계약 종료 고객사도 긴장… 더존비즈온發 정보 유출 비상

해킹 사고에 더본코리아 등 우려
서비스 끝나도 백업 데이터 잔존
임직원 개인자료 보관 부실 논란

더존비즈온의 서버 침해사고 여파로 외식·출판·공공기관 등 업종 전반에서 개인정보 유출 가능성이 잇따라 제기되면서 고객사들이 비상에 걸렸다. 이미 서비스 계약이 종료된 기업의 데이터까지 침해 영향권에 포함되면서 계약 종료 이후 개인정보 보관·파기 실태도 도마에 올랐다.

■업종 불문 개인정보 유출 우려 확산

3일 정보기술(IT) 업계에 따르면 더본코리아·한국제품안전관리원·성현회계법인·한국공항보안·국기원·케이옥션·창비교육 등은 최근 더존비즈온의 서버 침해사고에 따른 개인정보 유출 가능성을 홈페이지에 공지했다.

더존비즈온은 기업의 인사·급여·회계 정보 등을 관리하는 전사적자원관리(ERP) 업체다. 더존비즈온은 지난달 16일과 21일 두 차례 침해사고를 신고했다. 회계·세무 프로그램 '스마트A10' 개발서버에서는 직원의 가상사설망(VPN) 계정을 통한 무단 접근 정황이, 백업서비스 'APO백업'에서는 솔루션 취약점을 악용한 암호화 데이터 반출 정황이 각각 발견됐다. 더존비즈온에 따르면 스마트A10을 사용하는 기업은 11만곳이 넘는다.

이에 따라 더존비즈온에 개인정보를 위탁한 고객사들도 줄줄이 유출 가능성을 안내하고 있다. 더본코리아는 지난 2일 전·현직 임직원의 주민등록번호와 주소, 계좌번호를 비롯해 거래처의 은행명·예금주·계좌번호 등이 유출될 가능성이 있다고 공지했다. 한국제품안전관리원과 창비교육은 더존비즈온으로부터 개인정보 유출 가능성을 통보받았고, 구체적인 유출 항목과 대상은 조사 중이라고 밝혔다. 한국공항보안은 임직원의 급여정보와 노동조합 가입 여부, 장애 여부, 가족 관련 정보 등을 유출 가능 항목으로 안내했다.

■백업 데이터 보관 실태 도마 위

문제는 서비스 계약이 끝난 기업까지 개인정보 유출 영향권에 포함됐다는 점이다. 성현회계법인은 지난해 12월 31일 더존비즈온 서비스 이용을 종료했지만, 과거 백업 데이터가 남아 있어 급여정보와 연말정산 자료 등의 유출 가능성을 통보받았다. 케이옥션도 지난 5월 1일 클라우드 및 백업 서비스 이용을 종료했으나 자사 데이터가 백업서버에 남아 있었던 것으로 나타났다.

향후 조사에서는 더존비즈온이 계약 종료 후에도 고객사 데이터를 보관한 이유와 기간, 개인정보 파기 여부를 제대로 확인하고 관리했는지 등이 쟁점이 될 전망이다. 개인정보보호법 제21조는 보유기간이 지나거나 처리 목적을 달성해 불필요해진 개인정보를 지체 없이 파기하도록 규정하고 있다. 제26조에 따라 개인정보 처리를 위탁한 기업도 수탁업체에 대해 감독 의무를 진다.

다만 고객사들의 개인정보 유출이 확정된 것은 아니다. 현재 각 기업이 공지한 내용은 유출 가능성에 관한 것으로, 실제 유출 여부와 피해 범위는 조사 중이다. 더존비즈온은 스마트A10 사고와 관련해 유출 가능성이 있는 정보 중 주민등록번호 뒷자리 6자리와 계좌번호는 암호화된 상태였다고 설명했다.

과학기술정보통신부는 고객사로의 피해 확산 가능성을 고려해 이번 사고를 중대한 침해사고로 판단하고, 지난달 25일 한국인터넷진흥원(KISA)과 민간 전문가 등이 참여하는 민관합동조사단을 구성했다.

최혜림 기자