더존비즈온 침해사고, 정부가 '중대한 사고'로 보고 민관합동조사단을 꾸렸다 — 회사 공지는 두 건을 따로 설명했고, 유출 범위는 확인 중이다
과학기술정보통신부는 10월 26일 오전 9시 보도자료에서 기업용 소프트웨어(ERP, 재무·회계, 그룹웨어 등) 업체 ㈜더존비즈온의 침해사고를 조사하기 위해 민관합동조사단을 25일 구성하고 조사에 착수했다고 밝혔다. 회사는 10월 16일과 21일 두 차례 침해사고를 신고했다. 25일 긴급 개최된 침해사고 조사 심의위원회는 이번 사고가 "중대한 사고에 해당"한다고 의견을 모았다. 조사단장은 과기정통부 정보보호네트워크정책관이다.
정부 보도자료가 말한 것은 절차다. 신고 두 번, 자료 보전 요구 두 번, 심의위원회의 '중대한 사고' 판단, 조사단 구성. 피해 규모, 유출 항목, 원인은 보도자료에 없다. 정부는 조사 결과를 "국민에게 투명하게 공개할 계획"이라고만 했다. 회사 공지는 두 건을 따로 설명했다. 18일 공지(스마트A 10)는 15일 제3자가 직원 VPN으로 접근해 내부 개발 서버 데이터를 조회한 기록을 확인했다고 했다. 잠재 노출 항목은 이름, 주민등록번호(뒤 6자리 암호화), 암호화된 계좌번호, 주소, 전화번호, 이메일 등이다. 23일 공지(APO 백업 서비스)는 백업 솔루션 아세이(Ahsay)의 취약점과 암호화된 일부 백업자료의 외부 전송 정황을 설명했다. 일부 기사는 이를 '제로데이'로 보도했지만 공지에는 그 표현이 없다. 두 사건의 관련성은 회사도 확인 중이라고 했다. 실제 유출 여부와 인원은 확정 발표가 아니다. 회사는 18일 공지에서 KISA와 개인정보보호위원회에 신고했다고 알렸다. 개인정보위의 조사 착수는 확인하지 못했다. 영향받은 고객 수를 제시한 기사는 이번 표본에 없었다. 10월 22일 PHP 취약점과 연결한 공식 설명도 없다. 이 둘은 이어 읽지 않는다.
근거: 보도자료 원문, 법 조문 ↓IN ENGLISHKorea's science ministry said on Oct. 26 it set up a joint public-private team on Oct. 25 to investigate breaches at enterprise software firm Douzone Bizon, after a new statutory review committee judged them "serious." The company reported incidents on Oct. 16 and 21. The ministry gave no damage figures or cause. The company's notices describe two incidents — VPN access to a development server and suspected transfer of encrypted backup data via a backup-software flaw — whose link is still being checked; possibly exposed items include names, ID numbers (last six digits encrypted) and encrypted account numbers.
날짜별 경과
| 날짜 | 내용 | 근거 |
|---|---|---|
| 10/15 | 제3자가 직원 VPN으로 접근해 내부 개발 서버 데이터를 조회한 기록 | 회사 10/18 공지 |
| 10/16 | 1차 침해사고 신고, 정부 자료 보전 요구 | 정부 원문 |
| 10/18 | 회사 1차 공지(잠재 노출 항목, KISA·개인정보위 신고, 사칭 주의) | 회사 공지 |
| 10/21 | 2차 침해사고 신고, 정부 자료 보전 요구 | 정부 원문 |
| 10/23 | 회사 2차 공지(APO 백업 서비스, Ahsay 취약점, 백업자료 외부 전송 정황) | 회사 공지 |
| 10/25 | 침해사고 조사 심의위원회 긴급 개최, '중대한 사고' 판단, 조사단 구성 | 정부 원문 |
| 10/26 | 정부 조사 착수 발표(09:00 배포), 회사 대표 사과문 | 정부 원문, 회사 사과문 |
심의위원회는 10월 1일 시행된 개정 정보통신망법에 따라 신설된 법정 위원회라고 정부가 밝혔다. 같은 법 제48조의4는 중대한 침해사고면 민관합동조사단을 꾸릴 수 있고, 자료 보전과 제출을 명할 수 있으며, 조사로 알게 된 정보는 원인 분석 외 목적으로 쓰지 못하고 분석 후 즉시 파기해야 한다고 정한다. 기사에 나온 '매출 3% 과징금'은 법의 일반 규정을 소개한 것이지 부과된 사실이 아니다.
고객사라면, 정보주체라면
정부 보도자료에는 이용자 행동 지침이 없다. 회사 18일 공지는 사칭 전화·메일·문자에 주의하고, 금전이나 정보를 요구받으면 공식 경로로 확인하며, 의심스러운 링크를 열지 말고 2차 인증을 쓰라고 권했다. 해당 서비스를 쓰는 기업은 회사의 개별 안내를 확인해야 한다. 주민등록번호 뒤 6자리와 계좌번호가 암호화돼 있었다는 것은 회사 설명이다. 회사는 백업 암호키가 유출된 정황은 없다고 했지만, 이것이 피해가 없다는 독립적 확인은 아니다. 실제 유출 여부와 범위는 조사 결과를 봐야 안다.
- 정부가 확인한 것은 '중대한 사고'라는 판단과 조사 착수다. 근거: 보도자료
- 잠재 노출 항목과 원인은 회사 설명이다. 두 건의 관련성도 확인 중이다.
- PHP 취약점과의 연결은 공식 근거가 없다.
방법: 과기정통부 보도자료 첨부(ODT) 원문과 정보통신망법 제48조의4(이제 직접 열람), 더존비즈온 10/18·10/23 공지와 10/26 사과문(발행인 제공 취재), 기사 본문 17건(수집 에이전트). 개인정보보호위원회의 조사 착수 여부는 확보하지 못했다.
절차는 공개됐다, 내용이 남았다
10월 1일 신설된 심의위원회가 '중대한 사고' 판단을 내린 사건이다. 정부는 절차를 밟았고 결과 공개를 약속했다.
기업의 회계·인사 데이터를 맡은 회사의 사고는 그 고객사 직원 모두의 일이 될 수 있다. 무엇이 나갔고 누가 영향을 받는지, 조사 결과가 구체적으로 공개돼야 이용자가 대응할 수 있다.
출처와 확인 범위
- 더존 10/18 Smart A10 공지 — 공식 본문 직접 열람
- 더존 10/23 APO 공지 — 공식 본문 직접 열람
- 더존 공동대표 사과문 — 공식 본문 직접 열람
- 과기정통부 침해사고 조사 착수 — 발행인 제공 ODT 본문 직접 추출·열람; 정부 재게시 주소 검색 확인
- 개인정보위 공식 사이트 — 홈페이지 및 공식 도메인 검색; 해당 조사 발표 미확보