[성현회계법인(BDO)] 더존비즈온 APO 백업서버 침해로 업무 대행 고객사 임직원 주민번호·급여·연말정산 정보 유출 가능성 안내(계약 종료 후 잔존 데이터)

[성현회계법인(BDO)] 더존비즈온 APO 백업서버 침해로 업무 대행 고객사 임직원 주민번호·급여·연말정산 정보 유출 가능성 안내(계약 종료 후 잔존 데이터)_2026년 10월

경험한사람 2026. 11. 3. 00:06

성현회계법인이 2026년 10월 28일 더존비즈온 데이터 백업 서비스(APO) 서버 침해로 개인정보가 유출됐을 가능성이 있다는 통지를 받았다. 대상은 고객사 업무 대행 과정에서 백업한 고객사 임직원의 성명, 주민등록번호, 급여 정보, 연말정산 데이터 등이다. 성현회계법인은 이 서비스를 2025년 12월 31일 이미 해지했지만, 그 전에 백업된 자료가 영향 범위에 들어갔다.

□ 개요

성현회계법인은 2026년 10월 30일 홈페이지에 ‘개인정보 유출 가능성 안내’를 게시했다. 고객사 업무 대행 부서가 과거 이용한 더존비즈온 데이터 백업 서비스(APO) 서버에 외부 침해가 발생해 개인정보가 유출됐을 가능성이 있다는 내용이다.
성현회계법인은 10월 28일 더존비즈온으로부터 통지를 받았다. 더존비즈온이 백업 솔루션 취약점을 통해 백업서버 내 암호화된 데이터 일부가 외부로 반출된 정황을 확인했다는 것이다. 대상은 업무 대행 과정에서 처리한 고객사 자료 중 2025년 12월 31일 이전에 백업된 자료다. 항목은 성명, 이메일 주소, 주민등록번호, 주소, 급여 정보, 연말정산 데이터다. 서비스 계약은 2025년 12월 31일 종료돼 현재는 이용하지 않는다. 법인은 이번 사고가 법인의 다른 업무 시스템과는 관련이 없다고 밝혔다. 현재까지 법인 관련 데이터가 실제로 유출된 사실은 확인되지 않았다. 법인은 개인정보보호위원회에 신고했고, 더존비즈온에 유출 여부와 조사 결과를 빨리 알려달라고 요청했다. 명의도용이 걱정되는 고객에게는 금융감독원 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 등록하라고 안내했다.
택스워치에 따르면 더존비즈온은 APO 백업서버를 점검하다 이상 징후를 발견했다. 백업 솔루션 공급사 아세이(Ahsay)에 문의한 결과, 알려지지 않은 취약점을 악용한 제로데이 공격으로 판단했다. 과기정통부는 10월 25일 이 사고를 중대 침해사고로 판단하고 민관합동조사단을 구성했다. 국기원, 한국공항보안 등 고객사의 유출 가능성 공지도 잇따르고 있다.

□ 사고내용 요약

1. 회사명 : 성현회계법인(BDO 성현)
2. 사고유형
- 공급망(위탁 SW) 해킹 : 더존비즈온 APO 백업서버의 백업 솔루션(Ahsay) 취약점으로 암호화 데이터 일부 반출 정황
- 법인 관련 데이터의 실제 유출 여부는 미확인(유출 가능성 안내)
3. 유출규모
- 미확인(대상 고객사 수와 인원 미공개)
- 대상 범위 : 업무 대행 부서가 2025년 12월 31일 이전에 백업한 고객사 자료

4. 유출항목
- 성명, 이메일 주소, 주민등록번호, 주소, 급여 정보, 연말정산 데이터
※ 더존비즈온에 따르면 백업 데이터는 모두 암호화돼 있었고, 암호화 키 유출 정황은 없음

5. 특이사항
- 계약 종료(2025.12.31) 후에도 백업 데이터가 더존 서버에 남아 있다가 영향 범위에 포함됨(케이옥션과 유사한 사례)
- 법인 자체 직원이 아니라 급여·연말정산을 대신 처리해 준 고객사 임직원이 피해 대상이 되는 2단계 위탁 구조. 정보주체가 회계법인의 공지를 직접 보기 어려울 수 있음(추정)
- 연말정산 데이터에는 부양가족 정보와 의료비·기부금 내역 등이 들어 있을 수 있어 민감도가 높음(추정)
- 유출되지 않은 것으로 확인되는 경우에도 결과를 알리겠다고 밝힘
- 공지에 금감원 개인정보노출자 사고예방시스템 등록을 안내함

□ 사고대응 타임라인

- 2025년 12월 31일(수)
. 성현회계법인, 더존비즈온 APO 백업 서비스 계약 종료
- 2026년 10월 16일(금)·21일(수)
. 더존비즈온, 침해사고 신고(2회)
- 2026년 10월 25일(일)
. 과기정통부, 중대 침해사고로 판단하고 민관합동조사단 구성
- 2026년 10월 28일(수)
. 성현회계법인, 더존비즈온으로부터 유출 가능성 통지 받음
- 2026년 10월 30일(금)
. 성현회계법인, ‘개인정보 유출 가능성 안내’ 게시, 개인정보보호위원회 신고
- 진행 중
. 법인 관련 데이터 유출 여부 확인(더존비즈온 조사 결과 대기), 민관합동조사

□ 개인정보 유출 관련 홈페이지 안내

< 개인정보 유출 가능성 안내 >

고객 여러분께

성현회계법인(이하 “당 법인”)에서 고객사 업무 대행 서비스를 담당하는 일부 부서가 과거 이용하였던 (주)더존비즈온의 데이터 백업 서비스(APO)와 관련하여, 당 법인은 2026년 10월 28일 (주)더존비즈온으로부터 해당 서비스 서버에 외부 침해가 발생하여 개인정보가 유출되었을 가능성이 있다는 통지를 접수하였습니다. 해당 서비스는 2025년 12월 31일 자로 계약이 종료되어 현재 당 법인은 이를 이용하고 있지 않으며, 이번 사고는 (주)더존비즈온의 백업서버에서 발생한 것으로, 당 법인의 다른 업무 시스템과는 관련이 없습니다.

