[웅진컴퍼스(놀이의발견)] 관리 시스템(백오피스) 해킹으로 회원 6만 7천 명 닉네임·휴대전화번호·이메일 유출_2026년 10월

웅진씽크빅 계열사 웅진컴퍼스가 운영하는 키즈·가족 여가 플랫폼 '놀이의발견'의 서비스 관리 시스템(백오피스)에 외부 비인가자가 무단 접속해 회원 약 6만 7천 명의 닉네임·휴대전화번호·이메일 주소를 조회했습니다. 침해는 2026년 10월 18일 18시 45분경부터 19일 0시 50분경까지 약 6시간 이어졌으며, 회사는 KISA·개인정보보호위원회에 신고하고 경찰에 수사를 의뢰했습니다.

□  개요 

   웅진컴퍼스는 2026년 10월 21일 공지를 통해 외부 비인가자가 '놀이의발견' 서비스 관리 시스템에 불법 접근해 회원정보를 조회한 사실을 확인했다고 밝혔습니다.
    침해는 10월 18일 오후 6시 45분경부터 19일 오전 0시 50분경까지 이어졌고, 회사는 19일 오전 이상 징후를 감지해 접근을 차단했습니다. 유출 항목은 닉네임, 휴대전화번호, 이메일 주소이며 피해 규모는 약 6만 7천 명으로 전체 회원 약 230만 명의 2.9% 수준입니다. 회사는 비밀번호와 결제정보는 유출되지 않았다고 밝혔습니다.
    놀이의발견은 가족 단위 놀이·체험 플랫폼이라 피해자 상당수가 학부모일 것으로 보입니다. 웅진북클럽 회원이 이 플랫폼에서 포인트를 쓸 수 있어 웅진씽크빅 고객 서비스와도 연결돼 있습니다. 웅진 측은 별도 서버에서 일어난 사고로 그룹 IT 관리 시스템과는 무관하다고 설명했습니다. 웅진컴퍼스는 관리자 계정에 2차 인증(MFA)을 적용하는 등 보안을 강화하겠다고 밝혔습니다.

 

□  사고내용 요약  

    1. 회사명 : 웅진컴퍼스(웅진씽크빅 계열사) – 키즈·가족 여가 플랫폼 '놀이의발견'
    2. 사고유형
        - 외부 비인가자의 서비스 관리 시스템(백오피스) 무단 접속 및 회원정보 조회
    3. 유출규모
        - 회원 약 6만 7천 명(전체 회원 약 230만 명의 약 2.9%)
    4. 유출항목
        - 닉네임, 휴대전화번호, 이메일 주소(비밀번호·결제정보는 미포함, 회사 설명)

    5. 특이사항
        - 일반 서비스가 아닌 관리자용 백오피스가 뚫려, 관리자 권한으로 회원정보가 조회됨
        - 침해가 휴일 저녁~자정 이후(약 6시간 5분) 이어졌고, 다음 날 오전에야 이상 징후를 감지
        - 사고 후에야 관리자 계정에 2차 인증(MFA) 적용 예정으로, 관리 시스템에 대한 외부 접속 통제·다중 인증이 미흡했을 가능성(추정)
        - 가족 대상 서비스 특성상 피해자 상당수가 학부모로 추정돼, 자녀 교육·체험을 미끼로 한 스미싱 우려
        - 웅진북클럽 포인트와 연계된 서비스지만, 웅진씽크빅 연계 고객이 피해자에 포함됐는지는 미확인
        - 웅진 측은 "별도 서버에서 일어난 사고로 웅진IT 관리 시스템 문제는 아니다"라고 설명
        - 침투 경로(취약점 악용인지 관리자 계정 탈취인지), 공격자 신원·목적, 유출 정보의 유통 여부는 미공개

□  사고대응 타임라인  

    - 2026년 10월 18일(일) 18시 45분경 ~ 19일(월) 00시 50분경
        . 외부 비인가자, 놀이의발견 서비스 관리 시스템(백오피스)에 무단 접속해 회원정보 조회
    - 2026년 10월 19일(월) 오전
        . 웅진컴퍼스, 이상 징후 감지
        . 불법 접근 경로와 관리 시스템 외부 접속 차단, 관리자 계정 비밀번호 변경, 의심 계정 이용 정지
    - 일자 미공개
        . 한국인터넷진흥원(KISA)·개인정보보호위원회 신고, 서초경찰서 수사 의뢰
    - 2026년 10월 21일(수)
        . 웅진컴퍼스, 홈페이지 공지(서종윤 대표 사과) 및 피해 회원 문자·이메일 개별 통지
        . 보안뉴스·머니투데이·파이낸셜뉴스 등 보도
    - 진행 중
        . 경찰 수사, 관리자 계정 2차 인증 적용·접근 통제·이상행위 모니터링 강화, 전사 보안 체계 점검

□  개인정보 유출 관련 홈페이지 안내  

놀이의발견 개인정보 유출 안내 주요 내용(언론 보도 기준)
※ 공지 원문을 확인하지 못해 보도 내용을 요약했습니다.

