[디어유] 모회사 SM 운영 전자결재시스템 비인가 접근으로 임직원 인사정보 유출…SM·드림메이커 동시 피해_2026년 11월
팬 소통 플랫폼 ‘버블’ 운영사 디어유가 이용하는 계열사 운영 업무 시스템(전자결재시스템 등)에 2026년 11월 4일경 외부 공격자가 비인가 접근해 문서 파일을 빼냈다. 이 사고로 임직원 DB 정보(이름·영문이름·생년월일·사번·ID·이메일·휴대전화번호·부서·직위 등)가 유출됐다. 같은 시기 모회사 에스엠엔터테인먼트와 계열사 드림메이커엔터테인먼트도 피해를 입어, SM 그룹 공용 업무 시스템을 통한 연쇄 유출로 번졌다.
□ 개요
㈜디어유는 홈페이지 팝업으로 개인정보 유출 사실을 공지했다. 외부 공격자가 디어유가 이용 중인 계열사 운영 업무 시스템(전자결재시스템 등)에 비인가 접근해, 시스템에 보관된 일부 문서 파일을 외부로 유출했다는 내용이다.
유출 발생 시점은 11월 4일경이다. 유출된 정보는 이름, 영문이름, 성별, 생년월일, 사번, ID, 이메일 주소, 휴대전화번호, 부서, 직위·직책·직급·직무, 입사일 등 임직원 DB 정보이며, 대상자별로 항목이 다르다. 유출 인원은 공개되지 않았다. 디어유는 대상자와 항목을 특정해 이메일·문자로 개별 통지를 순차 진행하고 있다. 아울러 시스템 운영 계열사, 관계기관과 협조해 사고 경위와 유출 범위를 확인하고 있다.
같은 공격으로 모회사 에스엠엔터테인먼트도 전자결재시스템의 문서 파일이 유출됐다. 에스엠은 11월 6일 유출 사실을 공지했으며, 유출 항목은 이름·휴대전화번호·주소·계좌번호·주민등록번호·소속·계약서 기재 정보 등이다. 공연기획 계열사 드림메이커엔터테인먼트도 같은 시기 비슷한 침입 피해를 알렸다. 세 회사 모두 공격 IP와 접근 경로를 차단하고 비인가 접근 키를 교체했다. 디어유는 에스엠이 운영하는 그룹 공용 전자결재 시스템을 함께 쓰고 있어, 모회사 시스템 하나가 뚫리자 계열사 임직원 정보까지 노출된 구조로 보인다(추정). 디어유의 공지에 유출 대상으로 명시된 것은 임직원 정보뿐이며, 버블 이용자(팬) 정보 유출은 언급되지 않았다.
□ 사고내용 요약
1. 회사명 : ㈜디어유
2. 사고유형
- 해킹 : 계열사 운영 업무 시스템(전자결재시스템 등) 비인가 접근과 문서 파일 외부 유출
3. 유출규모
- 미공개
4. 유출항목
- 임직원 DB 정보 : 이름, 영문이름, 성별, 생년월일, 사번, ID, 이메일 주소, 휴대전화번호, 부서, 직위, 직책, 직급, 직무, 입사일 등
※ 대상자별로 유출 항목 상이
5. 특이사항
- SM 그룹 3개사 동시 피해 : 에스엠엔터테인먼트, 디어유, 드림메이커엔터테인먼트
- 디어유 자체 시스템이 아닌 계열사(모회사)가 운영하는 공용 업무 시스템을 통한 유출
- 회사별 유출 항목이 다름(에스엠·드림메이커는 주민등록번호·계좌번호·계약서 정보 포함, 디어유는 임직원 인사정보 중심)
- 공지에 버블 이용자(팬) 정보 유출은 언급되지 않음
- 유출된 사번·ID·이메일·직급 정보가 임직원 대상 스피어피싱·계정 탈취 시도에 악용될 우려(추정)
□ 사고대응 타임라인
- 2026년 11월 04일(수)경
. 외부 공격자가 계열사 운영 업무 시스템(전자결재시스템 등)에 비인가 접근, 문서 파일 유출
. 에스엠·드림메이커엔터테인먼트도 같은 시기 침입 피해
- 사고 인지 직후
. 공격 IP·접근 경로 전면 차단, 비인가 접근 키 교체
- 2026년 11월 06일(금)
. 모회사 에스엠엔터테인먼트, 개인정보 유출 사과·안내문 게시
- 2026년 11월 08일(일) 전후
. 디어유, 홈페이지 팝업으로 유출 공지, 임직원 대상 개별 통지(이메일·문자) 순차 진행
- 진행 중
. 시스템 운영 계열사·관계기관과 경위·유출 범위 조사, 정부 당국·외부 전문기관과 정밀 조사 예정
□ 개인정보 유출 관련 홈페이지 안내
안녕하십니까, (주) 디어유입니다.
