[브이티코스메틱] 탈취된 임직원 계정으로 ERP 무단 접속…고객 배송정보, 과거 임직원·개인사업자 거래처 주민등록번호·계좌번호 등 유출_2026년 10월
화장품 기업 브이티코스메틱(VT COSMETICS)에서 2026년 10월 22일~23일, 외부 공격자가 탈취한 임직원 계정으로 업무 시스템(ERP)에 무단 접속해 정보를 조회했다. 이로 인해 상품을 배송받은 고객의 배송정보가 유출됐다. 구 지엠피를 포함한 과거 임직원과 개인사업자 거래처는 주민등록번호·계좌번호까지 유출됐다. 회사는 10월 27일 사고를 인지했고, 10월 30일 사과문을 게시했다.
□ 개요
브이티코스메틱은 2026년 10월 30일 ‘[공지] 개인정보 유출 사실 안내 및 사과문’을 게시하고, 업무 시스템에 대한 외부의 불법 접근으로 개인정보가 유출된 사실을 알렸다.
공지에 따르면 외부 공격자는 탈취한 임직원 계정으로 10월 22일부터 23일 사이 회사 업무 시스템(ERP)에 무단 접속해 정보를 조회했다. 회사는 10월 27일 이를 인지했다. 이 공지는 연락처 변경 등으로 개별 안내를 받지 못한 사람들에게 알리려고 올린 것이다. 대상은 세 부류다. 첫째, 상품을 구매해 배송받은 고객 중 개별 안내를 받지 못한 사람이다. 둘째, 구 지엠피를 포함해 회사에 재직했던 임직원이다. 셋째, 구 지엠피를 포함해 회사와 거래했던 개인사업자 거래처다.
유출 항목은 대상별로 다르다. 고객은 성명, 전화번호, 배송주소, 주문상품, 쇼핑몰 주문번호, 송장번호 등이다. 과거 임직원은 성명, 사번, 주민등록번호, 주소, 휴대전화번호, 이메일, 비상연락처 등이다. 개인사업자 거래처는 대표자 성명, 주민등록번호, 사업자등록번호, 계좌번호·은행·예금주, 담당자 연락처 등이다. 회사는 인지 즉시 공격자 접속을 차단하고 전 계정의 비밀번호를 변경했다. 또 2차 인증 강화와 접속 모니터링 강화 등 추가 조치를 했다. 개인정보보호위원회·한국인터넷진흥원(KISA)에 신고했고 수사기관에도 신고했다. 유출 인원은 공개하지 않았다.
□ 사고내용 요약
1. 회사명 : 브이티코스메틱(VT COSMETICS)
2. 사고유형
- 탈취된 임직원 계정을 이용한 업무 시스템(ERP) 무단 접속과 정보 조회(계정 탈취형 침해)
- 계정 탈취 경위(피싱, 인포스틸러, 비밀번호 재사용 등)는 미공개
3. 유출규모
- 미공개(고객·과거 임직원·개인사업자 거래처)
4. 유출항목(대상별로 등록된 정보에 한함)
| 대상 | 유출 항목 |
|---|---|
| 고객 | 성명, 전화번호, 배송주소, 우편번호, 주문상품·옵션·수량, 쇼핑몰 주문번호, 송장번호·운송사, 판매처명 |
| 과거 임직원 (구 지엠피 포함) |
성명, 사번, 주민등록번호, 생년월일, 주소, 우편번호, 휴대전화번호, 전화번호, 이메일, 비상연락처 |
| 개인사업자 거래처 (구 지엠피 포함) |
대표자 성명, 주민등록번호, 사업자등록번호, 계좌번호·은행·예금주, 주소, 전화번호, 담당자 휴대전화번호·이메일 |
※ 브이티코스메틱 공지 기준. 본인의 정확한 유출 항목은 CX팀에 문의하면 본인 확인 후 안내받을 수 있습니다.
