[중소기업중앙회] 노란우산 홈페이지 외부 비인가 접근으로 가입자 주민번호 앞 7자리·연락처·주소 조회 의심…가입자 192만 공제제도

[중소기업중앙회] 노란우산 홈페이지 외부 비인가 접근으로 가입자 주민번호 앞 7자리·연락처·주소 조회 의심…가입자 192만 공제제도_2026년 11월

경험한사람 2026. 11. 14. 17:09

중소기업중앙회가 운영하는 소기업·소상공인 공제제도 노란우산(가입자 약 192만 명)의 홈페이지에 2026년 11월 11일 외부 비인가자의 비정상적인 접근이 확인됐다. 이 과정에서 일부 가입자의 성명·주민등록번호 앞 7자리·휴대전화번호·자택 주소·전화번호·이메일이 제3자에게 조회된 의심 정황이 나왔다. 중기중앙회는 11월 14일 공지하고 사과했다.

□ 개요

중소기업중앙회는 2026년 11월 14일 노란우산 홈페이지에 ‘[노란우산] 개인정보 유출 가능성 및 침해사고 공지’를 게시했다. 11월 11일 외부 비인가자가 노란우산 홈페이지에 비정상적으로 접근했고, 이 과정에서 일부 고객 개인정보가 제3자에게 조회된 의심 정황을 확인했다는 내용이다.
노란우산은 소기업·소상공인의 폐업·노령 등에 대비한 생활 안정과 노후 자금 마련을 돕기 위해 2007년 시작된 공제제도로, 재적 가입자는 약 192만 명이다. 중기중앙회는 개인정보 보호법과 정보통신망법에 따라 이번 사실을 공지했다. 조회 가능성이 있는 항목은 성명, 주민등록번호 앞 7자리, 휴대전화번호, 자택 주소, 자택 전화번호, 이메일 주소, 문자메시지·이메일 수신 동의 여부다. 주민등록번호 뒷자리는 복호화할 수 없는 암호화로 관리하고 있다. 이 항목은 의심 정황이 있는 항목을 모두 나열한 것으로, 고객에 따라 일부만 해당될 수 있다. 조회 의심 인원, 공격 방식, 공격자는 공개되지 않았다.
중기중앙회는 공격에 쓰인 IP를 차단하고, 공격 기록을 분석해 보안 정책을 강화했으며, 해당 조회 화면의 접근 통제를 강화했다. 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 조회 의심 고객에게는 개별 문자를 보냈고, 문자를 받지 않은 고객은 현재 의심 대상이 아니라고 밝혔다. 11월 14~15일 주말에는 고객센터를 임시 운영했다. 조사 결과 실제 조회·유출이 확인되면 해당 항목을, 확인되지 않으면 그 사실을 개별 안내와 홈페이지 공지로 다시 알릴 예정이다. ‘해당 조회 화면의 접근 통제 강화’를 조치로 내세운 점으로 볼 때, 회원 정보 조회 화면의 권한 검증 미흡이나 인증 우회 취약점이 악용됐을 가능성이 있다(추정). 가입자 대부분이 소상공인이어서, 공제금 지급·납부 계좌 변경·대출을 미끼로 한 사칭 보이스피싱에 악용될 우려가 크다.

□ 사고내용 요약

1. 기관명 : 중소기업중앙회(노란우산)
2. 사고유형
- 해킹 : 노란우산 홈페이지 외부 비인가자 비정상 접근, 고객 개인정보 제3자 조회 의심
3. 유출규모
- 미공개(조회 의심 고객에게 개별 문자 발송)
- 참고 : 재적 가입자 약 192만 명(피해 규모 아님)

4. 유출항목
- 성명, 주민등록번호 앞 7자리, 휴대전화번호, 자택 주소, 자택 전화번호, 이메일 주소, 문자메시지·이메일 수신 동의 여부
※ 조회 의심 항목 전체를 나열한 것(고객별 상이), 주민등록번호 뒷자리는 복호화 불가 암호화로 관리

5. 특이사항
- 가입자 약 192만 명 규모의 소상공인 공제제도
- 침해 확인(11월 11일)부터 공지(11월 14일)까지 3일 소요
- 조회 화면 접근 통제 강화를 조치로 내세움(조회 기능 취약점 악용 가능성, 추정)
- 조회·유출이 없다고 확인돼도 결과를 다시 알리겠다고 밝힘
- 공제금·납부 계좌 변경·대출 사칭 보이스피싱 우려

□ 사고대응 타임라인

- 2026년 11월 11일(수)
. 노란우산 홈페이지 외부 비인가자 비정상 접근 발생·확인
- 2026년 11월 11일 이후
. 공격 IP 차단, 공격 기록 분석·보안 정책 강화, 조회 화면 접근 통제 강화, KISA 침해사고 신고
- 2026년 11월 14일(토)
. 홈페이지에 개인정보 유출 가능성 및 침해사고 공지, 조회 의심 고객 개별 문자 발송
. 고객센터 임시 운영(14:00~18:00), 사고 사실 보도
- 2026년 11월 15일(일)
. 고객센터 임시 운영(09:00~18:00)
- 진행 중
. 실제 조회 여부·피해 범위 조사, 결과 개별 안내·홈페이지 공지 예정

□ 개인정보 유출 관련 홈페이지 안내

[노란우산] 개인정보 유출 가능성 및 침해사고 공지
2026.11.14 (토)

먼저 노란우산을 이용해 주시는 고객 여러분께 심려와 불편을 끼쳐 드리게 된 점 진심으로 사과드립니다.
중소기업중앙회(이하 ‘본회’)는 노란우산 홈페이지에 대한 외부의 비정상적인 접근을 확인하였고, 이 과정에서 노란우산 일부 고객 개인정보의 제3자 조회 의심 정황을 확인하였습니다.
이에 「개인정보 보호법」 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 따라 개인정보의 제3자 조회 의심 정황과 침해사고 발생 사실, 대응 현황을 아래와 같이 알려 드립니다.

