[림스연구소(LCSI)] 심리검사 기관 홈페이지 해킹으로 회원 DB 외부 접근…이름·연락처·주소·검사 이용 내역 등 유출 가능성 안내(1차)_2026년 10월
심리검사·교육 기관 림스연구소(LCSI)가 2026년 10월 23일 홈페이지 해킹을 확인했다. 10월 21일부터 23일까지 회원 정보 데이터베이스에 외부에서 접근할 수 있었던 것으로 파악됐다. 대상은 개인·기업 회원 정보와 검사 신청·이용 내역이다. 실제로 빠져나간 흔적은 아직 확인되지 않았으며, 회사는 10월 25일 1차 유출 가능성 안내를 게시했다.
□ 개요
림스연구소는 2026년 10월 25일 홈페이지에 ‘[중요] 개인정보 유출 가능성 안내 및 사과(1차)’를 게시했다. 10월 23일 홈페이지(www.lcsi.co.kr)에 외부의 불법 침입(해킹)이 있었던 것을 확인했다는 내용이다.
조사 결과 10월 21일부터 23일 사이 회원 정보가 저장된 데이터베이스에 외부에서 접근할 수 있었던 것으로 파악됐다. 침입 경위는 홈페이지 보안 취약점을 이용한 외부 침입이다. 현재까지 회원 정보가 실제로 외부로 빠져나간 흔적은 확인되지 않았지만, 유출 가능성을 배제할 수 없어 개인정보 보호법에 따라 먼저 안내한다고 밝혔다. 유출 가능 정보는 개인 회원(아이디, 암호화된 비밀번호, 이름, 연락처, 이메일, 주소, 생년월일), 기업(기관) 회원(기업명, 사업자등록번호, 기업 주소·전화번호), 서비스 이용 정보(검사 신청·이용 내역, 검사지 배송 정보)다. 주민등록번호는 수집하지 않으며, 결제 정보는 결제대행사가 관리해 이번 사고와 관련이 없다고 했다. 회사는 악성 파일을 삭제하고 침입 경로를 차단했다. DB·서버 접속 비밀번호를 모두 교체했고, 호스팅 업체와 함께 DB 접근 기록을 분석하고 있다. KISA 등 관계기관에도 신고했다.
림스연구소는 서울 송파구에 있는 심리검사·교육 연구소다. 성격검사, 종합심리검사, 직업심리검사, 기업용 인사면접검사, 조직·팀 진단 등을 초·중·고교, 대학, 기업·공공기관에 제공한다. 검사 이용 내역이 유출되면 어떤 심리검사를 받았는지가 드러날 수 있다(추정). 11월 2일 현재 관련 언론 보도는 확인되지 않는다.
□ 사고내용 요약
1. 회사명 : 림스연구소(LCSI, 심리검사·교육 연구소)
2. 사고유형
- 해킹 : 홈페이지 보안 취약점을 이용한 외부 침입, 회원 DB 외부 접근 가능 상태(10월 21~23일)
- 실제 유출 흔적은 미확인(유출 가능성 1차 안내)
3. 유출규모
- 미확인(피해 범위 조사 중, 인원 미공개)
4. 유출항목
- 개인 회원 : 아이디, 암호화된 비밀번호, 이름, 휴대전화·전화번호, 이메일, 주소, 생년월일
- 기업(기관) 회원 : 기업명, 사업자등록번호, 기업 주소·전화번호
- 서비스 이용 정보 : 검사 신청·이용 내역, 검사지 배송 정보
※ 주민등록번호(미수집)·결제 정보(결제대행사 관리)는 해당 없음
5. 특이사항
- 공지에 ‘악성 파일 삭제’가 언급돼, 웹셸 등 악성 파일을 업로드하는 방식의 침입으로 보임(추정)
- 호스팅 업체와 함께 조사하는 것으로 보아 외부 호스팅 환경에서 운영되는 홈페이지(추정)
- 검사 대상에 초·중·고교와 대학이 포함돼, 학생이나 학교 단위 이용자가 영향 범위에 들어갔을 가능성(추정)
- 침입 확인 2일 만에 공지하고 ‘1차’로 표기해 추가 안내를 예고함
□ 사고대응 타임라인
- 2026년 10월 21일(수) ~ 23일(금)
. 홈페이지 취약점을 이용한 외부 침입, 회원 DB 외부 접근 가능 상태
- 2026년 10월 23일(금)
. 침입 확인 후 즉시 차단, 악성 파일 삭제, 침입 경로 차단
. DB·서버 접속 비밀번호 교체, 홈페이지 보안 취약점 점검·보완
- 2026년 10월 25일(일)
. ‘[중요] 개인정보 유출 가능성 안내 및 사과(1차)’ 게시, KISA 등 관계기관 신고
- 진행 중
. 호스팅 업체와 DB 접근 기록 분석, 피해 범위 조사, 추가(2차) 안내 예정
□ 개인정보 유출 관련 홈페이지 안내
< [중요] 개인정보 유출 가능성 안내 및 사과 (1차) >
작성자 : 림스연구소
림스연구소(LCSI)를 이용해 주시는 회원님께 진심으로 사과드립니다.