■ 사과
"소중한 개인정보를 안전하게 보호하지 못해 회원 여러분께 큰 심려를 끼쳐드린 점 머리 숙여 사과드립니다." – 서종윤 웅진컴퍼스 대표

■ 유출 경위
2026년 10월 18일 18시 45분경 ~ 19일 0시 50분경, 외부 비인가자가 서비스 관리 시스템에 불법 접근해 회원정보 조회

■ 유출 항목
닉네임, 휴대전화번호, 이메일 주소(비밀번호·결제정보 미포함)

■ 조치 사항
- 불법 접근 경로 및 관리 시스템 외부 접속 차단
- 관리자 계정 비밀번호 변경, 의심 계정 이용 정지
- 한국인터넷진흥원·개인정보보호위원회 신고, 경찰 수사 의뢰
- 관리자 계정 2차 인증 적용, 접근 통제·이상행위 모니터링 강화 예정

■ 회원 유의사항
- 링크 클릭, 앱 설치, 비밀번호 입력, 금전 이체를 요구하는 연락에 주의(회사는 이런 요구를 하지 않음)
- 같은 비밀번호를 쓰는 다른 서비스의 비밀번호 변경 권고

■ 문의 및 신고
놀이의발견 고객센터, 개인정보분쟁조정위원회, 개인정보침해신고센터

□  대응내역  

    - (웅진컴퍼스) 불법 접근 경로 및 관리 시스템 외부 접속 차단
    - (웅진컴퍼스) 관리자 계정 비밀번호 변경, 의심 계정 이용 정지
    - (웅진컴퍼스) 한국인터넷진흥원(KISA)·개인정보보호위원회 신고, 서초경찰서 수사 의뢰
    - (웅진컴퍼스) 피해 회원 문자·이메일 개별 통지, 홈페이지 사과 공지
    - (웅진컴퍼스) 관리자 계정 2차 인증(MFA) 적용, 접근 통제·이상행위 모니터링 강화, 전사 보안 체계 점검 추진
     ※ 침투 경로, 공격자 신원·목적, 유출 정보 유통 여부, 신고 일자, 웅진씽크빅 연계 고객 포함 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 백오피스는 인터넷에서 직접 접근하지 못하게 하고, 허용된 IP·VPN·접근통제 솔루션을 거쳐서만 접속하도록 제한
        - 모든 관리자 계정에 OTP·FIDO 등 다중 인증(MFA) 적용
        - 회원정보 조회 화면 마스킹, 대량 조회·다운로드에 건수 제한과 사전 승인 적용
        - 야간·휴일 관리자 접속, 새로운 IP 접속, 대량 조회를 실시간 탐지하고 담당자에게 즉시 알림

    2. 관리적 조치
        - 침투 경로(관리자 계정 탈취, 취약점 등)를 규명해 같은 방식의 재침입 차단
        - 관리자 계정을 전수 점검해 퇴사자·미사용·공용 계정 정리, 권한 최소화
        - 그룹 계열사 서비스도 그룹 공통 보안 기준(관리자 접근통제, 모니터링)을 똑같이 적용하는지 점검
        - 회원 피해 예방 : 자녀 교육·체험·포인트 지급 등을 미끼로 한 문자·메일의 링크 클릭 금지

□  관련기사(출처)  

• 키즈 플랫폼 ‘놀이의발견’, 관리 시스템 해킹으로 회원 개인정보 유출 - 보안뉴스
• 웅진씽크빅 계열사서 6.7만명 정보 유출…학부모 연락처 빠져나갔다 - 머니투데이
• 웅진컴퍼스 '놀이의 발견'...“관리자 2차 인증 도입 등 보안 전면 점검” - 파이낸셜뉴스
• '놀이의발견'서 개인정보 유출…웅진그룹 지주사로 '파장' 커지나 - FETV
• 웅진북클럽 포인트 연계 '놀이의발견', 회원정보 유출 - KPI뉴스

감사합니다.