당사는 최근 보안 사고 조사 과정에서 외부 공격자가 당사가 이용 중인 계열사 운영 업무 시스템(전자결재시스템 등)에 비인가 접근하여, 해당 시스템에 보관된 일부 문서 파일이 외부로 유출된 사실을 확인하였습니다.
현재 당사는 시스템 운영 계열사 및 관계기관과 협조하여 정확한 사고 경위와 개인정보 유출 범위를 확인하고 있으며, 이번 사고로 심려를 끼쳐드리게 된 점 진심으로 사과드립니다.
다음과 같이 본 사안의 경위와 대응 현황 및 2차 피해 예방을 위한 안내사항을 알려드립니다.
1. 유출된 개인정보 항목 및 발생 시점
유출 발생 시점: 2026년 11월 4일경
유출 항목: 임직원 DB정보(이름, 영문이름, 성별, 생년월일, 사번, ID, 이메일주소, 휴대전화번호, 부서, 직위, 직책, 직급, 직무, 입사일)등
* 대상자별로 유출된 구체적인 항목은 상이하며, 현재 정확한 대상자 및 항목을 특정하여 개별 통지(이메일 또는 문자 등)를 순차적으로 진행하고 있습니다.
2. 당사의 대응 조치
당사는 사고 인지 즉시 공격에 사용된 IP와 접근 경로를 전면 차단하고, 해당 비인가 접근 키를 교체하는 등 추가적인 공격 및 정보 유출을 차단하였습니다. 이와 함께 정부 당국 및 외부 전문기관과의 협력을 통한 정밀 조사, 보안체계 점검 등 피해를 방지하기 위해 필요한 추가 조치를 시행할 예정입니다.
3. 2차 피해 예방 안내
현재까지 유출된 개인정보가 악용된 2차 피해 사례는 확인되지 않았으나, 보이스피싱이나 스미싱 등 혹시 모를 피해를 예방하기 위해 아래 사항에 유의하여 주시기를 당부드립니다.
* 당사 또는 관계자를 사칭하여 금전 요구, 개인·금융정보 확인 등을 요청하는 전화, 문자, 이메일에 각별히 주의하여 주시기 바랍니다.
* 출처가 불분명한 문자 메시지나 이메일 내 인터넷 주소(URL) 클릭 및 첨부파일 실행을 자제하여 주시기 바랍니다.
4. 피해구제 및 문의처
본 사안과 관련하여 문의 사항이 있으시거나 피해가 의심되는 경우, 아래 전담 창구로 연락하여 주시면 신속하게 안내드리겠습니다.
* 담당 부서: 정보보호팀
* 이메일: privacy@dearu-u.co
이번 사고로 인하여 손해를 입으신 경우, ‘개인정보 보호법’ 제39조에 따른 손해배상 및 제39조의2에 따른 법정손해배상을 청구하실 수 있으며, 개인정보 분쟁조정위원회(www.kopico.go.kr / 1833-6972)에 분쟁조정을 신청하실 수 있습니다.
당사는 이번 사고를 매우 엄중하게 받아들이고 있으며, 사내 시스템의 접근 제어 및 보안 모니터링을 한층 강화하고, 철저한 원인 규명과 보안 체계 개선을 통해 유사 사고가 재발하지 않도록 최선의 노력을 다하겠습니다.
다시 한번 진심으로 사과드립니다.
□ 대응내역
- (디어유) 공격 IP·접근 경로 전면 차단, 비인가 접근 키 교체
- (디어유) 시스템 운영 계열사·관계기관과 경위·유출 범위 확인, 정부 당국·외부 전문기관과 정밀 조사 예정
- (디어유) 홈페이지 팝업 공지, 임직원 개별 통지, 전담 창구(정보보호팀) 운영
- (에스엠엔터테인먼트·드림메이커엔터테인먼트) 동일 조치(IP·경로 차단, 접근 키 교체), 대상자 개별 통지
※ 유출 인원, 접근 키 탈취 경위, 공격 주체, 신고 기관은 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 그룹 공용 전자결재 시스템의 계열사별 데이터 분리와 접근권한 최소화
- 시스템 연동 접근 키·API 토큰 전수 교체와 주기적 갱신, 사용 이력 모니터링
- 임직원 계정 비밀번호 일괄 초기화와 MFA 적용
- 인사 DB 대량 조회·다운로드 이상행위 탐지
2. 관리적 조치
- 계열사 공용 시스템 이용 시 운영사와 보안 책임·사고 통지 의무를 명확히 하는 협약 체결
- 그룹 차원의 통합 침해대응 체계와 계열사 간 위협 정보 공유
- 임직원 대상 사칭 메일·스피어피싱 주의 안내와 모의훈련
□ 관련기사(출처)
- 개인정보 유출 공지(팝업) - 디어유
- [단독] 디어유, 임직원 개인정보 유출…모회사 SM도 털렸다 - 디지털데일리
- (참고) 개인정보 유출 사고에 관한 사과 및 안내 말씀 - 에스엠엔터테인먼트
감사합니다.