[메크로스] 관리자 계정 탈취로 마케팅 동의자 개인정보(CI 포함) 유출_2026년 08월
디지털 마케팅 대행사 메크로스에서 외부 공격자가 회사 통합관리자 시스템 계정을 탈취해 마케팅 수신 동의자 명단을 다운로드하는 개인정보 유출 사고가 발생했다. 유출 항목에는 이름·생년월일·성별·휴대폰번호와 함께 CI(연계정보)가 포함돼, 금융정보가 없더라도 정보 결합에 따른 맞춤형 사칭 범죄 우려가 제기된다.
□ 개요
메크로스는 2026년 8월 26일 개인정보 유출 사고 안내를 통해 외부 공격자가 회사 통합관리자 시스템의 계정을 탈취해 마케팅 수신 동의자 명단을 외부로 다운로드한 사실을 확인했다고 밝혔다.
회사 측에 따르면 정보가 유출된 시점은 지난 22일부터 23일까지이며, 24일 로그 정밀 분석 과정에서 사고 사실을 확인했다. 이번 사고의 대상은 메크로스가 과거 이벤트 참여 과정에서 마케팅 수신에 동의한 이용자들이다. 유출된 정보는 이름, 생년월일, 성별, 휴대폰번호, CI, 접속 IP 등이며, 계정 비밀번호나 카드번호·계좌번호 등 금융정보는 애초 수집되지 않아 유출 대상에 포함되지 않았다.
금융정보가 빠졌다고 해서 안심할 수는 없다는 게 업계 시각이다. 이름과 생년월일, 휴대폰번호가 결합된 개인정보는 사칭 범죄에 활용될 수 있는 핵심 정보이며, 공격자가 피해자의 이름과 생년월일을 정확히 알고 접근할 경우 실제 금융기관·공공기관 연락으로 착각할 가능성이 높아진다. CI는 그 자체만으로 통신·금융서비스 신규 가입에 사용되는 정보는 아니며, 실제 가입 과정에서는 별도 본인확인 절차가 필요하다고 회사는 설명했다.
이번 사고에서 주목할 대목은 공격자가 개별 이용자 계정을 직접 공격한 것이 아니라 기업의 관리자 시스템 계정을 탈취해 대량 명단을 확보했다는 점이다. 회사는 관련 조사 및 절차가 마무리되는 대로 보유 중인 마케팅 수신 동의자 개인정보를 파기하고, 이후에는 이용자 응대에 필요한 최소한의 정보만 제한적으로 보관하겠다고 밝혔다.
□ 사고내용 요약
1. 회사명 : 메크로스(디지털 마케팅 대행사)
2. 사고유형
- 통합관리자 시스템 계정 탈취를 통한 대량 명단 다운로드 사고
- 마케팅 수신 동의자 개인정보 유출 사고
3. 유출규모
- 미공개(과거 이벤트 참여 및 마케팅 수신 동의자 대상, 정확한 인원 미확정)
4. 유출항목
- 이름, 생년월일, 성별
- 휴대폰번호
- CI(연계정보)
- 접속 IP
※ 계정 비밀번호, 카드번호·계좌번호 등 금융정보는 애초 미수집으로 유출 대상 아님
5. 특이사항
- 개별 이용자 계정이 아닌 회사 통합관리자 계정이 탈취된 사고로, 한 계정 침해로 다수 이용자 정보가 한꺼번에 유출됨
- 이름·생년월일·휴대폰번호·CI 등이 결합된 형태로 유출돼, 개별 정보 유출보다 맞춤형 사칭 범죄 위험이 큼
- 침해 발생(8월 22~23일)과 인지(8월 24일) 사이 비교적 신속하게 탐지
- 이벤트·마케팅 동의 과정에서 확보한 정보도 기업의 핵심 보안자산으로 관리해야 한다는 점을 재확인한 사례
- 회사는 관련 절차 완료 후 보유 개인정보를 파기하고 이후 최소한의 정보만 제한 보관하겠다고 공지
- "유출 사실을 알고 있다는 듯" 접근하는 2차 피싱(보상 대상자 선정 등 사칭)에 대한 각별한 경계 필요
□ 사고대응 타임라인
- 2026년 08월 22일~23일
. 외부 공격자, 통합관리자 시스템 계정 탈취 후 마케팅 수신 동의자 명단 다운로드(침해 발생)
- 2026년 08월 24일
. 로그 정밀 분석 과정에서 사고 사실 확인(사고 인지)
- 2026년 08월 24일 이후
. 침해 계정 접근 즉시 차단 및 관리자 계정 전반 보안 설정 강화
. 관리자 페이지 외부 IP 접속 차단 및 무차별 대입 공격 차단 조치
. 마케팅 수신 동의자 리스트 다운로드 기능 삭제
. 화면 조회 시 개인정보 비식별 처리 적용
. 관리자 접속 2차 인증(OTP) 보강 및 접근통제 강화
. 개인정보보호위원회·한국인터넷진흥원(KISA) 즉시 신고
- 2026년 08월 26일
. 회사 공식 안내(홈페이지) 및 언론(스마트비즈) 보도를 통한 사고 사실 공개
□ 개인정보 유출 관련 홈페이지 안내
□ 개인정보 유출 사고 안내
안녕하십니까. ㈜메크로스입니다.
