[SM브랜드마케팅] 전자결재시스템 등 업무 시스템 비인가 접근으로 주민등록번호·계좌번호·계약서 정보 유출…SM 그룹 4개사 연쇄 피해_2026년 11월

SM 계열사 에스엠브랜드마케팅의 업무 시스템(전자결재시스템 등)에 2026년 11월 4일경 외부 공격자가 비인가 방식으로 접근해, 보관 중이던 문서 파일을 외부로 빼냈다. 유출 항목은 이름·휴대전화번호·주소·계좌번호·주민등록번호·소속·계약서 기재 정보다. 이로써 에스엠엔터테인먼트·디어유·드림메이커엔터테인먼트에 이어 SM 그룹 피해 회사가 4곳으로 늘었다.

□  개요 

   ㈜에스엠브랜드마케팅은 홈페이지 팝업으로 ‘개인정보 유출 사고에 관한 사과 및 안내 말씀’을 공지했다. 외부 공격자가 비인가된 방식으로 회사 업무 시스템(전자결재시스템 등)에 접근해 보관 중이던 일부 문서 파일을 외부로 유출했다는 내용이다.
    회사는 내부 보안 모니터링 과정에서 사고를 확인했고, 유출 발생 시점은 11월 4일경이다. 유출 항목은 이름, 휴대전화번호, 주소, 계좌번호, 주민등록번호, 소속(부서·직위·직책), 계약서 내 기재 정보 등 일부이며 대상자별로 다르다. 유출 인원은 공개되지 않았다. 회사는 대상자와 항목을 특정해 이메일·문자로 개별 통지를 순차 진행하고 있다. 사고를 인지하자마자 공격에 쓰인 IP와 접근 경로를 전면 차단하고 비인가 접근 키를 교체했으며, 관계당국과 함께 사고 경위를 조사하고 있다.
    같은 시기 모회사 에스엠엔터테인먼트(11월 6일 공지), 팬 플랫폼 계열사 디어유, 공연기획 계열사 드림메이커엔터테인먼트도 같은 업무 시스템에서 문서가 유출됐다. 에스엠브랜드마케팅의 공지는 발생 시점, 유출 항목, 대응 조치까지 에스엠·드림메이커 공지와 같다. 계열사들이 함께 쓰는 그룹 전자결재 시스템 하나가 뚫려 피해가 계열사 전반으로 번진 것으로 보이며, 피해 회사가 더 늘어날 가능성이 있다(추정). 유출 항목에 계약서 기재 정보와 계좌번호가 포함된 것으로 보아, 임직원뿐 아니라 거래처·협력사 등 계약 당사자 정보도 포함됐을 가능성이 있다(추정).

 

□  사고내용 요약  

    1. 회사명 : ㈜에스엠브랜드마케팅
    2. 사고유형
        - 해킹 : 업무 시스템(전자결재시스템 등) 비인가 접근과 문서 파일 외부 유출
    3. 유출규모
        - 미공개

    4. 유출항목
        - 이름, 휴대전화번호, 주소, 계좌번호, 주민등록번호, 소속(부서/직위/직책), 계약서 내 기재 정보 등 일부
        ※ 대상자별로 유출 항목 상이

    5. 특이사항
        - SM 그룹 4개사 피해 : 에스엠엔터테인먼트, 디어유, 드림메이커엔터테인먼트, 에스엠브랜드마케팅
        - 발생 시점·유출 항목·대응 조치가 에스엠·드림메이커 공지와 같음
        - 공지에 ‘비인가 접근 키 교체’가 명시돼 있어, 접근 키 탈취·오남용이 침입 경로일 가능성(추정)
        - 계약서 정보 유출로 거래처·협력사 정보와 계약 조건 노출 우려(추정)
        - 대응 전담 부서 : 경영지원본부 총무실

□  사고대응 타임라인  

    - 2026년 11월 04일(수)경
        . 외부 공격자가 업무 시스템(전자결재시스템 등)에 비인가 접근해 문서 파일 유출
        . 에스엠·디어유·드림메이커도 같은 시기 피해
    - 사고 인지 직후
        . 공격 IP·접근 경로 전면 차단, 비인가 접근 키 교체
        . 관계당국과 사고 경위 조사, 대상자 개별 통지(이메일·문자) 순차 진행
    - 2026년 11월 06일(금)
        . (참고) 모회사 에스엠엔터테인먼트, 유출 사과·안내문 게시
    - 2026년 11월 08일(일) 전후
        . 에스엠브랜드마케팅, 홈페이지 팝업으로 유출 공지
    - 진행 중
        . 정부 당국·외부 전문기관과 정밀 조사, 보안체계 점검 예정

□  개인정보 유출 관련 홈페이지 안내  

개인정보 유출 사고에 관한 사과 및 안내 말씀

안녕하십니까, ㈜에스엠브랜드마케팅 입니다.
당사는 최근 내부 보안 모니터링 과정에서 외부 공격자가 비인가된 방식으로 당사 업무 시스템(전자결재시스템 등)에 접근하여 보관 중이던 일부 문서 파일을 외부로 유출한 사실을 확인하였습니다.