5. 특이사항
- 더존비즈온 연쇄 사고와는 별개로, 회사 ERP가 탈취된 임직원 계정으로 직접 접속당한 사고
- 과거 임직원·과거 거래처(구 지엠피 포함)의 주민등록번호와 계좌정보가 ERP에 남아 있었음. 퇴직자·거래 종료 정보의 파기·분리보관이 미흡했던 것으로 보임(추정)
- 고객 정보에 실제 주문번호·상품명·송장번호가 포함돼, 배송 오류·환불을 미끼로 한 정교한 택배·쇼핑몰 사칭 스미싱 위험이 큼(회사도 별도 경고)
- 개인사업자 거래처의 계좌 정보가 유출돼, 회사를 사칭한 입금 계좌 변경 요청(송금사기)에 주의해야 함. 회사는 ‘입금계좌는 변경되지 않았다’고 명시함
- 과거 임직원·거래처에는 주민등록번호 변경 신청 방법까지 안내함
- 사고 인지(10월 27일) 후 2차 인증을 강화함. ERP에 다중인증이 적용되지 않았거나 일부만 적용됐을 가능성(추정)
□ 사고대응 타임라인
- 시점 미상
. 임직원 계정 탈취(경위 미공개)
- 2026년 10월 22일(목)~23일(금)
. 외부 공격자가 탈취한 임직원 계정으로 ERP에 무단 접속해 정보 조회(유출 시점)
- 2026년 10월 27일(화)
. 사고 인지, 공격자 접속 차단과 전 계정 비밀번호 변경
. 2차 인증 강화, 접속 모니터링 강화
. 개인정보보호위원회·KISA·수사기관 신고(신고 일자는 미공개)
- 2026년 10월 30일(금)
. ‘[공지] 개인정보 유출 사실 안내 및 사과문’ 게시(개별 안내가 닿지 않은 대상자용)
- 2026년 10월 31일(토)
. 데일리시큐 보도
- 진행 중
. 전담 창구에서 피해 접수·상담, 수사기관 수사
□ 개인정보 유출 관련 홈페이지 안내
[공지] 개인정보 유출 사실 안내 및 사과문
게시일 2026.10.30
안녕하세요. 브이티코스메틱입니다.
당사 업무 시스템에 대한 외부의 불법 접근으로 개인정보가 유출된 사실을 알려드립니다. 소중한 개인정보를 안전하게 보호하지 못한 점 진심으로 사과드립니다.
본 공지는 연락처 변경 등의 사유로 개별 안내가 도달하지 못한 분들께 알려드리기 위해 게시합니다.
안내 대상
① 당사 상품을 구매하여 배송받으신 고객 중 개별 안내를 받지 못하신 분
② 당사(구 지엠피 포함)에 재직하셨던 임직원
③ 당사(구 지엠피 포함)와 거래하셨던 개인사업자 거래처
유출 시점 및 경위
· 유출 시점 : 2026년 10월 22일 ~ 10월 23일
· 인지 시점 : 2026년 10월 27일
· 경위 : 외부 공격자가 탈취한 임직원 계정을 이용해 당사 업무 시스템(ERP)에 무단 접속하여 정보를 조회하였습니다.
유출된 개인정보 항목(대상별로 등록된 정보에 한함)
① 고객 : 성명, 전화번호, 배송주소, 우편번호, 주문상품·옵션·수량, 쇼핑몰 주문번호, 송장번호·운송사, 판매처명
② 과거 임직원 : 성명, 사번, 주민등록번호, 생년월일, 주소, 우편번호, 휴대전화번호, 전화번호, 이메일, 비상연락처
③ 개인사업자 거래처 : 대표자 성명, 주민등록번호, 사업자등록번호, 계좌번호·은행·예금주, 주소, 전화번호, 담당자 휴대전화번호·이메일
※ 본인의 정확한 유출 항목은 아래 창구로 문의하시면 본인 확인 후 안내해 드립니다.
