SM도 뚫렸다…하이브 이어 대형기획사 전자결재망 해킹

SM·계열사서 주민번호·계약서 정보 유출
하이브는 외부 문서 프로그램 통해 침입
잇단 사고에 업무 시스템 접근 관리 도마

서울 SM엔터테인먼트 사옥. SM 제공

SM엔터테인먼트와 계열사들의 업무 시스템에서 주민등록번호와 계좌번호, 계약서에 담긴 정보 등이 유출됐다. 지난달 하이브에서도 전자결재시스템과 비용 처리 시스템이 해킹당한 사실이 드러났다. 대형 가요 기획사에서 내부 업무 문서 유출이 잇따르면서 개인정보 접근 권한 관리가 쟁점으로 떠올랐다.

9일 업계에 따르면 SM은 지난 6일 홈페이지에 개인정보 유출 사실을 공지했다. 내부 보안 점검에서 외부 공격자가 전자결재시스템 등 업무 시스템에 무단 접속해 문서 일부를 빼낸 사실을 확인했다. 사고는 지난 4일께 발생한 것으로 파악했다.

유출 항목은 이름, 휴대전화 번호, 주소, 주민등록번호, 계좌번호, 소속 부서와 직위·직책, 계약서에 기재된 정보 등이다. SM은 피해 대상자와 유출 항목을 확인해 이메일이나 문자로 개별 통지하고 있다.

SM은 소속 연예인의 개인정보 유출 여부와 전체 피해 규모에 관해 "상세 유출 내용과 규모를 파악 중"이라고 밝혔다. 이어 "현재까지 유출된 개인정보가 악용된 2차 피해 사례는 확인되지 않았다"며 "회사나 관계자를 사칭해 돈이나 금융정보를 요구하는 연락에 주의해 달라"고 당부했다.

SM은 사고를 확인한 직후 공격에 사용된 인터넷주소(IP)와 접속 경로를 차단하고 접근 키를 교체했다. 관계 당국과 사고 경위를 조사하고 있으며, 외부 전문기관과 함께 보안체계를 점검할 계획이다.

계열사에서도 피해가 확인됐다. 공연 기획사 드림메이커엔터테인먼트는 같은 시기 전자결재시스템 등 업무 시스템에서 문서 일부가 유출됐다고 공지했다. 유출 항목에는 주민등록번호와 계좌번호, 계약서 기재 정보 등이 포함됐다.

팬 소통 앱 '버블' 운영사 디어유는 다른 계열사가 운영하는 업무 시스템에 외부 공격자가 침입해 임직원 정보가 유출됐다고 밝혔다. 이름과 생년월일, 사번, 이메일 주소, 부서와 직급, 입사일 등이 유출 항목이다. 디어유는 해당 시스템을 운영하는 계열사와 함께 피해 범위를 조사하고 있다.

SM은 "팬 정보는 유출되지 않았으며, 한국인터넷진흥원(KISA), 개인정보보호위원회 등 관계기관에 신고했다"고 알렸다. 이어 "이번 사고를 매우 엄중하게 받아들이고 있다"며 "사내 시스템의 접근 제어 및 보안 모니터링을 한층 강화하고 철저한 원인 규명과 보안 체계 개선을 통해 유사 사고가 재발하지 않도록 최선의 노력을 다하겠다"고 밝혔다.

서울 하이브 사옥. 연합뉴스

하이브는 지난달 18일 홈페이지를 통해 9월12~13일과 10월3~5일 두 차례 내부 문서와 개인정보가 유출됐다고 공지했다. 전자결재시스템에 연결된 외부 업체의 문서 미리보기 프로그램에서 비정상적인 접근 정황을 발견했고, 추가 조사에서는 비용 처리 시스템에서도 비슷한 방식의 무단 접속을 확인했다.

유출 자료에는 전·현직 직원과 협력사 관계자의 이름, 주민등록번호, 외국인등록번호, 여권번호, 계좌번호, 카드번호, 연락처, 의료정보 등이 포함됐다. 하이브는 공격에 쓰인 IP와 접속 경로를 차단하고 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다. 피해 당사자에게 유출 항목을 개별 통지했으며, 연락처를 확인하기 어려운 퇴직자와 협력사 관계자를 위한 별도 문의 창구도 마련했다.

경기남부경찰청은 지난 3일 경찰청으로부터 사건을 넘겨받아 입건 전 조사에 착수했다.

하이브 자회사 위버스컴퍼니에서도 올해 개인정보 유출 사고가 발생했다. 위버스컴퍼니는 1월5일 직원이 팬 사인회 응모자 1명의 이름과 출생연도, 공개방송 당첨자 30명의 이름·생년월일·전화번호를 카카오톡 비공개 단체 대화방에 공유했다고 밝혔다. 위버스컴퍼니는 "해당 직원을 업무에서 배제하고 인사위원회에 회부했다"고 밝혔다. 

9월6일에는 별도의 정보 유출 사고를 공지했다. 유출 규모는 계정 기준 42만2584건이다. 이용자 내부 식별번호와 결제 수단, 구매 금액·일시, 환불 일시 등이 외부로 유출됐다. 위버스컴퍼니는 내부 식별번호를 개인정보로, 결제 관련 내역은 일반정보로 구분했다. 이름과 연락처 등 직접적인 개인 식별정보는 포함되지 않았다고 했다.

개인정보를 다루는 기업은 업무상 필요한 범위에서만 시스템 접근 권한을 부여하고 접속 기록을 관리해야 한다. 개인정보보호위원회가 지난 5일 공개한 '개인정보의 안전성 확보조치 기준' 안내서에 따르면 개인정보처리자는 접근 권한을 부여하거나 변경·말소한 기록을 최소 3년간 보관해야 한다. 개인정보 접속 기록과 내려받기 내역도 정해진 절차에 따라 점검해야 한다.

이이슬 기자 ssmoly6@asiae.co.kr