1. 발생 시점 및 경위
발생 일시: 2026. 11. 11.
발생 원인: 외부 비인가자의 노란우산 홈페이지에 비정상적 접근이 확인되었습니다.
피해 내용: 이 과정에서 고객님의 아래 개인정보의 제3자 조회 의심 정황이 확인되었습니다.

2. 조회 가능성이 있는 개인정보의 항목
항목: 성명, 주민등록번호 앞 7자리, 휴대전화번호, 자택 주소, 자택 전화번호, 이메일 주소, 문자메시지ㆍ이메일 수신 동의 여부
참고로 주민등록번호 나머지 뒷자리의 경우 복호화가 불가능한 암호화로 관리하고 있습니다.
위 항목은 의심 정황이 있는 항목 전부를 나열한 것이며, 고객 개인별 일부 항목만 해당되시는 분들도 계십니다.
실제 조회 여부와 항목은 조사 결과에 따라 달라질 수 있습니다.
본인이 대상자이신 분은 문자 발송을 하였으며, 추가 개별확인은 노란우산 홈페이지 공지 화면을 통해 확인하실 수 있습니다.

3. 피해 최소화 조치
본회는 어떤 경우에도 전화나 문자메시지로 금전이나 대출을 요구하거나 납부 계좌 변경, 계좌 비밀번호 입력을 요구하지 않습니다.
특히 노란우산 홈페이지는 계좌 비밀번호를 수집하지 않으므로, 본회나 노란우산 관계자를 사칭하여 이와 같은 요구를 하는 전화나 문자메시지에는 응하지 마시기 바랍니다.
본회는 노란우산 홈페이지 아이디(ID)나 비밀번호(PASSWORD)도 요구하지 않으므로, 아이디나 비밀번호의 입력이나 변경을 요구하는 전화나 문자메시지에도 일체 응하지 마시기 바랍니다.
출처가 불분명한 문자메시지나 이메일의 링크를 누르거나, 개인정보나 금융정보를 입력하지 마시기 바랍니다.
의심스러운 연락은 고객센터(1666-9988)로 확인해 주시기 바랍니다.

4. 대응 조치 및 피해 구제 절차
본회는 공격에 이용된 IP를 차단하고, 공격 기록을 분석하여 보안 정책을 강화하였으며, 해당 조회 화면에 대한 접근 통제를 강화하였습니다.
한국인터넷진흥원(KISA)에 침해사고를 신고하였으며, 관계 기관의 조사에 성실히 협조하겠습니다.
본회는 이번 사고와 관련하여 문의 및 피해 접수를 위해 대응 창구를 운영하고 있으며, 피해 발생 시 피해 사실을 확인한 후 관계 법령에 따라 신속히 피해 구제 절차를 진행하겠습니다.
개인정보 침해 신고는 개인정보침해 신고센터(국번 없이 118)를 통해서도 하실 수 있습니다.

5. 문의 및 피해 신고 접수처
이번 사고와 관련하여 문의사항이 있으시거나 피해가 발생한 경우 아래 창구로 연락하여 주시기 바랍니다.
담당부서: 고객센터
전화번호: 1666-9988 (운영시간: [평일 09:00~18:00])
* 11.14(토) 14:00~18:00, 11.15(일) 09:00~18:00 임시 운영
메일주소: privacy_check@kbiz.or.kr

6. 추가 안내
본회는 조사를 통해 이번 안내 대상 고객님(개별 문자를 받으신 고객님)의 개인정보가 실제로 조회 및 유출되었는지가 확정되면, 조회 및 유출된 경우에는 해당 개인정보의 항목 등을, 조회 및 유출되지 않은 경우에는 조회 및 유출되지 않았다는 사실을 개별 안내와 이 홈페이지 공지를 통해 다시 알려 드리겠습니다.
개별 문자를 받지 않으신 고객님은 현재까지 확인된 조회 의심 대상에 포함되어 있지 않습니다.

본회는 이번 사안을 매우 엄중하게 받아들이고 있으며, 실제 조회 여부와 피해 범위를 신속히 확인하겠습니다.
아울러 재발 방지를 위해 필요한 조치를 다하겠습니다.
다시 한번 심려를 끼쳐 드린 점 진심으로 사과드립니다.

중소기업중앙회 임직원 일동
2026. 11. 14

□ 대응내역

- (중소기업중앙회) 공격 IP 차단, 공격 기록 분석·보안 정책 강화, 조회 화면 접근 통제 강화
- (중소기업중앙회) KISA 침해사고 신고, 공지 게시, 조회 의심 고객 개별 문자 발송, 주말 고객센터 임시 운영
※ 조회 의심 인원, 공격 방식·주체, 개인정보보호위원회 신고 여부는 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 회원 정보 조회 기능의 객체 단위 권한 검증(IDOR) 점검과 본인 외 조회 차단
- 조회 API 호출 빈도 제한과 대량 조회 이상행위 실시간 탐지
- 주민등록번호 앞자리·연락처·주소 화면 마스킹 기본 적용
- 웹 방화벽(WAF) 정책 강화와 정기 모의해킹

2. 관리적 조치
- 유출 확인 시 72시간 내 개인정보보호위원회 신고와 정보주체 통지
- 가입자 대상 공제금·납부 계좌 변경·대출 사칭 보이스피싱 주의 안내 강화
- 공제 가입자 정보 처리 시스템 전반의 보안 점검

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)