당사의 대응 조치
· 인지 즉시 공격자 접속 차단 및 전 계정 비밀번호 변경
· 2차 인증 강화, 접속 모니터링 강화 등 추가 피해 방지 조치
· 개인정보보호위원회·한국인터넷진흥원(KISA) 신고 및 수사기관 신고
· 피해 접수 및 상담을 위한 전담 창구 운영
피해 예방을 위해 하실 수 있는 일
[공통]
· 당사나 쇼핑몰·택배사를 사칭한 문자·전화·이메일에 주의하시고, 링크를 누르거나 개인정보·금융정보를 입력하지 마십시오.
· 당사는 이번 사고와 관련하여 문자 링크를 통한 개인정보 입력이나 결제를 요청하지 않습니다.
[고객]
· 실제 주문번호나 상품명을 언급하더라도 배송 오류, 환불, 반품 등을 이유로 링크 접속이나 추가 결제를 요구하면 응하지 마십시오. 주문 확인은 구매하신 쇼핑몰이나 운송사의 공식 채널에서 직접 하시기 바랍니다.
[과거 임직원 및 개인사업자 거래처 (주민등록번호 유출 대상)]
· 명의도용 방지 서비스(엠세이퍼 가입제한, www.msafer.or.kr)와 금융감독원 개인정보노출자 사고예방시스템(pd.fss.or.kr) 등록을 이용해 주십시오.
· 피해를 입었거나 입을 우려가 있는 경우 주소지 읍·면·동 주민센터에서 주민등록번호 변경을 신청하실 수 있습니다.
· 비상연락처로 등록하신 가족분께도 사칭 연락에 주의하도록 알려 주십시오.
[개인사업자 거래처]
· 당사 입금계좌는 변경되지 않았습니다. 당사 명의로 계좌 변경이나 송금 요청을 받으시면, 송금 전 반드시 기존 담당자에게 유선으로 확인해 주십시오.
· 거래 은행에 계좌 모니터링 요청을 검토해 주십시오.
피해 접수 및 문의
· 담당부서 : CX팀
· 이메일 : CS@vt-cosmetics.com
· 운영시간 : 평일 10:00 ~ 17:30
개인정보 유출로 피해가 발생한 경우 「개인정보 보호법」에 따라 손해배상을 청구하실 수 있으며, 개인정보 분쟁조정위원회(1833-6972, www.kopico.go.kr)에 분쟁조정을 신청하실 수 있습니다.
당사는 이번 사고를 엄중히 받아들이고, 보안 관리체계와 내부 통제 절차를 강화하겠습니다.
다시 한번 심려를 끼쳐드린 점 진심으로 사과드립니다.
2026년 10월 30일
브이티코스메틱 임직원 일동
□ 대응내역
- (브이티코스메틱) 공격자 접속 차단, 전 계정 비밀번호 변경, 2차 인증 강화, 접속 모니터링 강화
- (브이티코스메틱) 대상자 개별 안내와 홈페이지 공지(개별 안내 미도달자), 대상별 피해 예방 수단 안내
- (브이티코스메틱) 피해 접수 전담 창구 운영(CX팀 CS@vt-cosmetics.com)
- (개인정보보호위원회·한국인터넷진흥원·수사기관) 신고 접수
※ 유출 인원, 계정 탈취 경위, 신고 일자는 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- ERP 등 개인정보 처리시스템 전 계정에 다중인증(MFA) 의무화, 외부 접속은 VPN과 단말 인증 후에만 허용
- 비정상 시간대·해외 IP 접속, 대량 조회 탐지와 자동 차단(UEBA)
- 주민등록번호·계좌번호 암호화와 조회 화면 마스킹, 조회 권한 최소화
- 인포스틸러 감염 점검(EDR)과 유출 계정 모니터링
2. 관리적 조치
- 퇴직 임직원·거래 종료 거래처 정보의 보존 기간 점검과 파기, 법정 보관 정보는 분리보관
- 합병·통합(구 지엠피) 과정에서 넘어온 데이터 전수 점검과 불필요 데이터 파기
- 임직원 대상 피싱·계정 보안 교육, 비밀번호 재사용 금지
- 유출 인원과 계정 탈취 경위를 확정해 후속 공지
□ 관련기사(출처)
감사합니다.