2026.10.21 한국여자프로골프협회(KLPGA) (더존비즈온 해킹) 개인정보유출 요약

 

1. 개요

• 업체(사이트): KLPGA는 한국 여자 프로골프 투어를 주관하는 사단법인 한국여자프로골프협회입니다.
• 사고 내용: KLPGA는 2026년 10월 29일 홈페이지에 “더존비즈온 고객사 개인 정보 유출 가능성 관련 안내”를 게시했습니다. 이는 KLPGA가 더존비즈온의 고객사로서 해당 해킹 사고의 영향 가능성을 안내한 것입니다.
• 침해사고 발생시점: 더존비즈온 측 기준으로 2026년 10월 15일 외부자가 직원 VPN 계정으로 내부 개발 서버에 무단 접속해 데이터를 조회한 정황이 확인되었습니다. 같은 달 21일에는 백업 서버 관련 침해사고가 추가 신고되었습니다.
• 침해사고 인지시점: 더존비즈온은 2026년 10월 15일 침해사고를 인지한 뒤 외부 접근 경로를 차단하고 계정 보호 조치를 했으며, 10월 16일과 21일 KISA·개인정보보호위원회에 신고했습니다. KLPGA가 이를 고객사 공지로 안내한 시점은 2026년 10월 29일입니다.

 

2. 피해범위

• KLPGA 회원 대상 피해 규모: KLPGA 공지 및 확인 가능한 자료에서는 KLPGA 회원의 실제 유출 인원, 유출 확정 여부, 피해 범위가 밝히지 않았습니다.
• 더존비즈온 사고 전체 범위: ‘Smart A 10’ 일부 이용사가 보유·관리하는 개인정보의 유출 가능성이 제기되었으며, 해당 서비스 이용 기업은 최대 11만 곳으로 추정됐습니다. 다만 이는 KLPGA 피해 규모가 아니라 더존비즈온 고객사 전체의 잠재 영향 범위입니다.
• 최신 확인 내용: 2026년 10월 26~27일 기준으로도 실제 유출 여부, 피해 고객사, 정보주체 인원은 확인되지 않았다고 안내되었습니다.

 

3. 유출항목

• KLPGA 회원 정보: 회원의 성명, 주민등록번호, 주소 등
• 더존비즈온 ‘Smart A 10’ 기준 유출 가능 항목: 성명, 주민등록번호(뒷 6자리 암호화), 계좌번호(암호화), 주소, 휴대전화번호, 이메일입니다.

 

 

4. 원인

• 더존비즈온의 개발 서버에는 신원불상자가 직원의 VPN 계정을 이용해 무단 접속한 정황이 확인되었습니다.
• 별도로 APO 백업서비스 관련 서버에서는 백업 솔루션 제공사 아세이(Ahsay)의 보안 취약점이 악용된 것으로 추정되며, 암호화된 데이터 일부가 외부로 반출된 정황이 확인됐습니다.
• 다만 백업자료는 암호화되어 있었고 암호화 키 유출 정황은 발견되지 않았다는 설명도 함께 제시되었습니다.

 

5. 대응

• 더존비즈온: 사고 인지 후 외부 접근 경로를 차단하고 관련 계정을 보호 조치했으며, KISA와 개인정보보호위원회에 두 차례 신고했습니다.
• 정부: 과학기술정보통신부는 이 사고를 중대 사고로 판단하고 10월 25일 민관합동조사단을 구성해 원인과 피해 현황 조사에 착수했습니다.
• KLPGA: 2026년 10월 29일 홈페이지에 더존비즈온 고객사 개인정보 유출 가능성 관련 안내를 게시했습니다.
• 이용자 주의 안내: 더존비즈온과 관계 기관은 자사·공공기관을 사칭해 개인정보·금융정보·인증정보를 요구하는 문자나 전화에 주의하라고 당부했습니다.

 

6. 문제점

• 유출 확정 여부 미확인: 실제 유출 여부, KLPGA 회원 대상 피해 규모, 유출된 정보주체가 특정되지 않은 상태에서 “유출 가능성”만 공지되었습니다.
• 정보주체 개별 통지 한계: 더존비즈온은 서비스 특성상 정보주체 연락처 확인이 어렵다는 이유로 홈페이지 공지로 갈음했다고 밝혔으며, 이러한 통지 방식의 적절성이 문제 제기됐습니다.
• 피해 범위 파악 지연 우려: 고객사 최대 11만 곳이 잠재 영향권으로 언급됐으나, 구체적 피해 고객사와 인원은 조사 중이었습니다.