[국기원] 더존비즈온 ERP 백업서비스(APO) 해킹 여파로 직원·임명·상훈·소득자 개인정보 유출 가능성 통지

[국기원] 더존비즈온 ERP 백업서비스(APO) 해킹 여파로 직원·임명·상훈·소득자 개인정보 유출 가능성 통지_2026년 10월

경험한사람 2026. 11. 2. 23:16

국기원이 행정업무에 쓰는 더존비즈온 ERP 백업서비스(APO)에서 보안 사고가 발생해, 국기원 데이터 일부가 유출됐을 가능성이 있다고 2026년 10월 28일 통보받았다. 유출 가능 항목은 직원·임명·상훈·기타/사업소득자의 성명, 주민등록번호, 연락처, 주소, 계좌번호 등이다. 국기원은 10월 30일 사전 통지 형식의 사과문을 게시했다. 실제 반출 여부와 규모는 조사 중이다.

□ 개요

국기원은 2026년 10월 30일 홈페이지에 ‘개인정보 유출 가능성 안내 및 사과의 말씀’을 게시했다. 행정업무용 외부 시스템인 더존비즈온 ERP의 백업 서비스에서 보안 사고가 났고, 국기원 데이터의 일부 개인정보가 유출됐을 가능성이 있다는 내용이다.
국기원은 10월 28일 더존비즈온으로부터 이 사실을 통보받았다. 더존비즈온 백업서비스(APO) 관련 서버에 외부의 비정상적인 접근이 있었고, 일부 암호화된 자료가 반출된 정황이 확인됐다. 다만 국기원 자료가 실제 반출 대상에 포함됐는지는 아직 확인되지 않았다. 국기원은 이번 안내가 유출 확정이 아니라 「개인정보 보호법」에 따른 사전 통지라고 설명했다. 유출 가능 정보는 직원정보, 각종 임명·상훈 정보, 기타·사업소득자 정보다. 항목은 성명, 생년월일 또는 주민등록번호, 연락처, 주소이며, 일부 기타·사업소득자는 은행명과 계좌번호도 포함될 수 있다.
더존비즈온은 10월 16일과 21일 두 차례 침해 사고를 신고했다. 백업 솔루션(Ahsay) 취약점을 통해 백업서버의 암호화된 자료 일부가 반출된 것으로 알려졌다. 과학기술정보통신부는 10월 25일 이 사고를 ‘중대 침해사고’로 판단하고 민관합동조사단을 꾸려 조사하고 있다. 더존비즈온은 백업자료가 암호화돼 있었고 암호화 키 유출 정황은 없다고 밝혔다. 그러나 클라우드 회계·인사 솔루션(스마트A10) 이용 기업만 11만 곳이 넘어 고객사의 유출 가능성 통지가 잇따르고 있다. 같은 시기 한국공항보안 등도 비슷한 공지를 냈다.

□ 사고내용 요약

1. 회사명 : 국기원(태권도 중앙도장, 특수법인)
2. 사고유형
- 공급망(위탁 SW) 해킹 : 더존비즈온 ERP 백업서비스(APO) 서버에 외부 비정상 접근, 암호화된 백업자료 일부 반출 정황
- 국기원 자료의 반출 포함 여부는 미확인(유출 가능성 사전 통지)
3. 유출규모
- 미확인(대상 인원 미공개, 조사 중)

4. 유출항목
- 대상 : 직원정보, 각종 임명·상훈 정보, 기타·사업소득자 정보
- 항목 : 성명, 생년월일 또는 주민등록번호, 연락처, 주소
- 일부 기타·사업소득자 : 은행명, 계좌번호
※ 업무·대상자에 따라 포함 여부와 항목이 다를 수 있음

5. 특이사항
- 국기원 자체 시스템이 아니라 위탁 ERP 업체의 백업서버가 침해된 공급망 사고
- ‘임명·상훈 정보’가 포함돼, 직원뿐 아니라 국기원이 임명하거나 포상한 외부 태권도인도 대상일 수 있음(추정)
- 더존비즈온은 백업자료 암호화와 암호화 키 미유출을 강조하지만, 반출 사실이 있는 만큼 고객사들이 사전 통지에 나서는 상황
- 더존비즈온 사고 고객사 공지 사례 : 천안충무병원, 창비, KLPGA, 재원푸드, 케이옥션, 한국공항보안 등

□ 사고대응 타임라인

- 2026년 10월 16일(금)·21일(수)
. 더존비즈온, 침해사고 신고(2회)
- 2026년 10월 23일(금)
. 더존비즈온, ‘개인정보 유출 가능성 및 침해사고’ 공지
- 2026년 10월 25일(일)
. 과기정통부, 중대 침해사고로 판단하고 민관합동조사단 구성
- 2026년 10월 28일(수)
. 국기원, 더존비즈온으로부터 유출 가능성 통보 받음
- 2026년 10월 30일(금)
. 국기원, ‘개인정보 유출 가능성 안내 및 사과의 말씀’ 게시
- 2026년 11월 02일(월)
. 데일리시큐·보안뉴스 등 보도
- 진행 중
. 국기원 자료 반출 여부·대상·항목 확인, 민관합동조사

