회원 닉네임·휴대전화번호·이메일 노출...외부인이 백오피스 접근
위협 탐지·계정권한관리 내세운 지주사, 해당 플랫폼 클라우드 이관도 사업 사례로 공개
"취약점을 찾아내고 위협 분석과 조치까지 자동화"
웅진이 기업 고객에게 내세운 클라우드 보안 기능이다. 그런데 같은 그룹의 키즈 액티비티 플랫폼 '놀이의발견'에서는 회원정보를 다루는 관리자 시스템이 외부인에게 뚫렸다. 약 6만7000명의 닉네임과 휴대전화번호, 이메일 주소가 유출됐다.
웅진은 놀이의발견의 클라우드 이관을 자사 프로젝트 사례로 소개해 온 회사이기도 하다. 계열사와 IT사업으로 연결된 이력이 있는 만큼, 이번 사고는 플랫폼 운영사의 정보보호 문제와 함께 지주사의 관여 범위도 들여다볼 사안이다.
회원정보 다루는 백오피스에 외부인 접근
웅진씽크빅 계열사 웅진컴퍼스가 운영하는 놀이의발견에서 회원 약 6만7000명의 닉네임과 휴대전화번호, 이메일 주소가 유출됐다. 전체 회원 약 230만명의 2.9%에 해당한다.
놀이의발견의 지난 21일자 사고 공지에 따르면 유출은 지난 18일 오후 6시45분께부터 19일 오전 0시50분께 사이 발생했다. 외부 비인가자가 서비스 관리 시스템인 '백오피스'에 불법 접근해 회원정보를 조회했다.
회원정보를 관리하는 시스템에 권한 없는 외부인이 들어온 것이다. 사고 원인을 가리려면 침입 경로뿐 아니라 당시 관리자 접근권한과 회원정보 조회 범위를 어떻게 통제했는지도 확인해야 한다.
취약점 탐지부터 계정권한관리까지 내세운 웅진
이번 사고가 발생한 그룹의 지주사 웅진은 기업 고객을 상대로 IT서비스 사업을 직접 영위한다. '웅진IT'는 이 사업부문의 브랜드다. 웅진이 공개한 사업 자료에는 보안 기술이 주요 기능으로 등장한다. 올해 4월 20일 발표한 '2026 월드IT쇼' 참가 자료에서 회사는 보안 진단과 재해복구 기능을 갖춘 'AWS Cloud Package'를 소개했다. 클라우드의 취약점 탐지와 위협 분석, 조치를 자동화한 운영 모델이라는 설명이다.
함께 소개한 'GAM Solution'에는 내부회계관리와 IT감사관리, 계정권한관리를 통합했다. 시스템을 구축하는 데서 나아가 고객사의 보안과 내부 통제까지 지원하겠다는 사업 내용이다.
보안과 권한관리를 사업 경쟁력으로 제시해 온 웅진에는 계열사의 관리자 시스템 침해가 IT사업의 신뢰도 문제로 번질 여지도 있다.
놀이의발견 클라우드 이관도 웅진의 프로젝트 사례
웅진과 놀이의발견은 실제 IT사업으로도 연결돼 있다.
웅진 공식 홈페이지에는 2021년 4월 16일자로 '놀이의발견 AWS 클라우드 이관' 사례가 올라와 있다. 회원과 서비스가 늘어나면서 안정성과 확장성이 중요해졌고, 신규 사업에 대응하기 위해 서비스 환경을 AWS 클라우드로 옮겼다는 내용이다.
회사는 이 프로젝트의 효과로 IT 인프라 운영·관리 부담을 줄이고 클라우드 서비스의 안정성과 확장성을 확보했다고 설명했다. 다만 이 자료는 과거 구축 실적으로, 사고 당시 백오피스 운영과 보안 업무를 누가 어디까지 담당했는지는 보여주지 않는다.
웅진컴퍼스는 19일 오전 이상 징후를 감지한 뒤 불법 접근 경로를 차단했으며, 21일 유출 사실을 공지하고 사과했다. 한국인터넷진흥원과 개인정보보호위원회에 신고하고 경찰에 수사를 의뢰했다고 밝혔다.
그러나 사고가 난 서버를 구분하는 것만으로 관리자 시스템에 외부인이 들어온 경위까지 설명되지는 않는다. 놀이의발견이 공개한 사고 공지에는 최초 침입 방식이나 사고 전 관리자 계정의 인증·접근권한 설정이 구체적으로 담겨 있지 않다.
사진제공=웅진