[GS건설] 자이 아파트 커뮤니티 시설 예약 시스템 외부 침입…입주민 이름·생년월일·연락처·주소·거주유형·RF카드번호 등 유출 가능성

[GS건설] 자이 아파트 커뮤니티 시설 예약 시스템 외부 침입…입주민 이름·생년월일·연락처·주소·거주유형·RF카드번호 등 유출 가능성_2026년 10월

경험한사람 2026. 10. 30. 22:52

GS건설의 아파트 브랜드 자이(Xi)의 커뮤니티 시설 예약 관리 시스템에 2026년 10월 28일 외부 비인가 접근이 발생했다. 이로 인해 일부 입주민의 이름·생년월일·전화번호·이메일·주소·거주유형·세대주 여부·암호화된 비밀번호·RF카드번호 등이 유출됐을 가능성이 있다. GS건설은 10월 30일 고객 사과문을 내고 피해 단지와 규모를 조사하고 있다.

□ 개요

GS건설은 2026년 10월 30일 ‘개인정보 유출 관련 고객 사과문’을 내고, 10월 28일 23시 외부의 비정상적인 접근 정황을 확인했다고 밝혔다.
언론 보도에 따르면 침해된 시스템은 자이 아파트의 커뮤니티 시설 예약 관리 시스템이다. GS건설은 28일 23시 29분 이상 접근을 인지한 뒤 접속 로그를 분석했고, 같은 날 22시 15분경 외부 비인가 접근이 있었던 사실을 확인했다(경향신문·서울경제·데일리안). 유출 가능성이 있는 항목은 이름, 별명, 생년월일, 전화번호, 성별, 이메일, 주소, 회원번호, 거주유형, 암호화된 비밀번호, 관리자ID, 세대주 여부, 회원가입 일시, 최종 로그인 IP 주소, RF카드번호다. 이는 유출 가능성이 있는 정보의 전체 목록이며, 실제 유출 항목은 고객마다 다르다. 주민등록번호 등 고유식별정보와 계좌번호·카드번호 등 금융정보는 수집·보관하지 않아 유출 대상이 아니다.
GS건설은 유출 사실을 인지한 즉시 전사 비상대응체계를 가동했다. 외부 IP를 차단하고 신규 보안정책을 적용했으며 관계기관에 신고했다. 조사가 끝나면 정확한 유출 항목과 피해 여부 조회 방법을 안내할 예정이다. 피해 단지 수와 인원은 공개되지 않았다. 문의를 받기 위해 자이통합고객센터를 주말(10월 31일~11월 1일)에도 운영한다.

□ 사고내용 요약

1. 회사명 : GS건설(자이, Xi)
2. 사고유형
- 자이 아파트 커뮤니티 시설 예약 관리 시스템에 외부 비인가 접근, 입주민 개인정보 유출
- 공격 수법은 미공개
3. 유출규모
- 미공개(‘일부 아파트’ 입주민, 피해 단지·규모 조사 중)

4. 유출항목(유출 가능 전체 목록, 고객별 상이)
- 이름, 별명, 생년월일, 전화번호, 성별, 이메일, 주소
- 회원번호, 거주유형, 비밀번호(암호화), 관리자ID, 세대주 여부
- 회원가입 일시, 최종 로그인 IP 주소, RF카드번호
※ 주민등록번호 등 고유식별정보와 계좌번호·카드번호 등 금융정보는 수집·보관하지 않아 유출 대상 아님

5. 특이사항
- 주소(동·호수)와 거주유형·세대주 여부가 함께 유출돼 특정 가구를 겨냥한 사칭·방문형 범죄나 표적 피싱에 악용될 수 있음
- RF카드번호(출입·커뮤니티 이용 카드)가 유출 목록에 포함됨. 실제 출입 인증에 쓰이는지, 이 정보만으로 복제나 출입이 가능한지는 확인되지 않음(데일리시큐)
- 관리자ID가 유출 항목에 있어, 관리자 권한이 탈취되면 추가 침투로 이어질 가능성(추정)
- 비밀번호는 일방향 암호화(서울경제)로 저장됐지만, 같은 비밀번호를 다른 사이트에 쓰는 경우 크리덴셜 스터핑에 대비한 변경이 필요함
- 침입(22시 15분경)부터 인지(23시 29분)까지 약 1시간 14분. 인지 이틀 뒤 고객에게 알림
- 경향신문이 ‘금융권 해킹 확산’을 제목에 썼지만 금융권 연쇄 해킹과의 연관성은 확인되지 않음

