기업 11만곳의 장부가 위험하다

토종 전사적자원관리(ERP) 시장의 주요 업체인 더존비즈온에서 해킹 사고가 발생해 고객사들의 인사·급여·회계 정보가 유출됐을 가능성이 제기됐다.

주민등록번호와 계좌번호 등 민감한 개인정보뿐 아니라 기업의 재무·영업 정보까지 영향을 받을 수 있다는 점에서 파장이 예상된다. 금융권을 겨냥한 해킹을 넘어 기업의 핵심 업무 시스템 전반으로 사이버 공격의 범위가 넓어지고 있다는 점에서 그 심각성이 높은 것으로 평가된다.

27일 정부와 업계에 따르면 더존비즈온은 지난 16일과 21일 두 차례 침해 사고를 신고했다. 첫 번째는 클라우드 기반 회계·인사·물류 솔루션인 ‘스마트A10’, 두 번째는 데이터 백업 서비스인 ‘APO백업서비스’와 관련된 사고다.

정부는 고객사로 피해가 확산할 가능성과 파급력을 고려해 이번 사건을 중대 사고로 규정하고 민관합동조사단을 구성해 조사에 착수했다.

더존비즈온에 따르면 스마트A10은 11만 개 이상의 기업이 사용하고 있으며, 중소기업과 세무회계사무소에서 폭넓게 이용되고 있다. 이번 사고의 실제 피해 범위는 아직 확인되지 않았지만, 이용 기업의 수와 시스템이 다루는 정보의 성격을 고려하면 조사 결과에 따라 상당한 파장이 발생할 수 있다.

스마트A10 관련 사고에서는 신원불상자가 직원의 가상사설망(VPN) 계정을 이용해 내부 시스템에 무단 접속한 뒤 데이터를 조회한 기록이 확인됐다. 유출 가능성이 제기된 정보는 성명, 주민등록번호, 계좌번호, 주소, 휴대전화번호, 이메일 등이다. 더존비즈온은 사고를 인지한 뒤 침입에 이용된 계정을 차단하고 VPN 기능을 비활성화했으며, 관련 해외 IP도 차단했다고 밝혔다.

백업 서비스에서도 별도의 침해 정황이 확인됐다. 더존비즈온은 서비스 점검 과정에서 이상 징후를 발견했고, 백업 솔루션 제공사의 취약점을 통해 백업 서버에 저장된 일부 암호화 데이터가 외부로 반출된 정황을 확인했다고 설명했다.

해당 데이터에 개인정보가 포함돼 있다면 추가 유출 가능성을 배제할 수 없다. 회사는 피해 서버를 종료하고 외부 접근을 차단했으며, 암호화 키가 유출된 정황은 발견되지 않았다고 밝혔다. 두 사고의 연관성은 현재 조사 중이다.

이번 사건에서 특히 주목해야 할 부분은 ERP가 보유한 정보의 가치다. ERP는 기업의 인사·재무·회계·급여·구매·영업 등 핵심 업무를 통합 관리하는 시스템이다. 직원의 개인정보와 급여 내역은 물론 거래처 정보, 매출과 비용, 자금 흐름 등 기업의 경영 활동을 파악할 수 있는 자료가 한곳에 모일 수 있다.

기업 한 곳의 시스템이 침해되는 것과 달리, 여러 고객사의 데이터를 처리하는 솔루션 사업자가 공격받으면 피해가 다수 기업으로 확산할 가능성이 있다. ERP와 백업 시스템은 기업의 업무와 데이터를 유지하는 기반인 만큼, 이곳에서 정보가 유출되면 개인정보 침해를 넘어 기업의 영업 비밀과 거래 관계까지 위협받을 수 있다.

공격자가 확보한 정보를 이용해 특정 기업의 자금 사정이나 거래 구조를 파악하거나, 임직원과 거래처를 겨냥한 사기·피싱 공격에 악용할 가능성도 있다.

더존비즈온은 주민등록번호 뒤 6자리와 계좌번호가 암호화 처리됐고, 백업 서버의 데이터도 암호화된 상태였다고 밝혔다. 그러나 암호화됐다는 사실만으로 안전성이 최종 확인되는 것은 아니다. 실제 암호화 방식과 적용 범위, 암호화 키의 관리 상태, 공격자가 접근한 데이터의 범위 등을 확인해야 피해 수준을 판단할 수 있다.

회사 측 설명대로 암호화 키가 유출되지 않았다면 데이터 악용 가능성을 낮출 수 있지만, 정부 조사에서 이를 검증하는 과정이 필요하다.

이번 사건은 사이버 공격의 표적이 금융기관이나 공공기관에 한정되지 않는다는 사실도 보여준다. 기업의 핵심 업무 시스템과 데이터를 보관하는 백업 인프라 역시 공격 대상이 될 수 있기 때문이다. 금융권 해킹이 직접적인 자금 탈취나 금융 서비스 중단으로 이어질 수 있다면, ERP와 같은 기업 시스템에 대한 공격은 개인정보와 경영 정보, 거래 관계를 동시에 위협할 수 있다.

공격 경로가 다양해지고 표적이 넓어지는 상황에서 보안 취약점 하나가 여러 기업의 위험으로 이어질 수 있다는 의미다.

기업의 디지털 전환이 진행될수록 핵심 정보는 개별 기업의 내부 시스템뿐 아니라 클라우드 서비스와 외부 솔루션, 백업 업체 등 여러 인프라에 분산된다. 이에 따라 보안 책임도 개별 기업의 방화벽이나 내부망 관리에만 머물 수 없다.

서비스 제공업체의 접근 권한 관리, 외부 솔루션의 취약점 점검, 데이터 암호화와 키 관리, 침해 사고 발생 시 고객사 통보와 피해 확산 방지까지 공급망 전반의 보안 체계를 점검해야 한다.

더존비즈온은 고객사를 상대로 정보를 언급하며 금전을 요구하거나 파일 열람과 링크 클릭을 유도하는 사칭 연락에 주의해 달라고 당부했다. 개인정보가 실제로 유출됐다면 보이스피싱과 스미싱, 명의도용, 계좌 이상 거래 등 2차 피해로 이어질 수 있기 때문이다. 회사는 과학기술정보통신부의 조사에 성실히 협조하겠다고 밝혔다.

결국 이번 사고의 심각성은 단순히 해킹이 발생했다는 사실만으로 결정되지 않는다. 실제로 어떤 정보에 접근했는지, 어느 범위까지 외부로 반출됐는지, 암호화가 실효적으로 작동했는지에 따라 피해 규모가 달라진다.

정부 조사에서는 침입 경로와 취약점뿐 아니라 고객 데이터에 대한 접근 범위, 암호화 체계의 안전성, 두 사고의 연관성까지 확인해야 한다.

기업의 핵심 정보가 디지털 시스템에 집중될수록 이를 노리는 공격의 잠재적 가치도 커진다. 금융권뿐 아니라 기업의 인사·회계·물류·백업 시스템까지 공격 대상이 되는 상황에서, 보안을 개별 기업의 기술적 문제로만 볼 수는 없다. 한 사업자의 침해가 수많은 고객사의 개인정보와 경영 정보에 영향을 미칠 수 있다는 점에서 이번 사건은 기업 데이터 인프라 전반의 보안 수준을 다시 점검해야 할 계기가 되고 있다.