한 회사가 뚫리면 고객사까지 — 더존비즈온·T1로 보는 연쇄 유출

2026년 11월 5일 e스포츠 구단 T1이 홈페이지에 개인정보 유출 가능성 안내를 올렸습니다. T1이 해킹을 당한 것이 아닙니다. 예전에 쓰던 업무 데이터 백업 서비스를 운영하는 더존비즈온의 백업서버가 침해됐고, 그 안에 T1의 인사·회계 자료가 들어 있었습니다. 대상은 전·현직 임직원과 부양가족, 선수단과 외국인 스태프, 아카데미 강사, 프리랜서, 대관 고객까지입니다. 이들 대부분은 더존비즈온이라는 회사와 직접 거래한 적이 없습니다.

요즘 유출 사고는 한 회사에서 끝나지 않는 경우가 많습니다. 여러 회사가 같은 솔루션, 같은 위탁업체, 같은 공용 시스템을 쓰기 때문에, 한 곳이 뚫리면 그 회사를 쓰던 고객사와 그 고객사의 직원·회원까지 피해가 차례로 번집니다. 털리미에 기록된 사례로 이 구조를 정리했습니다.

더존비즈온 한 곳에서 고객사 24곳으로

• 10월 16일과 21일: 더존비즈온이 개발 서버와 백업 서버의 이상 징후를 한국인터넷진흥원과 개인정보보호위원회에 신고했습니다. 회사는 백업 솔루션의 알려지지 않은 취약점(제로데이)을 노린 공격으로 설명했습니다.
• 10월 26일: 침해 사실이 공개되고 "고객사 임직원 정보 유출 가능성"이 보도됐습니다.
• 10월 28~29일: 더존비즈온이 고객사에 백업서버의 암호화된 데이터 일부가 외부로 반출된 정황을 알렸습니다. 암호화 키가 유출된 정황은 확인되지 않았다고 설명했습니다.
• 10월 30일부터: KLPGA, 국기원, 한국공항보안, 창비, 춘천문화재단 등 고객사 공지가 하루에 여러 건씩 이어졌습니다.
• 11월 2일: 더본코리아는 임직원 주민등록번호·계좌번호, 거래처 계좌, 고객상담 내용까지 유출 가능성 항목으로 알렸습니다.
• 11월 5일: T1이 주민등록번호, 외국인등록번호 또는 여권번호, 급여 지급 내역, 가족관계까지 포함된 안내를 올렸습니다.

털리미에 기록된 고객사 공지만 24곳이고, 공지를 따로 하지 않은 고객사까지 더하면 실제 범위는 더 넓을 수 있습니다. 현재까지는 모두 "유출 가능성" 단계이며 실제 유출 여부는 조사 중입니다. 더존비즈온 사건 기록에서 경과를 계속 업데이트합니다.

눈여겨볼 점이 두 가지 있습니다. 첫째, 피해 대상이 서비스 이용자가 아니라 직원, 가족, 거래처, 프리랜서입니다. 인사·급여 자료라서 주민등록번호와 계좌번호가 함께 들어 있습니다. 둘째, 성현회계법인은 이미 계약이 끝난 백업 서비스에서 유출 가능성을 통지받았습니다. 서비스를 그만 써도 업체 쪽에 데이터가 남아 있으면 위험도 남습니다.

피해가 번지는 네 가지 길

털리미에 쌓인 사건을 보면 연쇄 유출은 대체로 네 갈래로 나뉩니다.