현재 당사는 관계당국과 함께 정확한 사고 경위를 면밀히 조사하고 있으며, 이번 사고로 심려를 끼쳐드리게 된 점 진심으로 사과드립니다.

다음과 같이 본 사안의 경위와 대응 현황 및 2차 피해 예방을 위한 안내사항을 알려드립니다.

1. 유출된 개인정보 항목 및 발생 시점
· 유출 발생 시점: 2026년 11월 4일경
· 유출 항목: 이름, 휴대전화번호, 주소, 계좌번호, 주민등록번호, 소속(부서/직위/직책), 계약서 내 기재 정보 등 일부
※ 대상자별로 유출된 구체적인 항목은 상이하며, 현재 정확한 대상자 및 항목을 특정하여 개별 통지(이메일 또는 문자 등)를 순차적으로 진행하고 있습니다.

2. 당사의 대응 조치
당사는 사고 인지 즉시 공격에 사용된 IP와 접근 경로를 전면 차단하고, 해당 비인가 접근 키를 교체하는 등 추가적인 공격 및 정보 유출을 차단하였습니다. 이와 함께 정부 당국 및 외부 전문기관과의 협력을 통한 정밀 조사, 보안체계 점검 등 피해를 방지하기 위해 필요한 추가 조치를 시행할 예정입니다.

3. 2차 피해 예방 안내
현재까지 유출된 개인정보가 악용된 2차 피해 사례는 확인되지 않았으나, 보이스피싱이나 스미싱 등 혹시 모를 피해를 예방하기 위해 아래 사항에 유의하여 주시기를 당부드립니다.
· 당사 또는 관계자를 사칭하여 금전 요구, 개인·금융정보 확인 등을 요청하는 전화, 문자, 이메일에 각별히 주의하여 주시기 바랍니다.
· 출처가 불분명한 문자 메시지나 이메일 내 인터넷 주소(URL) 클릭 및 첨부파일 실행을 자제하여 주시기 바랍니다.

4. 피해구제 및 문의처
본 사안과 관련하여 문의 사항이 있으시거나 피해가 의심되는 경우, 아래 전담 창구로 연락하여 주시면 신속하게 안내드리겠습니다.
· 담당 부서: 경영지원본부 총무실
· 이메일: dmkim76@smtown.com

이번 사고로 인하여 손해를 입으신 경우, 「개인정보 보호법」 제39조에 따른 손해배상 및 제39조의2에 따른 법정손해배상을 청구하실 수 있으며, 개인정보 분쟁조정위원회(www.kopico.go.kr / 1833-6972)에 분쟁조정을 신청하실 수 있습니다.

당사는 이번 사고를 매우 엄중하게 받아들이고 있으며, 사내 시스템의 접근 제어 및 보안 모니터링을 한층 강화하고, 철저한 원인 규명과 보안 체계 개선을 통해 유사 사고가 재발하지 않도록 최선의 노력을 다하겠습니다.

다시 한번 진심으로 사과드립니다.

 

□  대응내역  

    - (에스엠브랜드마케팅) 공격 IP·접근 경로 전면 차단, 비인가 접근 키 교체
    - (에스엠브랜드마케팅) 관계당국과 사고 경위 조사, 정부 당국·외부 전문기관과 정밀 조사·보안체계 점검 예정
    - (에스엠브랜드마케팅) 홈페이지 팝업 공지, 대상자 개별 통지, 전담 창구(경영지원본부 총무실) 운영
    - (에스엠엔터테인먼트·디어유·드림메이커엔터테인먼트) 동일 조치, 대상자 개별 통지
     ※ 유출 인원, 접근 키 탈취 경위, 공격 주체, 신고 기관, 전체 피해 계열사 범위는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 그룹 공용 전자결재 시스템의 계열사별 데이터 분리와 접근권한 최소화
        - 시스템 연동 접근 키·API 토큰 전수 교체와 주기적 갱신, 하드코딩된 키 제거
        - 계약서 등 주민등록번호·계좌번호 포함 첨부파일 암호화와 마스킹
        - 전자결재 첨부파일 대량 다운로드·비정상 IP 접근 탐지

    2. 관리적 조치
        - 거래처·협력사 계약 시 수집하는 개인정보 최소화와 보존기간 경과 문서 파기
        - 그룹 차원의 통합 침해대응 체계와 피해 계열사 전수 확인
        - 개인 메일이 아닌 전용 개인정보 문의 창구(대표 메일) 운영
        - 거래처·협력사 대상 사칭 연락 주의 안내

□  관련기사(출처)  

• 개인정보 유출 사고에 관한 사과 및 안내 말씀(팝업) - 에스엠브랜드마케팅
• (참고) [단독] 디어유, 임직원 개인정보 유출…모회사 SM도 털렸다 - 디지털데일리
• (참고) 개인정보 유출 사고에 관한 사과 및 안내 말씀 - 에스엠엔터테인먼트

감사합니다.