[보안 이슈] 가입한 적 없는 ‘더존’이 해킹됐는데 내 월급 통장과 인사 정보가 거론되는 이유
전사적자원관리 기업 더존비즈온에서 2026년 10월 16일과 21일 두 차례 해킹 침해사고가 발생해 직장인의 인사·급여 정보 유출 가능성이 제기됐습니다.
안녕하세요, dailybetter입니다.
직접 가입한 적 없는 곳이라 무관해 보이지만, 직장인이 입사 때 낸 주민등록번호와 급여 계좌, 연락처는 더존 시스템을 거쳐 관리될 확률이 높습니다. 왜 내가 가입하지도 않은 기업 서버에서 내 월급 통장과 인사 데이터가 거론되는지 구조적 배경을 짚어보고, 실질적인 2차 피해를 차단하는 방어 절차를 정리해 드립니다.
10월에 두 번 뚫린 더존비즈온, 내 월급 명세서가 거기 있는 이유
더존비즈온은 2026년 10월 16일과 21일 두 차례 침해사고를 신고했고, 과학기술정보통신부는 10월 25일 민관합동조사단을 꾸려 조사에 착수했습니다. 1차 사고는 회계·인사 프로그램 ‘Smart A 10’ 개발 서버에서 외부인이 직원 VPN 계정으로 데이터를 조회한 건이며, 2차 사고는 ‘APO백업서비스’ 서버에서 외부 백업 솔루션(아세이)의 Zero-day 취약점을 노려 암호화된 백업 데이터 일부가 반출된 건입니다.
개인 회원이 아닌 기업용 서버에 직장인 정보가 존재하는 본질적인 이유는 급여·세금 데이터가 B2B 소프트웨어 공급망을 통해 처리되기 때문입니다. 국내 중소·중견기업 상당수는 세무사사무소에 기장을 위탁하거나 더존 프로그램을 직접 도입해 운용합니다. 인사·회계 담당자는 매달 Smart A 10 시스템에 직원의 성명, 주민등록번호, 주소, 급여 계좌를 입력해 4대보험과 소득세를 정산하고 원천징수를 신고합니다. 즉, 입사 당시 회사에 제출한 근로계약서와 통장 사본 정보가 이 시스템에 저장되어 매달 활용되고 있었던 셈입니다.
“공급망 시대의 보안은 내가 가입한 사이트를 지키는 것에서 끝나지 않고, 내 명의로 실행될 수 있는 외부 거래 통로를 제어하는 데서 완성됩니다.”
유출 가능성 항목 해부, ‘암호화됐다’는 말의 진짜 의미
현재 민관합동조사단이 정확한 유출 범위를 조사 중이며, 회사 측은 클라우드 서비스인 ‘위하고’는 이번 사고와 무관하고 핵심 식별 정보는 암호화되어 있었다고 밝혔습니다. 현재까지 공지된 유출 가능성 항목과 보호 상태는 다음과 같습니다.
유출 가능성 항목 및 실질적 위험 분석
| 구분 | 유출 가능성 항목 | 보호 상태 | 실질적 위험 |
|---|---|---|---|
| 기본 인적사항 | 성명, 휴대전화, 이메일, 주소 | 평문 노출 조사 중 | 회사·세무사·국세청 사칭 스미싱·피싱 |
| 신원 식별정보 | 주민등록번호 | 뒷 6자리 암호화 | 생년월일·연락처 결합 시 알뜰폰 부정 개통 시도 |
| 금융·급여정보 | 계좌번호 | 암호화 보관 | 직접 인출은 불가하나 보이스피싱 미끼로 악용 |
| 백업 데이터 | APO백업본 | 파일 암호화(키 미유출) | 열람은 어렵지만 복호화 가능성 검증 필요 |
주민등록번호 뒷자리와 계좌번호가 암호화됐다는 것은 즉시 인출되진 않지만 사기 수법이 정교해진다는 뜻입니다.
- 암호화의 의미: 데이터가 암호 코드로 변환돼 원문을 읽을 수 없고, 통장 비밀번호나 OTP는 인사 프로그램에 존재하지 않으므로 계좌에서 돈이 직접 인출되는 일은 불가능합니다.
- 맥락 정보 결합의 위험: 이름, 연락처, 이메일, 주소, 생년월일이 결합되면 정밀한 타깃 특정이 가능합니다. “급여 원천세 환급 안내”나 “연말정산 자료 수정 링크”처럼 직장인이 의심하기 어려운 맞춤형 사칭 연락이 올 수 있습니다.
직장인이 지금 바로 취해야 할 3단계 방어 조치
직접 회원으로 가입한 서비스가 아니기 때문에 개인이 홈페이지에 로그인해 유출 여부를 즉시 조회할 수는 없습니다. 대신 아래 3단계 조치를 통해 명의도용과 사칭에 따른 2차 피해를 구조적으로 차단할 수 있습니다.
