[아파트너] 360만 세대 아파트 생활 플랫폼 데이터 내보내기 기능 무단 접근으로 입주민 휴대전화번호 유출…12일 만에 인지

[아파트너] 360만 세대 아파트 생활 플랫폼 데이터 내보내기 기능 무단 접근으로 입주민 휴대전화번호 유출…12일 만에 인지_2026년 10월

카테고리 없음

by 경험한사람 2026. 11. 6. 23:45

전국 4,300여 개 단지, 360만 세대가 쓰는 아파트 생활 플랫폼 아파트너에서 2026년 10월 23일 데이터 내보내기(Export) 기능에 외부인이 무단 접근했다. 이 접근으로 일부 이용자의 휴대전화번호가 담긴 파일이 반출됐다. 운영사 두꺼비세상은 12일 뒤인 11월 4일에야 보안 점검 중 이를 발견했고, 11월 6일 입주민에게 문자로 알렸다.

□ 개요

아파트 생활 플랫폼 ‘아파트너’를 운영하는 ㈜두꺼비세상은 2026년 11월 6일 입주민에게 휴대전화번호 유출 사실을 문자로 알렸다. 10월 23일 10시 36분과 14시 41분 두 차례, 외부인이 플랫폼의 데이터 내보내기 기능에 무단 접근해 일부 이용자의 휴대전화번호가 담긴 파일을 반출했다.
회사는 11월 4일 오후 2시쯤 보안 점검 중 이 사실을 발견했다. 유출 뒤 12일 만이다. 회사는 반출 파일에 휴대전화번호만 담겼고, 이름·아파트명·동호수·주민등록번호·계정 비밀번호·금융정보는 포함되지 않았다고 밝혔다. 인지 후 24시간 안에 KISA와 경찰에 신고했고, 공격 IP를 차단하고 관리자 계정을 초기화했다. 11월 셋째 주까지 취약한 웹페이지를 폐쇄하고 보안을 강화할 계획이다. 유출 인원은 공개되지 않았고, 현재까지 피해 사례는 확인되지 않았다. 문자는 11월 6일 17시 17분쯤 발송됐는데, 앱에는 공지가 없어 일부 입주민이 스팸으로 오해하거나 앱 삭제를 고민하는 등 혼란이 있었다. 경기 양주시는 관내 이용 단지 현황조차 파악하지 못해 11월 9일 전 단지에 보안 강화 공문을 보내기로 했다.
아파트너는 관리비 조회, 민원 접수, 방문 차량 등록, 커뮤니티 시설 예약 등을 제공한다. 앞서 10월 28일에는 GS건설의 아파트 커뮤니티 시설 예약 시스템에서도 비슷한 무단 접근으로 입주민 정보가 유출됐다. 아파트 생활 플랫폼이 잇따라 공격받고 있다.

□ 사고내용 요약

1. 회사명 : ㈜두꺼비세상(아파트 생활 플랫폼 ‘아파트너’ 운영사)
2. 사고유형
- 해킹 : 데이터 내보내기(Export) 기능 무단 접근으로 파일 반출
3. 유출규모
- 미공개(일부 이용자)
- 서비스 규모 : 전국 4,300여 개 단지, 가입 세대 360만 이상

4. 유출항목
- 휴대전화번호
※ 이름, 아파트명, 동호수, 주민등록번호, 계정 비밀번호, 금융정보는 미포함(회사 입장)

5. 특이사항
- 유출 후 12일 만에 보안 점검으로 발견
- 데이터 내보내기 기능이 공격 대상. 관리자 계정을 초기화한 것으로 보아 관리자 기능이나 계정이 악용된 것으로 보임(추정)
- 문자로만 알리고 앱 공지가 없어 입주민 혼란(스팸 오인)
- 지자체가 이용 단지 현황도 파악하지 못하는 등 아파트 플랫폼 관리 사각지대가 드러남
- GS건설 아파트 커뮤니티 예약 시스템 유출(10월 28일)에 이은 아파트 플랫폼 사고

□ 사고대응 타임라인

- 2026년 10월 23일(금) 10:36, 14:41
. 데이터 내보내기 기능 무단 접근, 휴대전화번호 파일 반출
- 2026년 11월 04일(수) 14:00경
. 보안 점검 중 유출 사실 인지
- 2026년 11월 05일(목) 이전
. 인지 후 24시간 이내 KISA·경찰 신고, 공격 IP 차단, 관리자 계정 초기화
- 2026년 11월 06일(금) 17:17경
. 입주민 대상 유출 안내 문자 발송, 유출 사실 외부에 알려짐
- 2026년 11월 09일(월) 예정
. (참고) 양주시, 관내 전 단지에 보안 강화 공문 발송
- 2026년 11월 셋째 주 예정
. 취약 웹페이지 폐쇄, 보안 강화

□ 개인정보 유출 관련 안내

< 아파트너 입주민 대상 유출 안내 요약(2026.11.06 문자 안내) >

· 10월 23일 10시 36분과 14시 41분, 외부인이 데이터 내보내기 기능에 무단 접근해 일부 이용자의 휴대전화번호가 담긴 파일을 반출함
· 11월 4일 오후 2시경 보안 점검 과정에서 유출 사실을 인지함
· 이름, 아파트명, 동호수, 주민등록번호, 계정 비밀번호, 금융정보는 포함되지 않음
· 인지 후 24시간 이내 KISA와 경찰에 신고, 공격 IP 차단, 관리자 계정 초기화 완료
· 11월 셋째 주까지 취약 웹페이지 폐쇄 등 보안 강화 예정
· 현재까지 피해 신고나 확인된 피해 사례 없음
· 스팸 문자, 사칭 전화, 의심스러운 URL 클릭에 주의

※ 회사 공지 원문이 확인되지 않아 안내 내용을 요약함

□ 대응내역

- (두꺼비세상) KISA·경찰 신고, 공격 IP 차단, 관리자 계정 초기화
- (두꺼비세상) 입주민 문자 안내, 취약 웹페이지 폐쇄 등 보안 강화 예정(11월 셋째 주)
- (양주시) 관내 전 단지에 보안 강화 공문 발송 예정(11월 9일)
※ 유출 인원, 침투 수법, 개인정보보호위원회 신고 여부, 앱·홈페이지 공지 여부는 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 데이터 내보내기 기능에 권한 검증, 다운로드 승인 절차, 건수 제한 적용
- 관리자(단지 관리사무소) 계정 MFA 의무화와 접속 IP 제한
- 대량 다운로드·내보내기 실시간 알림으로 탐지 지연(12일) 해소
- 내보내기 파일의 개인정보 마스킹

2. 관리적 조치
- 앱 공지와 문자를 함께 활용해 공식 안내 채널 일원화(스팸 오인 방지)
- 단지별 관리자 계정 정기 점검과 퇴직자 계정 회수
- 유출 인원 확인 후 개인정보보호위원회 신고와 공개

□ 관련기사(출처)