[시큐브 시큐사인] 보안전문기업 전자계약 서비스 웹서버서 웹쉘 발견…이메일·암호화된 이름·휴대폰·비밀번호 유출, 확인까지 23일_2026년 10월
서버보안 등 정보보호 솔루션을 만드는 코스닥 상장사 시큐브의 전자계약 서비스 '시큐사인(SecuSign)'에서 개인정보가 유출됐다. 내부 보안점검 중 웹서버에서 웹쉘을 발견해 로그를 분석한 결과, 9월 10일 유출된 사실을 23일 뒤인 10월 3일 확인했다. 유출 항목은 이메일과 암호화된 이름·휴대전화번호·비밀번호 등 4개이며, 시큐브는 홈페이지 서비스를 중단하고 보안점검을 진행하고 있다.
□ 개요
㈜시큐브는 '개인정보 유출 사실 통지 및 사과문'을 홈페이지에 게시하고 이용자들에게 문자로 통지해, 전자계약 서비스 '시큐사인'의 개인정보 유출 사실을 알렸다.
사과문에 따르면 시큐브는 내부 보안점검 과정에서 웹서버 내 웹쉘을 발견했고, 관련 로그를 분석하는 과정에서 10월 3일 개인정보 유출 사실을 확인했다. 현재까지 확인된 유출 시점은 9월 10일이다. 유출 항목은 이메일, 이름(암호화), 휴대전화번호(암호화), 비밀번호(암호화) 등 4개로, 실제 영향을 받은 정보의 범위는 정보주체마다 다를 수 있다고 밝혔다.
시큐브는 인지 후 공격에 사용된 것으로 보이는 웹쉘을 즉시 삭제하고 신원미상자가 접속한 IP를 차단했다. 홈페이지 서비스는 중단한 채 보안점검을 수행하고 있으며, 관계 당국에 신고하고 조사에 협조하고 있다. 보안점검 이후에는 2차 피해 방지를 위해 비밀번호 변경을 안내할 예정이다. 잡포스트는 시큐브가 '정보보호 솔루션 개발 및 전자계약서비스'를 범위로 정보보호관리체계(ISMS) 인증을 유지하고 있다고 전했다. 전체 유출 인원, 웹쉘 침투 경로, 계약서·전자서명 데이터 침해 여부는 공개되지 않았다고 보도했다.
□ 사고내용 요약
1. 회사명 : ㈜시큐브(전자계약 서비스 '시큐사인')
2. 사고유형
- 웹서버 웹쉘 설치를 통한 외부 불법 접근 및 회원 개인정보 유출
- 최초 침투 경로·웹쉘 설치 시점·공격 주체는 미공개
3. 유출규모
- 미공개(정보주체별 영향 범위 상이, 추가 조사 중)
4. 유출항목(총 4개)
- 이메일
- 이름(암호화), 휴대전화번호(암호화)
- 비밀번호(암호화)
5. 특이사항
- 서버보안·접근통제 등 정보보호 솔루션 전문기업이 운영하는 서비스에서 발생한 사고로, 운영사는 해당 서비스를 범위에 포함한 ISMS 인증을 유지 중이었음
- 유출(9/10)부터 확인(10/3)까지 23일이 걸렸고, 웹쉘 발견도 실시간 탐지가 아닌 내부 보안점검으로 이뤄져 웹 서버 이상행위 탐지에 공백이 있었던 것으로 보임
- 이름·휴대전화번호·비밀번호는 암호화돼 있었지만 이메일은 평문으로 유출돼, 시큐사인 서명 요청 메일을 사칭한 피싱에 악용될 수 있음
- 전자계약 서비스 특성상 계약서 원문·전자서명 데이터 침해 여부가 핵심이지만 공지에는 포함되지 않아 추가 확인이 필요함
- 공지에 서명요청 등을 가장한 문자 URL 주의를 별도로 안내해, 전자계약 서비스를 사칭한 2차 공격 위험을 인지하고 있음
- 비밀번호 변경 안내를 '보안점검 이후'로 예고해, 다른 사이트에서 같은 비밀번호를 쓰는 이용자는 우선 해당 사이트 비밀번호부터 바꿀 필요가 있음
- 대표이사 명의 사과문에 피해 접수 창구(전화 2개·이메일 2개)와 손해배상·법정손해배상·분쟁조정 등 권리 구제 방법을 구체적으로 안내함
□ 사고대응 타임라인
- 시점 미공개
. 공격자, 시큐사인 웹서버에 웹쉘 설치(침투 경로·설치 시점 미공개)
- 2026년 09월 10일
. 개인정보 유출 발생(현재까지 확인 기준)
- 2026년 10월 03일
. 내부 보안점검 중 웹쉘 발견, 로그 분석으로 개인정보 유출 사실 확인
. 웹쉘 삭제, 접속 IP 차단, 홈페이지 서비스 중단 및 보안점검 착수
- 일자 미공개
. 관계 당국 신고, 홈페이지 사과문 게시 및 이용자 대상 문자 통지
- 2026년 10월 06일
. 잡포스트 보도
- 진행 중
. 추가 조사 및 보안점검, 서비스 재개 일시 별도 공지 예정, 점검 후 비밀번호 변경 안내 예정
□ 개인정보 유출 관련 홈페이지 안내
개인정보 유출 사실 통지 및 사과문
개인정보 유출 사실을 통지해 드리며, 깊이 사과드립니다.