1. 업무 솔루션: 여러 회사가 같은 ERP·백업·그룹웨어 솔루션을 씁니다. 더존비즈온 사례가 여기에 해당하고, 원격지원 서비스를 운영하는 알서포트가 뚫려 고객사 관리자·상담원 정보가 나간 사례도 있습니다.
2. 위탁 운영업체: 홈페이지·교육 사이트를 대신 만들고 관리해 주는 업체가 뚫리는 경우입니다. 교육 플랫폼 업체 맑은소프트 해킹으로 캐논코리아, 대한상사중재원 등 20여 기관의 교육 사이트 회원 정보가 나갔고, 업체 신고 기준 약 237만 건이었습니다. 홈페이지 유지보수 업체 한 곳을 거쳐 대한건축학회 등 학회 6곳이 같은 날 사과문을 올리기도 했습니다.
3. 공용 예약·결제 시스템: 업계 전체가 쓰는 시스템 한 곳이 뚫리면 경쟁사끼리도 같이 피해를 봅니다. 항공 예약시스템 아마데우스 계정 비인가 접근으로 대한항공, 아시아나항공, NH농협여행이 차례로 예약 정보 유출을 알렸습니다. 2021년에도 항공 IT 업체 SITA 해킹으로 제주항공, 에어서울, 플라이강원의 탑승객 정보가 나갔습니다.
4. 맡긴 데이터를 업체가 따로 보관: 유지보수 업체 미소테크는 농촌진흥청 등에서 받은 개인정보를 자기 저장장치(NAS)에 몰래 보관하다 해킹당했고, 정보는 다크웹에 올라왔습니다. 개인정보보호위원회는 위탁한 기관에도 관리·감독 소홀과 사업 종료 후 파기 미확인 책임을 물었습니다.

연쇄 유출이 더 위험한 이유

• 통지가 늦고 순서대로 옵니다. 더존비즈온 첫 신고(10월 16일)부터 T1 공지(11월 5일)까지 3주가 걸렸습니다. 업체가 고객사에 알리고, 고객사가 다시 정보주체에게 알리는 단계를 거치기 때문입니다.
• 모르는 회사 이름이 나옵니다. 통지에 처음 듣는 업체 이름이 있으면 스팸이나 사칭으로 여기고 지나치기 쉽습니다.
• 한 번에 많은 곳이 노출됩니다. 공격자 입장에서는 업체 한 곳만 뚫으면 수십 곳의 데이터를 얻을 수 있어, 앞으로도 이런 업체가 주요 표적이 될 가능성이 큽니다.
• 유출 정보가 다음 공격에 쓰입니다. 맑은소프트 사건은 고객사 문자 발송 계정으로 스팸 문자가 나가면서 처음 드러났습니다. 예약번호만 나가도 "항공편 변경", "환불 안내"를 사칭한 문자가 그럴듯해집니다.

내가 확인할 것

• 회사, 학회, 협회, 구단처럼 내가 속한 곳에서 온 유출 안내는 처음 듣는 업체 이름이 들어 있어도 끝까지 읽습니다. 다만 안내 속 링크는 누르지 말고 해당 기관 홈페이지에서 직접 확인합니다.
• 직장이나 거래처에서 주민등록번호·계좌번호 유출 가능성 안내를 받았다면 명의도용방지서비스로 휴대전화 신규 가입을 막고, 금융감독원 개인정보노출자 사고예방시스템에 등록해 내 명의 계좌 개설과 카드 발급을 막습니다.
• 여권번호가 포함됐다면 여권 재발급을 고려하고, 항공 예약번호가 나갔다면 항공사 공식 앱에서만 예약 변경·환불을 확인합니다.
• 내가 쓰는 서비스가 어떤 업체에 정보를 맡기는지는 그 서비스 개인정보 처리방침의 "처리 위탁" 항목에서 볼 수 있습니다. 수탁업체가 사고를 냈다는 소식이 들리면 그 업체를 쓰는 서비스를 떠올려 봅니다.
• 쓰지 않는 서비스는 탈퇴해 데이터가 남는 곳을 줄입니다. 계약이 끝난 서비스에도 데이터가 남을 수 있다는 것이 이번 사례에서 드러났습니다.

회사나 단체의 담당자라면 쓰고 있는 솔루션·위탁업체 목록을 한 번 점검해 둘 만합니다. 개인정보 보호법은 업무를 맡긴 쪽에도 수탁자를 교육하고 처리 현황을 점검할 책임을 두고 있습니다. 계약을 끝낼 때 데이터가 실제로 파기됐는지 확인하는 것도 그 일부입니다.

내가 쓰는 서비스에 유출 이력이 있는지는 털림 체크에서 한 번에 볼 수 있어요. 통지를 받은 뒤의 순서는 유출 통지를 받았을 때 할 일에 정리했습니다.