국내 중소기업의 ‘회계 정보’를 관리하는 소프트웨어 업체 더존비즈온에서 해킹 사고가 반복 발생하면서 중소기업들의 경영 정보 유출 가능성에 경고등이 켜졌다. 침해 사고에 노출된 솔루션은 주민등록번호 등 일반적인 개인정보를 넘어 기업의 매출·매입 내역과 임직원 급여, 소득·납세 정보까지 다루고 있어 실제 유출이 확인되면 피해가 광범위해질 수 있다. 소규모 기업들은 금융사기 등 2차 피해에 대비하기도 어려워 파장이 우려된다.
과학기술정보통신부는 26일 “더존비즈온의 잇단 해킹 사고를 중대한 침해 사고로 1차 판단하고 민관합동조사단을 구성했다”고 밝혔다. 정부가 사이버 침해 사고 조사를 위해 민관합동조사단을 꾸린 것은 올 6월 온라인동영상서비스(OTT) 티빙의 대규모 개인정보 유출 사고 이후 약 5개월 만이다. 과기정통부 관계자는 “다발적 피해 발생 우려와 국민·국가적 영향, 피해 확산 가능성 등을 종합적으로 고려해 중대하다고 판단했다”고 설명했다. 조사단에는 과기정통부와 한국인터넷진흥원(KISA)을 비롯해 사이버보안·시스템·네트워크 분야 민간 전문가들이 참여한다.
더존비즈온은 기업의 회계·세무·인사·급여 등 경영관리 업무를 지원하는 전사적자원관리(ERP) 소프트웨어 전문기업이다. 중소·중견기업들은 별도의 경영관리 시스템을 직접 구축하는 대신 더존비즈온의 솔루션을 활용해 회계장부 작성부터 세금 신고, 임직원 급여 관리 등 주요 업무를 처리한다. 특히 국내 세무회계법인의 80% 이상이 더존비즈온의 솔루션을 통해 고객 기업의 컨설팅을 관리한다.
이번 침해 사고와 관련된 서비스는 중소기업용 회계·세무 프로그램인 ‘Smart A 10’과 기업용 데이터 백업 서비스인 ‘APO백업서비스’ 등 두 가지다. 더존비즈온은 이달 15일 내부 조사 과정에서 신원 불상 공격자가 Smart A 10 관련 직원의 가상사설망(VPN) 계정을 이용해 내부 시스템에 무단 접속한 정황을 확인하고 16일 이를 KISA에 신고했다. 회사 측은 “주민등록번호 뒷부분 6자리와 계좌번호는 암호화된 상태였다”고 설명했지만 다른 개인정보의 유출 가능성도 배제할 수 없다. 김승주 고려대 정보보호대학원 교수는 “일반적으로 개인정보 유출이라고 하면 주민등록번호나 전화번호, e메일 주소 등을 떠올리지만 회계·세무 정보에는 개인의 소득과 납세 내역, 가족 관계 등 훨씬 민감한 내용이 포함될 수 있다”며 “실제 이러한 정보가 유출됐다면 주민등록번호 등이 유출되는 것보다 더 치명적일 수 있다”고 설명했다.
회사는 APO백업서비스 점검 과정에서 이상 징후를 발견하고 21일 KISA에 이를 신고했다고 밝혔다. APO백업서비스는 고객사의 업무 데이터를 별도 서버에 암호화해 보관하고 필요할 때 복구할 수 있도록 지원하는 서비스다. 더존비즈온은 이상 징후 발견 직후 백업 솔루션 공급 업체인 아세이(Ahsay)에 문의해 보안 취약점이 있다는 사실을 전달받고 내부 조사에서 백업 서버에 저장된 암호화 데이터 일부가 외부로 반출된 정황을 확인했다. 아세이는 이달 10일부터 자사 백업 솔루션의 심각한 보안 취약점에 대응해 긴급 조치에 나선 것으로 전해진다.
백업 데이터 역시 기업의 매출·매입 내역과 거래처 정보, 임직원 급여 자료 등 민감한 업무 정보를 포함한다. 이러한 정보가 실제 노출될 경우 거래처 사칭을 통한 금융사기나 영업비밀 유출 등 2차 피해로 이어질 가능성도 크다. 해외 보안 업체 비트디펜더는 15일 아세이의 백업 솔루션 침해 사고 분석 보고서에서 “백업 관리 서버에 다른 시스템이나 저장소에 접근할 수 있는 인증 정보가 보관돼 있을 수 있다”고 경고했다.
보안 업계에서는 이번 사고를 하나의 소프트웨어 취약점이 다수 고객사의 피해로 확산할 수 있는 새로운 사례로 보고 있다. 특히 아세이처럼 여러 기업의 데이터를 중앙에서 백업·관리하는 시스템이 공격받을 경우 공격자가 한 번의 침입으로 여러 고객사의 데이터와 시스템에 접근할 수 있어 일반적인 개별 기업 해킹보다 피해 범위가 커질 수 있다는 것이다.
특히 중소·중견기업은 외부 업체에 데이터 관리를 의존하는 경우가 많아 사고가 발생하더라도 자체적으로 유출 여부와 피해 범위를 파악하기 어렵다. 황석진 동국대 국제정보보호대학원 교수는 “이번 사건은 개별 기업의 정보 유출을 넘어 다수 기업의 핵심 업무 정보가 동시에 위험에 노출됐다는 점이 큰 특징”이라며 “개발 서버와 외부 백업 서버의 보안 문제가 드러난 만큼 소프트웨어 공급 업체의 보안 체계를 전체적으로 점검해봐야 한다”고 말했다.