2026년 10월 23일, 저희 홈페이지(www.lcsi.co.kr)에 외부의 불법 침입(해킹)이 있었던 것을 확인했습니다. 조사 결과 10월 21일부터 23일 사이에 회원 정보가 저장된 데이터베이스에 외부에서 접근할 수 있었던 것으로 파악되었습니다.
현재까지 회원 정보가 실제로 외부로 빠져나간 흔적은 확인되지 않았으며, 정확한 피해 범위는 조사 중입니다. 다만 유출 가능성을 배제할 수 없어 「개인정보 보호법」에 따라 지금까지 확인된 내용을 먼저 알려 드립니다. 추가 조사 결과는 확인되는 대로 다시 안내드리겠습니다.
1. 유출 가능성이 있는 개인정보
- 개인 회원: 아이디, 암호화된 비밀번호, 이름, 휴대전화·전화번호, 이메일, 주소, 생년월일
- 기업(기관) 회원: 기업명, 사업자등록번호, 기업 주소·전화번호
- 서비스 이용 정보: 검사 신청·이용 내역, 검사지 배송 정보 등
※ 실제 해당 항목은 회원님이 등록하신 정보에 따라 다릅니다. 림스연구소는 주민등록번호를 수집하지 않으므로 주민등록번호는 해당되지 않습니다.
※ 카드번호 등 결제 정보는 결제대행사에서 관리하며 림스연구소 서버에는 저장되지 않으므로, 이번 사고와 관련이 없습니다.
2. 발생 시점과 경위
- 발생 기간: 2026년 10월 21일 ~ 10월 23일
- 경위: 홈페이지의 보안 취약점을 이용한 외부 침입
- 인지 및 차단: 10월 23일 침입을 확인하고 즉시 차단
3. 림스연구소의 조치
- 침입 확인 즉시 악성 파일을 삭제하고 침입 경로를 차단했습니다.
- 데이터베이스와 서버의 접속 비밀번호를 모두 교체했습니다.
- 홈페이지 전체의 보안 취약점을 점검하고 보완했습니다.
- 호스팅 업체와 함께 데이터베이스 접근 기록을 분석하는 등 추가 조사를 진행하고 있습니다.
- 한국인터넷진흥원(KISA) 등 관계기관에 신고했으며, 조사에 적극 협조하고 있습니다.
4. 회원님께서 해 주셔야 할 일
- 비밀번호를 변경해 주십시오. 주소창에 www.lcsi.co.kr을 직접 입력해 로그인하신 뒤, 화면 위쪽 [회원정보수정]에서 비밀번호를 바꾸실 수 있습니다.
- 다른 사이트에서 같은 아이디·비밀번호를 쓰고 계시다면 그곳의 비밀번호도 함께 바꿔 주십시오.
- 림스연구소, 택배사, 공공기관 등을 사칭한 문자·이메일·전화에 주의해 주십시오. 림스연구소는 어떤 경우에도 비밀번호나 금융정보를 묻지 않습니다.
- 출처가 불분명한 링크나 첨부파일은 열지 마십시오.
5. 피해 구제 및 문의
- 개인정보침해신고센터: 국번 없이 118 (privacy.kisa.or.kr)
- 개인정보분쟁조정위원회: 1833-6972 (www.kopico.go.kr)
회원님께 걱정과 불편을 끼쳐 드려 다시 한번 깊이 사과드립니다.
림스연구소는 이번 일을 계기로 개인정보 보호 체계를 전면 재점검하고, 같은 일이 다시 일어나지 않도록 최선을 다하겠습니다.
2026년 10월 25일
림스연구소 드림
림스연구소 개인정보 보호책임자
임승환 소장 | 전화 02-571-6226 | 이메일 limsac@limsac.com
□ 대응내역
- (림스연구소) 악성 파일 삭제, 침입 경로 차단, DB·서버 접속 비밀번호 전면 교체
- (림스연구소) 홈페이지 전체 보안 취약점 점검·보완, 호스팅 업체와 DB 접근 기록 분석
- (림스연구소) KISA 등 관계기관 신고, 유출 가능성 1차 안내, 비밀번호 변경과 사칭 주의 권고
※ 대상 회원 수, 구체적인 취약점, 개인정보보호위원회 신고 여부, 개별 통지 여부는 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 파일 업로드 기능의 확장자·실행 권한 제한, 웹셸 탐지 솔루션 적용
- 웹 방화벽(WAF) 적용과 SQL 인젝션 등 주요 웹 취약점 정기 점검
- DB를 외부에서 직접 접근할 수 없도록 차단하고 DB 계정 권한 최소화
- 비밀번호를 솔트와 강한 해시(bcrypt 등)로 저장하고 DB 접근 로그 보관
2. 관리적 조치
- 호스팅 업체와 보안 책임 범위(패치·로그·백업) 명확화
- 검사 이용 내역 등 오래된 회원 데이터의 보존기간 설정과 파기
- 유출 확정 시 개별 통지와 개인정보보호위원회 신고, 학교·기관 회원에게 별도 안내
□ 관련기사(출처)
감사합니다.