데일리 TOP10
SM엔터·계열사 해킹 피해…임직원 주민·계좌번호 유출
뉴스보이
2026.11.08. 17:18
뉴스보이
2026.11.08. 17:18
공격 경로 긴급 차단 조치와 개별 피해 통지 진행
1
SM엔터테인먼트와 디어유 등 일부 계열사 업무 시스템에 외부 공격자가 비인가 접근해 내부 문서 파일을 유출함.
2
유출 정보에는 임직원의 이름과 연락처뿐 아니라 주민등록번호, 계좌번호, 계약서 기재 정보 등 민감 정보가 포함됨.
3
사측은 공격 인지 즉시 침입 IP와 경로를 전면 차단하고 비인가 접근 키를 교체해 추가 정보 유출을 막았음.
4
현재까지 유출 정보를 악용한 2차 피해는 확인되지 않았으나 사칭 요구나 스미싱 등에 대한 주의가 당부됨.
5
SM은 유출 대상자와 항목을 확인해 순차 통지하고 정부 당국 및 외부 전문기관과 협력해 정밀 조사를 진행함.
업무 시스템 뚫린 엔터테인먼트 기업과 유출 조사 기준
내부 업무 문서에 담긴 정보는 어디까지 유출됐나
대형 기획사의 업무 시스템이 연이어 노출되는 배경
정부 합동 조사와 기업에 적용될 법적 기준
내부 업무 문서에 담긴 정보는 어디까지 유출됐나
•
외부 공격자가 빼간 정보는 일반 이용자 정보가 아니라 주로 사내 임직원의 민감한 고유식별 정보와 금융 정보입니다. 유출된 문서 파일에는 임직원의 이름과 연락처뿐 아니라 주민등록번호, 계좌번호, 계약서 기재 내용까지 대거 포함되었습니다.
•
이번 침해는 지난 4일경 공격자가 전자결재를 비롯한 사내 업무 시스템에 승인받지 않은 방식으로 침입하면서 일어났습니다. 보관 중이던 주요 문서가 외부로 빠져나가면서 피해 대상자별로 노출된 세부 항목에는 일부 차이가 있는 것으로 나타났습니다.
•
팬 소통 플랫폼 버블을 서비스하는 계열사 디어유의 경우 일반 회원의 계정이나 결제 정보는 빠져나가지 않았습니다. 대신 사내 데이터베이스에 보관되어 있던 임직원의 성명과 사번, 부서와 직위 등 내부 구성원 정보가 유출된 것으로 확인되었습니다.
대형 기획사의 업무 시스템이 연이어 노출되는 배경
•
엔터테인먼트 기업들이 전자결재나 비용처리 등 핵심 업무 인프라를 계열사 간 연계해 사용하면서 침해 위험에 노출되었습니다. 외부 공격자가 연결된 시스템의 접근 권한을 탈취하면 다수 법인의 중요 내부 문서와 계약 정보가 한꺼번에 유출될 위험이 큽니다.
•
실제로 디어유는 사내 공지를 통해 계열사가 운영하는 업무 시스템을 이용하던 과정에서 이번 유출 피해를 겪었다고 설명했습니다. 앞서 대형 기획사인 하이브 본사와 계열사 위버스컴퍼니에서도 업무 시스템 침입으로 임직원과 이용자 정보가 잇따라 유출되는 사고를 겪었습니다.
정부 합동 조사와 기업에 적용될 법적 기준
•
주민등록번호 같은 고유식별정보가 빠져나간 기업은 침해 사실을 인지한 시점부터 72시간 이내에 개인정보보호위원회나 한국인터넷진흥원에 신고해야 합니다. 아울러 정보가 노출된 당사자들에게도 관련 사실을 개별 통지하여 2차 범죄 위험에 대비하도록 해야 합니다.