□ 개인정보 유출 관련 홈페이지 안내

< 개인정보 유출 가능성 안내 및 사과의 말씀 >
작성자 admin / 작성일 2026-10-30

안녕하십니까. 국기원입니다.
항상 국기원을 향해 보내주시는 관심과 성원에 감사드리며, 불미스러운 소식으로 심려를 끼쳐드리게 된 점 진심으로 사과의 말씀을 드립니다.
국기원이 행정업무 처리를 위해 이용 중인 외부 시스템(더존비즈온 ERP)의 백업 서비스에서 보안 사고가 발생하여, 국기원 데이터의 일부 개인정보가 유출되었을 ‘가능성’이 있음을 2026년 10월 28일 해당 업체로부터 통보받았습니다.
국기원의 자료가 실제 반출 대상에 포함되었는지는 아직 확인되지 않았으며 현재 관련 조사가 진행 중입니다.
이번 안내는 개인정보 유출이 확정되었다는 의미가 아니라, 혹시 모를 피해를 예방하고 「개인정보보호법」에 따른 사전 통지를 위해 안내하는 것입니다.

1. 유출 가능성이 있는 개인정보 항목
해당 백업자료에 포함되어 있을 수 있는 개인정보는 직원정보, 각종 임명 및 상훈 정보, 기타·사업소득자 정보 중 성명, 생년월일 또는 주민등록번호, 연락처, 주소, 일부 기타·사업소득자의 은행명 및 계좌번호 등입니다.
다만 개인정보의 포함 여부 및 항목은 업무와 대상자에 따라 다를 수 있습니다.

2. 유출 의심 시점 및 경위
더존비즈온의 백업서비스(APO)관련 서버에서 외부의 비정상적인 접근을 통해 일부 암호화된 자료가 반출된 정황이 확인되었으며, 정확한 발생 시점과 국기원 자료의 유출 여부 및 범위는 현재 조사 중입니다.
더존비즈온에 따르면 해당 백업자료는 암호화된 상태로 보관되어 있었으며, 현재까지 암호화 키가 유출된 정황은 발견되지 않았습니다.

3. 피해 예방을 위한 안내
혹시 모를 피해를 예방하기 위해 출처가 불분명한 문자메시지, 이메일 및 전화 등에 주의하여 주시기 바랍니다.
특히 개인정보나 금융정보를 요구하거나 인터넷 링크 접속을 유도하는 연락을 받으실 경우, 해당 내용을 충분히 확인하기 전에는 응하지 않으시기를 당부드립니다.

4. 대응 조치 및 피해 구제절차
더존비즈온은 추가 피해 방지를 위해 관련 서버를 종료하고 해외 IP 접근을 차단하는 등의 조치를 실시하였으며, 관계 기관에 신고하여 관련 조사를 진행하고 있습니다.
국기원은 더존비즈온을 통해 사고 경위와 개인정보 유출 여부를 확인하고 있으며, 개인정보 관련 피해가 의심되는 경우 신고를 접수하고 사실 확인 및 필요한 조치와 피해 구제절차를 안내해 드리겠습니다.

5. 추가 안내 및 문의처
향후 조사 결과에 따라 개인정보 유출 여부와 해당 대상 및 항목이 확인되면 추가로 안내드리겠습니다.
◾ 문의 및 피해 신고: 국기원 정보팀
◾ 전화번호: 02-567-1058
◾ 이메일: privacy@kukkiwon.or.kr

국기원은 이번 사안을 신중하게 확인하고 있으며, 추가로 확인되는 사항을 안내드리겠습니다.
다시 한번 심려를 끼쳐드린 점 사과드립니다.
2026년 10월 30일
국기원 원장

□ 대응내역

- (더존비즈온) 관련 서버 종료, 해외 IP 접근 차단, 관계 기관(KISA 등) 신고
- (과기정통부·KISA) 중대 침해사고로 판단, 민관합동조사단을 구성해 침해 경로·유출 여부·피해 고객사 조사
- (국기원) 홈페이지에 사전 통지·사과문 게시, 더존비즈온을 통해 사고 경위와 유출 여부 확인
- (국기원) 피싱·스미싱 주의 안내, 피해 신고 접수와 구제절차 안내(정보팀 02-567-1058, privacy@kukkiwon.or.kr)
※ 대상 인원, 개별 통지 여부, 개인정보보호위원회 신고 여부는 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 위탁 ERP·백업 서비스에 저장된 데이터 범위 확인, 불필요한 과거 자료·퇴직자 정보 파기
- 백업 데이터 암호화 키를 고객사가 별도로 관리(BYOK)할 수 있는지 검토
- 주민등록번호·계좌번호 등 고유식별·금융정보는 필드 단위로 암호화
- ERP 계정 비밀번호 변경과 접속기록 점검(관리자 계정 MFA)

2. 관리적 조치
- 수탁사(더존비즈온) 관리·감독 강화 : 보안 점검 결과, 사고 통보 의무, 조사 결과 공유 요구
- 유출이 확정되면 대상자에게 개별 통지하고 개인정보보호위원회에 신고
- 임명·상훈 대상자와 사업소득자 등 외부 정보주체에게도 피싱 주의 안내
- 공급망 사고 대응 절차(위탁 시스템 목록, 연락 체계) 정비

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)