당사가 보유한 마케팅 수신 동의자의 개인정보가 관리자 시스템에 대한 외부의 불법적인 침해로 인해 유출된 사실이 확인되었습니다. 이용자 여러분께 깊은 사과의 말씀을 드리며, 개인정보 보호법 제34조에 따라 다음과 같이 안내드립니다.
※ 본 안내는 당사 이벤트 참여 과정에서 마케팅 수신에 동의하신 분을 대상으로 하며, 당사가 보유한 마케팅 수신 동의자의 개인정보는 관련 조사 및 절차가 마무리되는 대로 파기하며, 이후에는 사용자 응대에 필요한 최소한의 정보만 제한적으로 보관하겠습니다.
1. 유출된 개인정보 항목
이름, 생년월일, 성별, 휴대폰번호, CI(연계정보), 접속 IP
2. 유출 시점 및 경위
유출 시점 : 2026년 8월 22일 ~ 8월 23일
경위 : 당사 통합관리자 시스템의 계정이 외부 공격자에 의해 탈취되어, 해당 계정을 통해 마케팅 수신 동의자 명단이 외부로 다운로드되었습니다. 당사는 8월 24일 로그 정밀 분석 과정에서 개인정보 유출 사실을 확인하였습니다.
3. 이용자께서 하실 수 있는 피해 최소화 방법
유출된 정보를 악용한 스팸문자, 스미싱, 보이스피싱 등 2차 피해를 예방하기 위해 아래 사항에 유의하여 주시기 바랍니다.
- 출처가 불분명한 문자·이메일·전화 및 링크(URL)에 응답하거나 클릭하지 마십시오.
- 이름·생년월일 등 개인정보를 정확히 언급하며 접근하는 경우에도 사칭 가능성을 의심하시고, 금융기관·공공기관을 사칭한 연락에 특히 주의하시기 바랍니다.
- 의심스러운 연락은 응대하지 마시고, 해당 기관의 공식 대표번호로 직접 사실 여부를 확인하시기 바랍니다.
- 스팸·스미싱 의심 문자는 휴대전화 스팸 차단 기능으로 차단하시고, 불법스팸대응센터(국번없이 118)에 신고하실 수 있습니다.
- 2차 피해가 발생하거나 의심되는 경우 경찰청(112) 또는 한국인터넷진흥원(국번없이 118)에 신고하시기 바랍니다.
4. 당사의 조치 사항
- 침해 계정에 대한 접근을 즉시 차단하고, 관리자 계정 전반의 보안 설정을 강화하였습니다.
- 관리자 페이지에 대한 외부 IP 접속을 차단하고, 무차별 대입 공격 차단 조치를 적용하였습니다.
- 유출 경로가 된 마케팅 수신 동의자 리스트 다운로드 기능을 삭제하고, 화면 조회 시 개인정보에 대한 비식별 처리를 적용하였습니다.
- 관리자 접속에 대한 2차 인증(OTP)을 보강하고 접근통제를 강화하였습니다.
- 개인정보보호위원회 및 한국인터넷진흥원(KISA)에 유출 사실을 즉시 신고하였습니다.
5. 문의 및 접수 창구
본 사고와 관련한 문의사항 및 피해 접수는 아래 창구로 연락 주시기 바랍니다.
https://www.mecross.net/privacy_breach
㈜메크로스
□ 대응내역
- 침해에 이용된 계정 접근 즉시 차단 및 관리자 계정 전반 보안 설정 강화
- 관리자 페이지 외부 IP 접속 차단, 무차별 대입 공격 방지 조치 적용
- 유출 경로가 된 명단 다운로드 기능 삭제
- 개인정보 화면 조회 시 비식별 처리 적용
- 관리자 접속 OTP 2차 인증 및 접근통제 강화
- 개인정보보호위원회·KISA 즉시 신고
- 관련 절차 완료 후 보유 개인정보 파기 예정(이후 최소 정보만 제한 보관)
- 전용 피해 접수 창구(mecross.net/privacy_breach) 운영
- 스미싱·보이스피싱 등 2차 피해 주의 안내
□ 재발방지대책(권고사항)
1. 기술적 조치
- 관리자 계정 다중인증(MFA/OTP) 전면 의무화
- 관리자 페이지 접근 IP 화이트리스트 운영 및 무차별 대입 공격 방지
- 대량 다운로드 기능에 대한 접근통제·승인절차 및 로그 모니터링 강화
- 개인정보 화면 조회 시 비식별·마스킹 처리 상시 적용
- 정기 취약점 점검 및 모의해킹 수행
2. 관리적 조치
- 마케팅·이벤트 목적 수집 개인정보에 대해서도 핵심 보안자산 수준의 관리체계 적용
- 개인정보 접근 가능 인력·시스템 최소화 원칙 강화
- 마케팅 동의 데이터의 목적 달성 후 정기 파기 및 보관기간 재점검(이번 사고 계기 파기 계획 이행)
- 침해사고 대응 매뉴얼 정례화 및 신속 신고·통지 체계 유지
- 2차 피싱(유출 사실 악용 사칭) 예방을 위한 지속적 이용자 안내
□ 관련기사(출처)
감사합니다.