SM엔터테인먼트(이하 SM엔터)가 외부 해킹 공격으로 임직원 등의 주민등록번호와 계좌번호를 비롯한 개인정보가 유출된 사실을 확인하고 공식 사과했다. 일부 계열사에서도 유사한 피해가 발생한 가운데, 정확한 유출 규모와 사고 경위에 대한 조사가 진행 중이다.
지난 8일 SM엔터 홈페이지에 게시된 개인정보 유출 안내문에 따르면 회사는 최근 내부 보안 모니터링 과정에서 외부 공격자가 업무 시스템에 무단 접근해 일부 문서 파일을 외부로 유출한 사실을 확인했다.
SM엔터는 "당사는 최근 내부 보안 모니터링 과정에서 외부 공격자가 비인가된 방식으로 당사 업무 시스템(전자결재시스템 등)에 접근해 보관 중이던 일부 문서 파일을 외부로 유출한 사실을 확인했다"고 밝혔다.
이어 "관계 당국과 함께 정확한 사고 경위를 면밀히 조사하고 있다”며 “이번 사고로 심려를 끼쳐드려 진심으로 사과드린다"고 전했다.
SM엔터테인먼트 홈페이지 캡처
개인정보 유출은 지난 4일께 발생한 것으로 파악됐다. 유출된 정보에는 이름과 휴대전화번호, 주소, 계좌번호, 주민등록번호, 소속 부서와 직위·직책, 계약서에 기재된 정보 등이 포함됐다.
다만 대상자별로 유출된 개인정보 항목은 다르며, 정확한 피해 인원과 유출 범위는 아직 확인되지 않았다.
이번 해킹 피해는 SM엔터뿐 아니라 일부 계열사에서도 발생했다. 팬 소통 플랫폼 '버블'을 운영하는 정보기술(IT) 계열사 디어유와 공연 기획 계열사 드림메이커 엔터테인먼트에서도 같은 날 유사한 개인정보 유출 사고가 확인됐다.
SM엔터는 현재 유출 대상자와 구체적인 개인정보 항목을 파악하고 있으며, 이메일이나 문자메시지 등을 통해 해당 사실을 개별적으로 통지하고 있다.
사고를 인지한 직후에는 공격에 사용된 인터넷주소(IP)와 접근 경로를 차단하고 비인가 접근에 이용된 키를 교체하는 등 추가 피해를 막기 위한 조치를 취했다.
SM엔터는 "사고 인지 즉시 공격에 사용된 IP와 접근 경로를 전면 차단하고, 해당 비인가 접근 키를 교체하는 등 추가적인 공격 및 정보 유출을 차단했다"며 "이와 함께 정부 당국 및 외부 전문기관과의 협력을 통한 정밀 조사, 보안 체계 점검 등 피해를 방지하기 위해 필요한 추가 조치를 시행할 예정"이라고 밝혔다.
회사는 한국인터넷진흥원(KISA)과 개인정보보호위원회 등 관계기관에 사고를 신고했으며, 외부 전문기관과 함께 보안체계 전반을 점검하고 있다.
특히 이번 사고와 관련해 소속 연예인의 개인정보가 유출됐는지 여부에도 관심이 쏠리고 있다.
SM엔터 측은 소속 연예인의 정보 유출 여부와 전체 피해 규모에 대한 질문에 "상세 유출 내용 및 규모 파악중이며, SM 구성원 및 협력사 관계자 등의 정보가 포함되어 있다"고 답했다.
이어 "팬 정보는 유출되지 않았으며, 한국인터넷진흥원(KISA), 개인정보보호위원회 등 관계기관에 신고했다"고 덧붙였다.
SM엔터테인먼트 본사 사옥 / SM엔터테인먼트
현재까지 유출된 개인정보를 악용한 2차 피해 사례는 확인되지 않은 것으로 전해졌다.
다만 SM엔터는 회사나 관계자를 사칭해 금전을 요구하거나 개인정보 확인을 유도하는 보이스피싱과 스미싱 등의 피해가 발생할 수 있다며 주의를 당부했다.
또 개인정보 유출로 손해를 입은 경우 개인정보 보호법에 따른 손해배상 청구나 개인정보 분쟁조정위원회를 통한 분쟁조정 신청이 가능하다고 안내했다.
SM엔터는 "현재까지 유출된 개인정보가 악용된 2차 피해 사례는 확인되지 않았다"며 "당사는 이번 사고를 매우 엄중하게 받아들이고 있으며, 사내 시스템의 접근 제어 및 보안 모니터링을 한층 강화하고, 철저한 원인 규명과 보안 체계 개선을 통해 유사 사고가 재발하지 않도록 최선의 노력을 다하겠다"고 전했다.
회사는 향후 관계당국과의 조사 결과를 바탕으로 정확한 피해 규모를 확인하고, 유사 사고 재발 방지를 위한 보안 강화 조치를 이어갈 방침이다.