•
이에 따라 에스엠엔터테인먼트는 공격에 쓰인 인터넷 주소와 경로를 차단하고 접근 키를 바꾼 뒤 피해자들에게 통지를 시작했습니다. 사측은 정확한 피해자와 항목을 확인하는 대로 이메일과 문자메시지를 통해 순차적으로 안내를 이어가고 있습니다.
•
앞으로 진행될 정부 조사에서 접근 통제나 암호화 등 법령상 안전조치의무를 다하지 않은 사실이 밝혀지면 엄중한 제재가 따릅니다. 현행법에 따르면 안전 관리 의무를 소홀히 해 개인정보를 유출한 기업에는 위반 행위 관련 매출액의 최대 3%까지 과징금이 부과될 수 있습니다.
내부 업무 문서에 담긴 정보는 어디까지 유출됐나
•
외부 공격자가 빼간 정보는 일반 이용자 정보가 아니라 주로 사내 임직원의 민감한 고유식별 정보와 금융 정보입니다. 유출된 문서 파일에는 임직원의 이름과 연락처뿐 아니라 주민등록번호, 계좌번호, 계약서 기재 내용까지 대거 포함되었습니다.
•
이번 침해는 지난 4일경 공격자가 전자결재를 비롯한 사내 업무 시스템에 승인받지 않은 방식으로 침입하면서 일어났습니다. 보관 중이던 주요 문서가 외부로 빠져나가면서 피해 대상자별로 노출된 세부 항목에는 일부 차이가 있는 것으로 나타났습니다.
•
팬 소통 플랫폼 버블을 서비스하는 계열사 디어유의 경우 일반 회원의 계정이나 결제 정보는 빠져나가지 않았습니다. 대신 사내 데이터베이스에 보관되어 있던 임직원의 성명과 사번, 부서와 직위 등 내부 구성원 정보가 유출된 것으로 확인되었습니다.
대형 기획사의 업무 시스템이 연이어 노출되는 배경
•
엔터테인먼트 기업들이 전자결재나 비용처리 등 핵심 업무 인프라를 계열사 간 연계해 사용하면서 침해 위험에 노출되었습니다. 외부 공격자가 연결된 시스템의 접근 권한을 탈취하면 다수 법인의 중요 내부 문서와 계약 정보가 한꺼번에 유출될 위험이 큽니다.
•
실제로 디어유는 사내 공지를 통해 계열사가 운영하는 업무 시스템을 이용하던 과정에서 이번 유출 피해를 겪었다고 설명했습니다. 앞서 대형 기획사인 하이브 본사와 계열사 위버스컴퍼니에서도 업무 시스템 침입으로 임직원과 이용자 정보가 잇따라 유출되는 사고를 겪었습니다.
정부 합동 조사와 기업에 적용될 법적 기준
•
주민등록번호 같은 고유식별정보가 빠져나간 기업은 침해 사실을 인지한 시점부터 72시간 이내에 개인정보보호위원회나 한국인터넷진흥원에 신고해야 합니다. 아울러 정보가 노출된 당사자들에게도 관련 사실을 개별 통지하여 2차 범죄 위험에 대비하도록 해야 합니다.
•
이에 따라 에스엠엔터테인먼트는 공격에 쓰인 인터넷 주소와 경로를 차단하고 접근 키를 바꾼 뒤 피해자들에게 통지를 시작했습니다. 사측은 정확한 피해자와 항목을 확인하는 대로 이메일과 문자메시지를 통해 순차적으로 안내를 이어가고 있습니다.
•
앞으로 진행될 정부 조사에서 접근 통제나 암호화 등 법령상 안전조치의무를 다하지 않은 사실이 밝혀지면 엄중한 제재가 따릅니다. 현행법에 따르면 안전 관리 의무를 소홀히 해 개인정보를 유출한 기업에는 위반 행위 관련 매출액의 최대 3%까지 과징금이 부과될 수 있습니다.
#SM엔터테인먼트
#디어유
#해킹
#개인정보 유출
#스미싱
