[한화시스템] ICT부문 서버에 외부 비인가 IP 접근…임직원 최대 1,700명 성명·휴대전화·회사 이메일 등 유출 가능성, 한화엔진 직원 정보 접근도 의심_2026년 10월

한화시스템은 2026년 10월 27일 오후 5시경 ICT부문의 특정 서버에 외부 비인가 IP가 접근한 정황을 확인했다. 해당 서버에는 ICT부문 임직원 약 1,700명의 성명·휴대전화번호·회사 이메일·부서·직위 등 기본 인사정보가 저장돼 있었다. 한화엔진 직원 정보에도 접근했을 가능성이 거론된다. 접근 경로는 외부 접속 계정으로 지목됐고, 회사는 방산·금융 계열사와는 무관하다고 밝혔다.

□  개요 

   한화시스템은 2026년 10월 30일, 27일 오후 5시경 ICT부문의 특정 서버에 외부 비인가 IP가 접근한 정황을 확인하고 해당 IP와 접근 경로를 차단했다고 밝혔다.
    해당 서버에는 ICT부문 임직원 약 1,700명의 성명, 휴대전화번호, 회사 이메일, 부서, 직위 등 명함 수준의 기본 인사정보가 저장돼 있었다. 회사는 “실제 정보 유출 여부와 정확한 피해 인원을 현 단계에서 확인하기 어렵다”며, 최대 약 1,700명의 정보가 유출됐을 수 있다고 보고 조사하고 있다. 한국경제와 매일일보는 한화엔진 직원 정보에도 접근했을 가능성이 있다고 보도했다. 주민등록번호 등 고유식별정보와 비밀번호가 유출된 정황은 현재까지 확인되지 않았다.
    접근 경로는 외부 접속 계정이 악용된 것으로 보이며, 경위는 조사 중이다. 다만 계정의 출처는 보도마다 다르다. 한국경제는 ‘협력사를 통한 접근’으로, 뉴스핌·보안뉴스·매일일보는 ‘일부 계열사의 외부 접속 계정’으로 전했다. 회사는 침입을 탐지한 직후 한국인터넷진흥원(KISA)에 신고했고, 30일 개인정보보호위원회에 신고했다. 실시간 탐지·차단을 위한 통합 모니터링 체계를 강화하고 긴급 보안 점검도 진행하고 있다. 회사는 이번 사고가 그룹 시스템통합(SI) 업무를 맡는 ICT부문에서 일어났으며 방산부문이나 다른 한화 계열사와는 무관하다고 강조했다.

 

□  사고내용 요약  

    1. 회사명 : 한화시스템(ICT부문)
    2. 사고유형
        - 외부 접속 계정을 악용한 내부망 비인가 접근, ICT부문 서버의 임직원 인사정보 유출 가능성
        - 계정 출처 보도 엇갈림 : 협력사(한국경제) / 일부 계열사의 외부 접속 계정(뉴스핌·보안뉴스·매일일보)
    3. 유출규모
        - 최대 약 1,700명(ICT부문 임직원, 서버 저장 인원 기준), 실제 피해 인원은 확인 중
        - 한화엔진 직원 정보 접근 의심(인원 미공개)

    4. 유출항목(유출 가능성)
        - 성명, 휴대전화번호, 회사 이메일, 부서, 직위(기본 인사정보)
        ※ 주민등록번호 등 고유식별정보와 비밀번호의 유출 정황은 현재까지 확인되지 않음(회사 설명)

    5. 특이사항
        - 방산·ICT 기업 사고지만 회사는 방산부문·금융 계열사와 무관하다고 강조함. 방산 기밀 노출 관련 내용은 보도되지 않음
        - 침입 경로가 외부 접속 계정(협력사 또는 계열사). 제3자 계정 관리 취약점을 노린 공급망형 침투로 보임(추정)
        - ICT부문은 그룹 SI를 맡고 있어, 한화엔진 등 다른 계열사 직원 정보까지 접근이 의심됨. 그룹 IT 운영 구조의 연쇄 위험을 보여줌
        - 방산 기업 임직원의 이름, 연락처, 회사 이메일, 부서, 직위가 유출되면 스피어피싱과 사회공학 공격의 기초 자료로 쓰일 수 있음(국가 배후 조직의 방산업체 표적 전례)
        - 감지(10월 27일) 직후 KISA에 신고하고, 3일 뒤(10월 30일) 개인정보위에 신고함
        - 공격 주체와 배후는 확인되지 않음

