성을 미리 알려드리는 것입니다.
개별 연락이 어려운 분들께는 이 공지로 대신합니다.

걱정을 끼쳐 드려 진심으로 죄송합니다.

1. 유출 의심 시점 및 경위
- 당사는 2026년 5월 1일 더존비즈온의 클라우드 서비스(백업 서비스 포함) 이용을 종료하였습니다.
- 2026년 10월 28일 더존비즈온으로부터 “이용 종료 이후에도 당사 데이터가 백업 서버에 보관되어 있었고, 해당 서버에 외부의 불법 접근이 있었다”는 통보를 받았습니다.
- 더존비즈온에 따르면 백업 솔루션의 취약점을 통해 암호화된 일부 데이터가 외부로 반출된 정황이 확인되었으며, 정확한 발생 일시는 관계기관이 조사하고 있습니다.
- 해당 데이터는 암호화된 상태였고, 암호화 키가 유출된 정황은 발견되지 않았습니다.
- 당사가 운영하는 시스템에는 침해 정황이 없습니다.
※ 자세한 내용은 더존비즈온 공지를 참고해 주십시오. (www.douzone.com > 공지사항 > 「개인정보 유출 가능성 및 침해사고 공지」, 2026.10.23.)

2. 유출 가능성이 있는 개인정보의 대상 및 항목
- 대상: 2026년 5월 이전 당사에서 근무하셨거나, 당사로부터 대금 또는 소득(사업·기타·이자소득)을 지급받으셨거나, 당사와 거래하신 개인
- 항목 : 성명, 주민등록번호(외국인등록번호), 계좌번호, 지급 정보 중 일부

3. 당사의 대응 조치
- 더존비즈온에 사실관계 확인과 조사 결과 공유를 요청하였습니다.
- 해당 데이터는 현재 더존비즈온이 분리 보관 중이며, 조사가 끝나면 복구할 수 없도록 파기하고 그 결과를 확인할 예정입니다.

4. 피해 예방을 위해 하실 수 있는 조치
- 사칭 연락 주의: 당사, 더존비즈온, 금융기관, 공공기관을 사칭해 개인정보나 금전을 요구하는 전화·문자·메일에는 응하지 마시고, 출처가 불분명한 링크나 첨부파일은 열지 마십시오. 당사는 전화나 문자로 비밀번호, 인증번호, 계좌·카드번호를 요구하지 않습니다.
- 명의도용 방지: 금융감독원 「개인정보노출자 사고예방시스템」(pd.fss.or.kr)에 등록하시면 본인 명의의 신규 계좌 개설과 카드 발급이 제한됩니다.
- 휴대전화 개통 차단: 한국정보통신진흥협회 「명의도용 방지 서비스(M-Safer)」(www.msafer.or.kr)에서 본인 명의 휴대전화 개통을 확인하고 막을 수 있습니다.
- 계좌 확인: 금융결제원 「계좌정보 통합관리 서비스」(www.payinfo.or.kr)에서 본인 명의 계좌를 확인하시고, 이상 거래가 의심되면 거래 은행에 바로 지급정지를 요청하십시오.

5. 피해 구제 절차
이번 일로 피해가 발생했거나 의심되면 아래 문의처로 연락해 주십시오. 사실관계를 확인한 뒤 관계 법령에 따라 피해 구제 절차를 안내해 드리겠습니다. 아래 기관에서도 상담과 신고를 하실 수 있습니다.
- 개인정보침해 신고센터: 국번 없이 118 / privacy.kisa.or.kr
- 개인정보 분쟁조정위원회: 1833-6972 / www.kopico.go.kr

6. 문의
- IT팀 / 02-3479-5859 / privacy@k-auction.com (평일 09:00~18:00)

다시 한번 걱정을 끼쳐 드려 진심으로 죄송합니다.

2026년 10월 31일
주식회사 케이옥션

 

□  대응내역  

    - (더존비즈온, 과거 수탁사) 피해 서버 강제 종료, 해외 IP 차단, KISA 신고, 케이옥션 데이터 분리 보관, 조사 후 파기 예정
    - (케이옥션) 유출 가능성 사전 안내(개별 연락이 어려운 대상자는 공지로 대신)
    - (케이옥션) 더존비즈온에 사실관계 확인·조사 결과 공유 요청, 파기 결과 확인 예정
    - (케이옥션) 명의도용·휴대전화 개통 차단·계좌 확인 서비스 안내, 문의 창구(IT팀 02-3479-5859)
     ※ 대상 인원, 이용 종료 후 데이터를 보관한 사유, 종료 시 삭제 요청·확인 여부, 개인정보보호위원회 신고 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 외부 백업·클라우드 데이터는 고객사 자체 키로 암호화해, 계약 종료 후 키를 폐기하면 남은 데이터도 쓸 수 없게 함(Crypto-shredding)
        - (공급사) 해지 고객 데이터 자동 파기 체계와 파기 기록 관리
        - (공급사) 백업 솔루션 취약점 패치, 백업서버 외부 노출 최소화

    2. 관리적 조치
        - 위탁 계약 종료 시 데이터 반환·파기를 계약 조항으로 명시하고 파기 확인서 징구(개인정보 보호법상 수탁자 관리·감독)
        - 과거 이용했던 외부 서비스의 데이터 잔존 여부 전수 점검(종료된 SaaS 포함)
        - 유출이 확정되면 개별 통지하고 관계기관 신고
        - 위탁자·작가 등 대금 수령자 대상 사칭 연락 주의 안내

□  관련기사(출처)  

• [공지] 개인정보 유출 가능성 안내 - 케이옥션
• 더존 이용 끝낸 케이옥션, 백업은 남아 있었다…개인정보 유출 가능성 안내 - 비건뉴스
• 개인정보 유출 가능성 및 침해사고 공지(2026.10.23) - 더존비즈온

감사합니다.