1. 사내 인사팀 확인 및 사칭 링크 차단
인사팀에 소속 회사나 기장 세무사사무소가 Smart A 10 또는 APO백업서비스를 사용하는지 확인합니다. 당분간 문자나 이메일로 수신되는 급여 명세서, 원천징수 확인, 세무 정산 관련 링크는 절대 클릭하지 않아야 합니다. 더존비즈온이나 국세청, 세무사사무소는 문자 링크를 통해 계정 비밀번호나 금융 인증번호 입력을 요구하지 않습니다. 아울러 주요 이메일과 포털 계정은 패스키 설정 가이드를 참고해 피싱에 면역력이 있는 인증 체계로 보안을 높여두는 것이 안전합니다.
2. 엠세이퍼(M-Safer)로 휴대폰 개통 잠금 설정
이름·연락처·생년월일 노출 시 가장 치명적인 공격 시나리오는 범죄 조직이 내 명의로 알뜰폰을 몰래 개통해 금융기관 본인인증 절차를 뚫는 것입니다. 한국정보통신진흥협회가 운영하는 무료 사이트 엠세이퍼(명의도용방지서비스)에서 ‘가입제한서비스’를 신청하면 국내 전 통신사와 알뜰폰의 신규 회선·유심 개통을 일괄 차단합니다.
3. 금융권 차단 서비스는 금융 일정을 보고 선택
금융감독원 ‘개인정보노출자 사고예방시스템’이나 주거래 은행 앱의 ‘여신거래 안심차단 서비스’는 명의도용을 통한 신규 대출과 계좌 개설, 신용카드 발급을 원천 차단합니다. 다만 본인의 정상적인 금융 거래까지 함께 동결되므로 아래 기준을 먼저 점검해야 합니다.
[상황별 점검] 직장인 대처 우선순위
- 모든 직장인 공통: 엠세이퍼 ‘가입사실현황조회’로 모르는 번호 개통 여부를 확인한 뒤 ‘가입제한서비스’ 즉시 설정
- 대출·카드 발급·이사 계획 없음: 개인정보노출자 사고예방시스템 또는 ‘여신거래 안심차단’ 추가 설정
- 전세대출·한도 연장·카드 발급 예정: 예정된 금융 일정 완료 후 차단 서비스를 신청하고, 그전에는 엠세이퍼와 입출금 알림으로 방어
이것만 주의하세요 (본인 금융 거래 정지 주의): 금융권 차단 서비스는 등록 즉시 본인의 비대면 계좌 개설, 카드 발급·재발급, 마이너스 통장 연장, 전세대출 심사까지 모두 멈춥니다. 특히 여신거래 안심차단은 해지 시 본인이 신분증을 지참해 은행 영업점을 직접 방문해야 하므로 임박한 금융 일정을 반드시 먼저 확인하세요.
Q. 우리 회사는 다른 회계 프로그램을 쓰는데 무관한가요?
이직 경험이 있다면 이전 직장이나 세무대리인이 더존 프로그램을 썼을 수 있습니다. 세무 데이터는 국세 기본법 및 관련 법령에 따라 통상 5년간 보관되므로 이직자도 엠세이퍼 가입제한을 걸어두는 편이 안전합니다.
Q. 회사에서 ‘위하고’를 쓰는데 비밀번호를 바꿔야 하나요?
이번 사고는 ‘Smart A 10’ 개발 서버와 ‘APO백업서비스’에 국한됐으며 클라우드 기반인 ‘위하고’는 침해 정황이 없습니다. 다만 업무용 비밀번호를 개인 포털과 동일하게 썼다면 분리 변경하고 2단계 인증을 켜두는 것이 바람직합니다.
Q. 내 정보 유출 여부는 언제 통지되나요?
유출 대상이 특정되면 소속 회사나 세무사사무소를 통해 개별 통지됩니다. 민관합동조사단 조사 결과에 따라 피해가 확인된 고객사부터 순차 안내될 예정입니다.
💡 dailybetter 분석가 Note
이번 사고의 핵심은 ‘가입하지 않은 곳에서도 내 민감 정보는 언제든 움직인다’는 공급망 보안의 현실입니다. 직장인의 주민등록번호와 급여 계좌는 회사 인사 시스템과 세무사 백업 서버에 모여 있습니다. 이제 개인 보안의 패러다임은 ‘내 정보가 노출돼도 내 명의로 대출이나 휴대폰 개통이 일어나지 않게 사후 통제권을 잠가두는 것’으로 이동해야 합니다. 일상생활에 아무런 불편 없이 범죄 진입로를 막는 엠세이퍼 개통 제한부터 오늘 바로 설정해 두시기 바랍니다.
※ 참고: 더존비즈온, 「개인정보 유출 가능성 및 침해사고 공지」 (2026.10 발표)
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요