「개인정보 보호법」에 따라 아래와 같이 안내 드립니다.

1. 유출 의심 시점 및 경위
· 발생 일시: 침해의 정확한 발생 일시는 (주)더존비즈온에서 조사 중입니다.
· 인지 경위: 당 법인은 2026년 10월 28일 (주)더존비즈온으로부터, 동사가 백업 솔루션의 취약점을 통해 백업서버 내 암호화된 일부 데이터가 외부로 반출된 정황을 확인하였다는 통지를 접수하였습니다. 현재까지 당 법인 관련 데이터가 실제로 유출된 사실은 확인되지 않았습니다.

2. 유출 가능성이 있는 개인정보의 항목 및 대상
· 대상: 위 부서가 업무 대행 과정에서 처리한 고객사 자료 중 2025년 12월 31일 이전에 해당 서비스에 백업되었던 자료
· 유출 가능성이 있는 항목: [성명, 이메일 주소, 주민등록번호, 주소, 급여 정보, 연말정산 데이터]
· (주)더존비즈온에 따르면 백업서버 내 보관 중인 데이터는 모두 암호화된 상태였으며, 암호화 키가 유출된 정황은 발견되지 않았습니다.

3. 당 법인의 대응 조치
· 개인정보보호위원회에 관련 사실을 신고하였습니다.
· (주)더존비즈온에 당 법인 관련 데이터의 유출 여부 및 조사 결과를 신속히 통보해 줄 것을 요청하였습니다.
· 외부 전문가의 자문을 거쳐 필요한 조치를 이행하고 있습니다.

4. 피해 최소화를 위하여 취하실 수 있는 조치
· 사칭 연락 주의: 당 법인 또는 (주)더존비즈온을 사칭하여 비밀번호, 계좌번호, 인증번호 등을 요구하는 전화·문자·전자우편에는 응하지 마시기 바랍니다. 당 법인은 어떠한 경우에도 이러한 정보를 요구하지 않습니다.
· 출처가 불분명한 링크나 첨부파일은 열람하지 마시기 바랍니다.
· 명의도용이 우려되는 경우 금융감독원 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 등록하여 신규 계좌 개설·카드 발급을 제한할 수 있습니다.

5. 피해 구제 절차
· 개인정보 침해가 의심되는 경우 개인정보침해신고센터(국번 없이 118)를 통한 상담 또는 개인정보분쟁조정위원회(1833-6972, www.kopico.go.kr)를 통한 분쟁조정 신청이 가능합니다.
· 이번 사고로 피해가 발생한 경우 아래 접수처로 알려 주시면 사실 확인 후 관계 법령에 따라 필요한 절차를 진행하겠습니다.

6. 문의 및 피해 신고 접수처
· 담당부서: 경영기획본부
· 개인정보 보호관리자: 김진규 책임
· 전화번호: 02-513-0200 (운영시간: 평일 09:00~18:00)
· 전자우편: jinkyu.kim@bdo.kr
※ 본 건 해당 여부 등 궁금하신 사항은 위 연락처로 문의하여 주시기 바랍니다.

7. 유출 여부 확정 시 추가 통지
(주)더존비즈온의 조사 결과 당 법인 관련 데이터의 유출이 확인되는 경우 관련 법령에 따라 지체 없이 추가 안내드릴 것이며, 유출되지 않은 것으로 확인되는 경우에도 그 결과를 안내 드리겠습니다.
고객 여러분께 심려를 끼쳐 드린 점 깊이 사과드리며, 당 법인은 고객의 소중한 정보를 보호하기 위하여 책임 있게 대응하겠습니다.

2026년 10월 30일
성현회계법인

□ 대응내역

- (더존비즈온) 외부 접근 경로 차단, 관련 서버 종료, KISA·개인정보보호위원회 신고, 고객사 통지
- (과기정통부·KISA) 중대 침해사고로 판단, 민관합동조사단 조사
- (성현회계법인) 개인정보보호위원회 신고, 더존비즈온에 유출 여부와 조사 결과 신속 통보 요청
- (성현회계법인) 외부 전문가 자문에 따른 조치 이행, 고객 안내문 게시, 경영기획본부 신고·문의 창구 운영
※ 대상 고객사 수와 인원, 고객사 임직원 개별 통지 방식은 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 위탁 백업 서비스를 해지할 때 데이터 완전 삭제와 파기 확인서(증적) 받기
- 주민등록번호·급여·연말정산 데이터는 필드 단위 암호화와 고객사별 암호화 키 분리
- 업무 대행 자료의 백업 대상 최소화(필요한 기간만 보관)

2. 관리적 조치
- 재위탁(회계법인 → 더존) 구조에서 위탁자(고객사)에게 즉시 통보하고 정보주체 통지를 지원
- 수탁사 계약에 계약 종료 시 파기 의무와 사고 통보 기한 명시
- 클라우드·백업 서비스의 보안 수준을 주기적으로 점검(제3자 위험관리)
- 유출이 확정되면 고객사 임직원 개별 통지와 명의도용 예방 조치 안내

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)