□  사고대응 타임라인  

    - 2026년 10월 27일(화) 17:00경
        . ICT부문 특정 서버에 외부 비인가 IP 접근 정황 확인
        . 비인가 IP와 내부망 접속 경로 차단
        . 한국인터넷진흥원(KISA) 신고
    - 2026년 10월 27일~30일
        . 긴급 보안 점검, 통합 모니터링 강화, 외부 접속 계정 악용 경위 조사
    - 2026년 10월 30일(금)
        . 개인정보보호위원회 신고
        . 한국경제 단독 보도 후 회사 입장 공개(“방산·금융 계열사와 무관”)
    - 진행 중
        . 실제 유출 여부와 피해 인원 확인, 한화엔진 직원 정보 접근 여부 조사

□  개인정보 유출 관련 홈페이지 안내  

※ 2026년 10월 30일 기준 한화시스템 홈페이지 공지는 확인되지 않음. 아래는 회사가 언론에 밝힌 입장을 요약한 것임.

· 10월 27일 외부 비인가 IP가 ICT부문의 특정 서버에 접근한 정황을 확인함
· 해당 IP와 접근 경로를 즉시 차단함
· 서버에는 ICT부문 임직원의 성명, 휴대전화번호, 회사 이메일, 부서, 직위 등 기본 인사정보가 있었음
· 주민등록번호 등 고유식별정보와 비밀번호의 유출 정황은 현재까지 확인되지 않음
· “현 단계에서 실제 정보 유출 여부와 정확한 피해 인원을 확인하기 어렵다”며, 최대 약 1,700명의 정보가 유출됐을 가능성을 전제로 조사 중임
· 피해 사실을 확인한 즉시 관계 법령에 따라 한국인터넷진흥원과 개인정보보호위원회 등 유관기관에 신고함
· 실시간 탐지·차단을 위한 통합 모니터링 체계를 강화하고 긴급 보안 점검을 진행 중임
· 이번 건은 ICT부문에서 발생했으며 방산부문과 금융 계열사 등 다른 한화 계열사와는 무관함
· 임직원과 파트너사 보호를 위한 보안 조치를 계속 이행하겠음

 

□  대응내역  

    - (한화시스템) 비인가 IP와 내부망 접속 경로 즉시 차단
    - (한화시스템) 긴급 보안 점검, 실시간 탐지·차단 통합 모니터링 체계 강화
    - (한화시스템) 외부 접속 계정 악용 경위, 실제 유출 여부, 피해 인원 조사
    - (한국인터넷진흥원) 침해사고 신고 접수(10월 27일 탐지 직후)
    - (개인정보보호위원회) 유출 신고 접수(10월 30일)
     ※ 악용된 계정의 정확한 출처(협력사인지 계열사인지), 공격 주체, 접근 기간, 임직원 개별 통지 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 협력사·계열사 외부 접속 계정에 MFA, 단말 인증, 접속 시간·IP 제한 등 제로트러스트 접근 적용
        - 외부 접속 계정의 접근 범위를 업무상 필요한 서버로만 제한(세그멘테이션, 최소권한)
        - 인사정보 서버의 대량 조회·내보내기 탐지, 접속기록 상시 분석(UEBA)
        - 계열사 정보를 함께 보관하는 SI 운영 서버를 계열사별로 분리하고 데이터 최소화
        - 유출 크리덴셜(인포스틸러 로그) 모니터링으로 외부 접속 계정 노출 여부 상시 점검

    2. 관리적 조치
        - 협력사·계열사 외부 접속 계정 전수 점검, 미사용·퇴직자 계정 즉시 회수, 정기 재인증
        - 유출 가능 임직원(한화엔진 포함) 대상 스피어피싱·사칭 메일 주의 교육과 개별 통지
        - 그룹 차원의 침해사고 정보 공유와 공동 대응, 공급망 보안 요구사항 강화
        - 조사 결과(실제 유출 인원, 경로)를 확정해 후속 공지

□  관련기사(출처)  

• [단독] 한화시스템 외부 해킹 정황…임직원 1700명 정보 유출 조사 - 한국경제
• 한화시스템, 일부 임직원 정보 유출…KISA 신고 - 뉴스핌
• 한화시스템, 임직원 개인정보 유출 정황... “방산·금융은 무관” - 보안뉴스
• 한화시스템 내부망 비인가 접근…한화엔진 직원 정보도 접근 의심 - 매일일보
• 한화시스템 ICT부문 임직원 정보 유출, “방산·금융 계열사와 무관” - 비즈니스포스트
• 한화시스템, 내부망 비인가 접속…임직원 1700명 정보 유출 가능성 - 한국아이닷컴

감사합니다.