1. 개요
- 참존오토모티브는 벤틀리 차량 판매·전시장 운영·정비 및 사후관리 서비스를 제공하는 벤틀리 국내 공식 딜러사입니다.
- 침해사고 발생시점: 참존오토모티브 측은 “수탁사 및 관계 기관에서 정확한 발생 일자를 조사 중”이라고 밝혔습니다.
- 침해사고 인지시점: 2026년 10월 28일 22시 26분경, 백업 업무 수탁사인 더존비즈온으로부터 통보받았습니다.
- 사고 성격: 더존비즈온의 ‘APO 백업서비스’ 서버 보안 취약점으로 백업서버에 저장된 암호화 데이터 일부가 외부로 반출된 정황이 확인된 사고이며, 참존오토모티브는 해당 서비스를 이용하던 고객사입니다.
- 공지 시점: 참존오토모티브는 2026년 10월 30일 고객 대상 안내·통지서를 게시했습니다.
2. 피해범위
- 참존오토모티브 관점에서 유출 가능성이 있는 정보주체 수, 실제 피해 인원, 유출 건수는 확인되지 않았습니다.
- 참존오토모티브는 “현재까지 고객 개인정보가 실제 유출되거나 악용된 사실은 확인되지 않았다”고 밝혔습니다.
- 실제 유출 대상과 정보 항목은 수탁사 및 관계 기관 조사 결과에 따라 달라질 수 있다고 안내했습니다.
- 상위 수탁사인 더존비즈온 차원에서는 스마트A 10 이용 기업이 11만 곳을 넘고, 그중 3분의 1 이상이 APO 백업서비스를 이용하는 것으로 알려져 최대 11만 고객사가 유출 위험에 노출될 수 있다는 우려가 제기됐습니다.
- 다만 이는 참존오토모티브의 실제 피해 규모가 아니라 더존비즈온 서비스 전체의 잠재 영향 범위에 관한 내용입니다.
- 더존비즈온은 당시 유출 등으로 영향을 받은 고객사와 정보주체를 특정하기 어렵다고 밝혔습니다.
3. 유출항목
- 참존오토모티브가 백업서버에 보관했던 것으로 안내된 유출 가능 항목은 다음과 같습니다.
- 성명
- 연락처
- 이메일 주소
- 기타 해당 백업서버에 보관 중이던 개인정보
- 다만 참존오토모티브 측은 실제 유출 대상과 정확한 항목이 아직 확정되지 않았다고 밝혔습니다.
- 더존비즈온 사고 전체와 관련해서는 개발서버 침해와 연관된 ‘스마트A 10’ 이용 기업 보유 정보로 성명, 주민등록번호(뒷 6자리 암호화), 계좌번호(암호화), 주소, 휴대폰 번호, 이메일이 유출 가능성이 있는 항목으로 언급됐습니다.
- 그러나 이 항목 목록은 참존오토모티브 고객 정보에 직접 적용된 것으로 확인되지 않으며, 참존오토모티브 공지에는 포함되지 않았습니다.
4. 원인
- 더존비즈온의 APO 백업서비스 백업 솔루션 내 취약점이 악용돼 외부에서 불법 접근한 것으로 확인됐습니다.
- 백업서버에 저장된 암호화된 데이터 일부가 외부로 반출된 정황이 확인됐습니다.
- 더존비즈온은 백업 솔루션 제공사 아세이(Ahsay)의 취약점을 악용한 제로데이 공격 가능성을 확인했다고 밝혔습니다.
- 참존오토모티브 측은 백업서버 데이터가 모두 암호화돼 있었고, 암호화 키가 유출된 정황은 발견되지 않았다고 안내했습니다.
- 더존비즈온의 별도 개발서버 침해에서는 직원 원격 접속용 계정, 즉 VPN 계정을 통한 무단 접속 정황이 확인됐다고 전해졌습니다.
- 다만 이는 참존오토모티브가 통보받은 APO 백업서버 사고와 구분해 확인해야 하는 내용입니다.
5. 대응
- 더존비즈온의 조치
- 사고 인지 직후 해당 백업서버를 강제 종료했습니다.
- 해외 IP 접근을 차단하고 추가 보안 강화를 완료했습니다.
- 외부 접근 경로 차단 및 관련 계정 보호 조치를 시행했으며, 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했습니다.
- 과학기술정보통신부는 2026년 10월 25일 이 사고를 중대 침해사고로 판단하고 민관합동조사단을 구성해 조사에 착수했습니다.
- 참존오토모티브의 조치
- 10월 28일 더존비즈온으로부터 통보받은 뒤 즉시 대응에 착수했습니다.
- 수탁사에 재발 방지 대책과 조치 결과를 요구했습니다.
- 자사의 백업 및 데이터 관리 시스템 전반을 재점검하고 있습니다.
- 고객에게 보이스피싱·스미싱 등 2차 피해 주의를 당부했고, 실제 피해 발생 시 법령에 따라 피해 접수 및 구제 절차를 진행하겠다고 밝혔습니다.
- 개인정보보호 담당자 전화 및 이메일을 통해 문의·피해 접수 창구를 운영한다고 안내했습니다.
6. 문제점
- 확인된 내용을 기준으로 다음과 같은 문제가 제기될 수 있습니다.
- 정확한 사고 발생일 미확정: 참존오토모티브는 통지 시점까지 유출 가능성 발생 일시를 확인하지 못했다고 밝혔습니다.
- 유출 대상·항목·규모 미확정: 실제 유출 여부, 영향받은 고객, 정확한 유출 항목과 건수가 확정되지 않았습니다.
- 위탁 업체 의존에 따른 피해 확산: 참존오토모티브 자체 시스템 침해가 아니라 백업 업무를 위탁한 더존비즈온의 서버 취약점으로 인해 고객 정보 유출 가능성이 발생했습니다.
- 상위 사고의 광범위한 파급 우려: 더존비즈온 서비스 이용 고객사가 다수인 점에서 고객사와 그 고객으로 이어지는 연쇄 피해 가능성이 우려됐습니다.
- 정보주체 통지 방식 관련 지적: 더존비즈온이 개별 정보주체 통지 대신 홈페이지 공지로 갈음한 점이 개인정보보호법상 정보주체 통지 취지와 관련해 문제로 지적됐습니다.
- 2차 피해 우려: 유출 가능성이 확인된 상황에서 사칭 문자·전화 등 보이스피싱과 스미싱 피해 가능성이 제기됐으며, 참존오토모티브도 이에 대한 주의를 당부했습니다.
반응형