직원 VPN 계정 통한 무단접속·조회 정황...백업서버에선 암호화 데이터 반출
26일 발표엔 투자 기간·세부 사용처 없어...회사, 데이터 관리·접근통제 점검 예고
직원들의 이름과 주민등록번호, 계좌번호가 걸린 일이다. 더존비즈온은 개발서버와 백업서버의 침해사고를 알리며 약 160억원의 보안 투자를 강조했다. 하지만 중요한 정보를 맡기는 기업으로서는 투자액보다 그 정보가 실제로 어떻게 관리됐는지가 중요하다. 직원 계정이 외부인의 접속에 이용됐다는 사실부터 설명이 필요하다.
29일 더존비즈온의 공식 공지와 보도자료를 종합하면, 회사는 지난 18일 Smart A 10 관련 개인정보 유출 가능성을 알렸다. 23일에는 별도 서비스인 APO백업서비스에서도 침해 정황을 확인했다고 공지했다. 26일 공동대표 명의 사과문에서는 약 160억원의 정보보안 투자를 집행하며 보안을 강화하고 있다고 밝혔다.
사진제공=더존비즈온
직원 계정으로 들어온 외부인...백업서버에서도 침해 정황
첫 번째 사고의 침입에 이용된 것은 직원의 VPN(가상사설망) 계정이었다. 더존비즈온은 개발서버 공격 징후를 조사하는 과정에서 신원불상자가 VPN 계정으로 내부 시스템에 무단접속해 데이터를 조회한 기록 등의 정황을 확인했다고 설명했다.
유출 가능성이 있다고 밝힌 항목은 일부 Smart A 10 이용사가 보유·관리하는 성명, 주민등록번호, 계좌번호, 주소, 휴대전화번호, 이메일 등이다. 주민등록번호 뒷 6자리와 계좌번호는 암호화돼 있었다고 회사는 밝혔다. 공지 당시 실제 유출 대상과 항목은 특정하지 못했다고 설명했다.
23일 공지에는 데이터 반출 정황이 담겼다. 더존비즈온은 APO백업서비스를 점검하다 이상 징후를 발견했고, 백업 솔루션 제공업체로부터 취약점이 있다는 사실을 전달받았다고 밝혔다. 이후 내부 조사에서 해당 취약점을 통해 백업서버의 암호화 데이터 일부가 외부로 반출된 정황을 확인했다.
백업 데이터는 모두 암호화돼 있었고 암호화 키가 유출된 정황은 발견되지 않았다는 게 회사 설명이다. 다만 저장된 내용에 개인정보가 포함돼 있다면 해당 정보도 유출 가능성이 있다. 두 사고의 관련성에 대해 회사는 공지 당시까지 확인하는 데 실패했다.
160억원 투자 강조...발표에 빠진 기간과 세부 내역
회사는 사고 이후 보안 강화 노력을 설명하면서 160억원이라는 숫자를 제시했다. 그러나 26일 사과문과 같은 날 보도자료에는 이 금액의 산정 기간과 사고 전 집행액, 개발서버·백업서버에 적용된 세부 투자 내역이 담기지 않았다.
투자액만 제시된 상태에서 160억원 전액을 사고 전에 썼다고 볼 수는 없다. 이 돈이 사고가 난 영역에서 어떤 보호 조치로 쓰였는지도 가늠하기 어렵다.
더존비즈온은 사고 확인 뒤 외부 접근 경로를 차단하고 관련 계정의 보호 조치를 취했으며, 관계기관에 신고했다고 밝혔다. 백업서버 사고에 대해서는 외부 백업 솔루션의 취약점에 따른 제로데이 사건이라고 설명했다. 제공 중인 서비스는 정상 운영되고 있으며 정부 민관합동조사단 조사에도 협조하겠다는 입장이다.
서비스가 돌아간다는 설명은 고객정보의 상태까지 말해주지는 않는다. 누가 어떤 정보를 조회했는지, 백업 데이터는 어디까지 반출됐는지는 별도로 확인해야 한다.
'권한과 기록' 내세운 더존, 내부 관리에도 같은 질문
더존비즈온은 기업의 데이터를 다루는 데 필요한 기준을 먼저 제시해온 회사이기도 하다.
지난 12일 게시한 기업용 AI 관련 보도자료에서는 명확한 정책과 권한, 감사 가능한 기록을 신뢰할 수 있는 AI 활용의 기반으로 설명했다. ERP와 그룹웨어 등 기업의 핵심 업무 시스템에 AI를 연결하면서 통제와 책임을 강조한 것이다.
지용구 공동대표는 해당 자료에서 "신뢰할 수 있는 AI 실행 환경을 제시하고 대한민국 기업의 AX 확산을 이끌겠다"고 밝혔다.
고객에게 제시한 기준이라면 회사 내부에서도 어떻게 지켜졌는지 설명할 수 있어야 한다. 직원 계정에 어느 범위까지 접근 권한이 있었는지, 남아 있는 기록으로 고객정보의 영향을 어디까지 확인할 수 있는지가 이번 사고에서 따져볼 대목이다.
회사는 사고 조사를 통해 개발 환경의 데이터 관리 절차와 접근 통제 체계를 점검하겠다고 밝혔다. 점검하겠다는 항목에는 고객에게 신뢰의 근거로 제시했던 내용이 겹친다. 고객이 맡긴 정보에 무슨 일이 있었고 무엇을 바꿀 것인지, 다음 설명에는 그 답이 담겨야 한다.