1. 당사는 내부 보안점검 과정에서 웹서버 내 웹쉘을 발견하였고, 관련 로그를 분석하는 과정에서 개인정보 유출 사실을 2026년 10월 3일 확인하였습니다. 현재까지 확인된 바에 따르면 개인정보는 2026년 9월 10일 유출된 것으로 파악됩니다. 현재 추가 조사가 진행 중이며, 추가로 확인되는 사항이 있는 경우 알려 드리도록 하겠습니다.
2. 유출된 개인정보 항목은 이메일, 이름(암호화), 휴대전화번호(암호화), 비밀번호(암호화) 총 4개 항목입니다.
*다만, 실제 영향을 받은 정보의 범위는 정보주체마다 다를 수 있습니다. 추후 확인되면 추가로 안내드리도록 하겠습니다.
3. 유출 사실을 인지한 후 공격에 사용된 것으로 보이는 해당 웹쉘을 즉시 삭제하였으며, 신원미상자가 접속한 해당 IP를 차단하였습니다. 홈페이지 서비스는 중단시킨 상태로 보안 점검을 수행하고 있습니다. 서비스 재개 일시는 별도로 추가 공지하도록 하겠습니다. 또한, 당사는 관계 당국에 본건 사고를 신고하고, 관계 당국의 조사 및 자료 제출 요청에 성실히 협조하고 있습니다.
4. 향후 서비스 보안점검 이후, 이번 사고로 인해 유출된 개인정보를 이용하여 웹사이트 명의도용, 보이스피싱, 파밍 등 혹시 모를 2차 피해를 방지하기 위해 고객님의 비밀번호를 변경하도록 안내드릴 예정이니 적극 협조하여 주시기 바랍니다.
5. 출처가 불분명한 번호의 전화 수신, 문자메시지 내 URL(서명요청 등) 링크 클릭에 각별히 주의해 주시고 당사를 사칭하여 금융 정보 등을 요구하는 행위가 발생할 수 있으니 유의하여 주시기 바랍니다. 또한 개인정보 악용으로 의심되는 전화, 메일 등을 받으시거나 기타 궁금하신 사항은 아래 피해 등 접수 담당부서로 연락해주시기 바랍니다.
피해 등 접수 담당부서
시큐사인 고객센터 02-6261-9299, 02-6261-9325
피해 등 접수 e-메일
master@secusign.co.kr, shlee@secuve.com
6. 개인정보 유출 등으로 인하여 손해를 입으신 경우, 다음과 같은 방법으로 권리를 구제 받으실 수 있습니다.
● 손해배상 청구: 개인정보처리자의 법 위반으로 인하여 손해를 입으신 경우 고의 또는 과실을 입증하지 않고도 손해액을 산정하여 당사를 상대로 민사소송(손해배상청구소송)을 제기하실 수 있습니다.
● 법정손해배상 청구: 개인정보처리자의 고의 또는 과실로 인한 개인정보 유출 등이 인정되는 경우, 고의 또는 과실 및 실제 손해액을 입증하지 않고도 민사소송 절차를 통해 손해배상을 청구하실 수 있습니다.
● 분쟁조정 신청: 개인정보 침해로 인한 분쟁에 대하여 개인정보 분쟁조정위원회에 조정을 신청하실 수 있습니다. kopico.go.kr (1833-6972)
(주)시큐브 대표이사 이규호
□ 대응내역
- (시큐브) 공격에 사용된 것으로 보이는 웹쉘 즉시 삭제 및 신원미상자 접속 IP 차단
- (시큐브) 시큐사인 홈페이지 서비스 중단 및 보안점검 수행(재개 일시 별도 공지 예정)
- (시큐브) 관계 당국 신고 및 조사·자료 제출 협조
- (시큐브) 홈페이지 사과문 게시 및 이용자 대상 문자 개별 통지
- (시큐브) 피해 접수 창구 운영(02-6261-9299, 02-6261-9325 / master@secusign.co.kr, shlee@secuve.com)
- (시큐브) 보안점검 이후 이용자 비밀번호 변경 안내 예정
※ 유출 인원, 웹쉘 침투 경로·설치 시점, 신고 기관·일자, 계약서·전자서명 데이터 침해 여부는 공개되지 않음
□ 재발방지대책(권고사항)
1. 기술적 조치
- 웹서버 파일 무결성 모니터링 및 웹쉘 탐지 솔루션 상시 운영으로 실시간 탐지 체계 구축
- 파일 업로드 기능의 확장자·실행 권한 제한 및 업로드 경로 실행 차단
- 웹방화벽(WAF) 정책 강화 및 웹 취약점 정기 점검·시큐어 코딩 적용
- 이메일 등 평문 저장 항목 암호화 확대 및 비밀번호 일방향 해시(솔트 적용) 여부 확인
2. 관리적 조치
- 유출 인원, 침투 경로, 계약서·전자서명 데이터 침해 여부를 포함한 추가 조사 결과 공개
- 서비스 재개 전 전 회원 비밀번호 강제 재설정 및 다중인증(MFA) 도입
- 시큐사인 서명 요청 메일·알림톡 사칭 피싱 주의 안내 및 정상 발신 채널 공지
- ISMS 인증 범위 내 침해사고 대응 절차 및 로그 분석 체계 재점검
□ 관련기사(출처)
감사합니다.