□ 사고대응 타임라인

- 2026년 10월 28일(수) 22:15경
. 자이 커뮤니티 시설 예약 관리 시스템에 외부 비인가 접근(로그 분석 결과, 언론 보도)
- 2026년 10월 28일(수) 23:00~23:29
. 외부의 비정상적인 접근 정황 확인(사과문 23시, 보도 23시 29분)
. 전사 비상대응체계 가동, 외부 IP 차단, 보안정책 신규 적용, 관계기관 신고
- 2026년 10월 30일(금)
. 고객 사과문 발송과 홈페이지 게시, 언론 보도
- 2026년 10월 31일(토)~11월 1일(일)
. 자이통합고객센터 주말 운영(13:00~17:00)
- 진행 중
. 피해 단지·규모와 고객별 유출 항목 조사, 조사가 끝나면 유출 항목과 피해 여부 조회 방법 안내 예정

□ 개인정보 유출 관련 홈페이지 안내

개인정보 유출 관련 고객 사과문

GS건설은 고객님들의 일부 개인정보가 유출되어 심려를 끼쳐 드린 점 머리 숙여 깊이 사과드립니다.

GS건설은 2026년 10월 28일 23시 외부의 비정상적인 접근 정황을 확인했습니다. 현재까지 예상되는 유출 항목은 이름, 별명, 생년월일, 전화번호, 성별, 이메일, 주소, 회원번호, 거주유형, 비밀번호(암호화), 관리자ID, 세대주 여부, 회원가입 일시, 최종 로그인 IP 주소, RF카드번호로 파악되며, 위 항목은 유출가능성이 있는 정보의 전체 목록으로 실제 유출된 항목은 고객마다 상이합니다.

주민등록번호 등 고유식별정보와 계좌번호·카드번호 등 금융정보는 수집·보관하지 않아 유출 대상에 포함되지 않았습니다. 조사 완료 후 정확한 유출항목과 피해 여부 조회 방법을 안내 드리겠습니다.

1. 유출 확인 후 조치 사항
· 개인정보 유출 사실을 인지한 즉시 전사적 비상대응 체계 가동
· 외부 IP 차단, 보안정책 신규 적용
· 관계기관 신고
등 필요한 긴급 조치를 진행했습니다. 또한 유사 사례 발생 가능성을 원천 차단하기 위한 실질적 재발 방지 대책을 마련하고 있습니다.

2. 대응 조치 및 피해 예방
· 스미싱·보이스피싱 및 출처가 불분명한 개인정보 제공 요청에 주의
· 자이 홈페이지의 비밀번호 및 동일한 비밀번호를 사용 중인 다른 웹사이트의 비밀번호 변경 권장

3. 문의 및 피해 구제
담당부서: 자이통합고객센터
· 전화: 1577-4254 (평일: 09:00~17:00), (주말: 13:00~17:00, 10/31, 11/1, 2일간 운영)
· 이메일: privacy@gsenc.com
피해 발생 시 「개인정보 보호법」에 따라 손해배상·법정손해배상 청구, 개인정보분쟁조정위원회(www.kopico.go.kr) 분쟁조정 신청, 개인정보침해신고센터(privacy.kisa.or.kr) 신고·상담이 가능합니다.

GS건설은 고객 여러분의 불안이 해소되고 안심하고 GS건설의 시스템을 이용하실 수 있도록 피해 복구와 재발 방지를 위해 전사적 역량을 총 동원하겠습니다.
다시 한번 고객 여러분께 큰 심려와 불편을 끼쳐드린 점 진심으로 사과드립니다.

GS건설

□ 대응내역

- (GS건설) 전사 비상대응체계 가동, 외부 IP 차단, 보안정책 신규 적용
- (GS건설) 접속 로그 분석으로 침입 시각(22시 15분경) 확인, 피해 단지·규모 조사
- (GS건설) 고객 사과문 발송, 비밀번호 변경과 스미싱·보이스피싱 주의 안내
- (GS건설) 자이통합고객센터(1577-4254, 주말 운영)와 privacy@gsenc.com으로 피해 접수
- (관계기관) 침해·유출 신고 접수(기관명 미공개)
※ 피해 단지 수와 인원, 공격 수법, 시스템 운영 주체(위탁 여부), RF카드 재발급 여부는 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 커뮤니티 예약 시스템 관리자 계정에 MFA, 접근 IP 제한, 관리자 페이지 외부 노출 차단
- 웹·API 객체 단위 권한 검증, 대량 조회 탐지와 호출 빈도 제한
- 주소(동·호수)·RF카드번호 등 주요 항목 암호화와 화면 마스킹 확대
- RF카드 인증 체계 점검(카드번호만으로 복제·도용이 가능한지 확인, 필요 시 재발급·재등록)
- 단지별 시스템 분리와 데이터 최소화, 오래된 단지 데이터 파기

2. 관리적 조치
- 피해 단지와 고객별 유출 항목을 빨리 확정해 개별 통지하고 조회 서비스 제공
- 위탁 운영사가 있다면 수탁사 보안 점검과 계약상 보안 의무 강화
- 입주민 대상 관리사무소·건설사 사칭 연락과 방문 주의 안내
- 아파트 플랫폼(커뮤니티·월패드·출입) 전반의 보안 점검

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)