[애자일소다] 더존비즈온 APO 백업서비스 침해로 임직원 고유식별·금융·급여정보 유출 가능성…농협은행 AI 자회사_2026년 11월

NH농협은행의 AI 개발 자회사 애자일소다가 이용하던 ㈜더존비즈온 APO 백업서비스에서 침해사고가 발생했다. 이 사고로 애자일소다의 더존 iCUBE 백업 데이터에 담긴 인적사항·연락처·고유식별정보·금융정보·인사·급여·세무정보·가족·공제정보의 유출 가능성이 제기됐다. 실제 외부 유출 여부는 조사 중이며, 농협은행 측은 고객정보 유출은 없다고 밝혔다.

□  개요 

   주식회사 애자일소다는 2026년 11월 10일 홈페이지에 ‘[안내] (주)더존비즈온 APO 백업서비스 침해사고 관련 개인정보 유출 가능성 안내’를 게시했다. 이용 중인 더존비즈온 APO 백업서비스의 침해사고로, 회사의 더존 iCUBE 백업 데이터가 조사 대상에 포함됐다는 내용이다.
    애자일소다는 NH농협은행이 ‘NH 에이전틱 AI 뱅크’ 전략에 따라 2026년 7월 인수한 AI 개발 자회사다. 11월 5일에는 준법·여신심사·상품 추천 등 은행 핵심 업무 10개 분야의 AI 에이전트 시제품을 선보이기도 했다. 애자일소다는 회계·인사 데이터를 더존 ERP ‘iCUBE’에 저장하고 APO 백업서비스로 백업해 왔다. 백업 데이터에는 인적사항, 연락처, 고유식별정보, 금융정보, 인사·급여·세무정보, 가족·공제정보 등이 포함돼 있었다. 더존비즈온은 백업서비스의 보안 취약점으로 일부 암호화 데이터가 외부로 반출된 정황을 확인했으며, 애자일소다는 10월 28일 이를 통보받았다. 다만 애자일소다 데이터의 실제 외부 반출 여부와 정확한 사고 발생 시점은 확인되지 않았다.
    농협은행 등 주요 고객사 데이터는 이번 조사 범위에 들어가지 않는다. 농협은행 측은 고객정보 유출은 없으며, 애자일소다는 사내에서 해당 더존 프로그램을 더 이상 쓰지 않는다고 밝혔다. AI 알고리즘이나 서비스 인프라가 직접 뚫린 것이 아니라, 외부 백업 도구를 통한 공급망 사고다. 금융그룹이 인수한 스타트업의 기존 외부 서비스가 그룹 보안 관리의 사각지대로 남을 수 있음을 보여준다. 애자일소다는 11월 10일 기준 더존 사태 유출 의심 기관 현황에 신규로 포함됐다. 유출 가능 항목에 고유식별정보와 가족·공제정보가 포함돼, 임직원 본인뿐 아니라 연말정산용으로 등록된 가족 정보까지 영향을 받을 수 있다(추정).

 

□  사고내용 요약  

    1. 회사명 : 주식회사 애자일소다(NH농협은행 자회사)
    2. 사고유형
        - 공급망 해킹 : 위탁 업체(더존비즈온) APO 백업서비스 취약점으로 암호화 데이터 반출 정황
    3. 유출규모
        - 미확인(실제 유출 여부와 대상·범위 조사 중)

    4. 유출항목
        - 더존 iCUBE 백업 데이터 : 인적사항, 연락처, 고유식별정보, 금융정보, 인사·급여·세무정보, 가족·공제정보 등
        ※ 유출 가능성이 있는 항목이며 실제 외부 유출은 미확인, 농협은행 등 고객사 데이터는 조사 범위 밖

    5. 특이사항
        - 금융그룹(NH농협) 자회사의 더존 사태 피해
        - 2026년 7월 인수된 스타트업의 기존 외부 백업서비스를 통한 공급망 사고
        - 더존 통보(10월 28일)부터 공지(11월 10일)까지 약 2주 소요
        - 고유식별정보·가족·공제정보 등 연말정산·급여 관련 민감 항목 포함
        - 11월 10일 기준 더존 사태 유출 의심 기관에 신규 포함

□  사고대응 타임라인  

    - 2026년 07월
        . (참고) NH농협은행, 애자일소다 인수
    - 2026년 10월 16일(금) · 21일(수)
        . (참고) 더존비즈온, 침해사고 확인·KISA 신고
    - 2026년 10월 28일(수)
        . 더존비즈온으로부터 APO 백업서비스 침해사고 통보 수신
    - 2026년 11월 05일(목)
        . (참고) 은행 핵심 업무 AI 에이전트 시제품 공개
    - 2026년 11월 10일(화)
        . 홈페이지에 개인정보 유출 가능성 안내 게시
        . 더존 사태 유출 의심 기관 현황에 신규 포함
    - 진행 중
        . 관계기관·보안전문업체 조사, 실제 유출 여부·대상 확인

□  개인정보 유출 관련 홈페이지 안내  

[안내] (주)더존비즈온 APO 백업서비스 침해사고 관련 개인정보 유출 가능성 안내

안녕하세요. 주식회사 애자일소다입니다.

당사가 이용 중인 (주)더존비즈온의 APO 백업서비스에서 침해사고가 발생함에 따라, 개인정보 유출 가능성 및 관련 사항을 아래와 같이 안내드립니다.

1. 개인정보 유출 가능성 및 항목
당사의 더존 iCUBE 백업 데이터가 이번 침해사고의 조사 대상에 포함되어 있으며, 해당 데이터에는 인적사항, 연락처, 고유식별정보, 금융정보, 인사·급여·세무정보 및 가족·공제정보 등이 포함되어 있습니다.

다만 현재까지 당사 백업 데이터 및 개인정보의 실제 외부 유출 여부는 확인되지 않았으며, 구체적인 대상과 범위는 조사 중입니다.

2. 사고 경위 및 발생 시점
(주)더존비즈온에 따르면, 백업서비스의 보안 취약점으로 인해 일부 암호화된 데이터가 외부로 반출된 정황이 확인되어 조사가 진행 중입니다.

당사는 2026년 10월 28일 관련 사실을 통보받았으며, 정확한 사고 발생 시점 및 당사 데이터의 외부 반출 여부는 현재 확인되지 않았습니다.

3. 피해 예방 안내
개인정보 악용 가능성에 대비하여 출처가 불분명한 이메일 및 문자메시지의 링크 클릭에 주의하시고, 개인정보 또는 금융정보를 요구하는 의심스러운 연락에 유의하여 주시기 바랍니다.

4. 대응 조치 및 피해 구제
(주)더존비즈온은 사고 이후 보안 강화 조치 및 모니터링을 진행하고 있으며, 관계기관 및 보안전문업체를 통한 조사가 진행 중입니다.

당사는 조사 상황을 지속적으로 확인하고 있으며, 개인정보 유출 또는 피해가 의심되는 경우 관련 문의 및 신고를 접수하여 필요한 사항을 안내하겠습니다.

향후 개인정보 유출 또는 피해 사실이 확인될 경우 관계 법령에 따라 필요한 후속 조치 및 피해 구제절차를 안내하겠습니다.

5. 문의 및 추가 안내
본 사고와 관련한 문의, 개인정보 관련 권리 행사 또는 피해 신고는 아래 담당부서로 연락하여 주시기 바랍니다.
· 담당부서: 경영지원실
· 담당자: 안민균
· 이메일: mgahn@agilesoda.ai

향후 조사 결과에 따라 추가로 확인되는 사항이 있을 경우 필요한 조치와 함께 안내드리겠습니다.

감사합니다.

주식회사 애자일소다

 

□  대응내역  

    - (더존비즈온) 보안 강화 조치·모니터링, 관계기관·보안전문업체 조사, 고객사 통보(10월 28일)
    - (애자일소다) 홈페이지 유출 가능성 안내, 피해 예방 수칙 안내, 문의창구(경영지원실) 운영
    - (NH농협은행) 고객정보 유출 없음 확인, 애자일소다의 해당 더존 프로그램 사내 미사용 확인
     ※ 영향 임직원 수, 실제 유출 여부, 개인정보보호위원회 신고 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 외부 백업 데이터를 회사가 직접 관리하는 키로 추가 암호화
        - 사용 중단한 ERP·백업 서비스의 잔존 데이터 파기 요청과 파기 확인서 수령
        - 더존 연동 계정·비밀번호 교체

    2. 관리적 조치
        - (금융그룹) 인수 자회사의 외부 SaaS·백업·레거시 서비스 전수 조사와 그룹 보안 기준 적용
        - 위탁 계약에 침해사고 통지 기한, 조사 결과 공유, 계약 종료 시 데이터 파기 의무 명시
        - 임직원 대상 금융·공공기관 사칭 피싱 주의 안내, 개인정보노출자 사고예방시스템 등록 안내

□  관련기사(출처)  

• [안내] (주)더존비즈온 APO 백업서비스 침해사고 관련 개인정보 유출 가능성 안내 - 애자일소다
• 농협은행 AI 자회사 애자일소다, 외부 백업 서버 침해 노출 - 보안뉴스
• [더존비즈온 사태] 11월10일 유출 의심 기업 현황... 애자일소다·전남정보문화산업진흥원 유출 가능성 - 보안뉴스

감사합니다.