임직원·협력사 개인정보 유출

계열사 사고 올해만 세 번째

연초 위버스 직원 유출 이어

9월 위버스 42만 건 사고까지

하이브
하이브

[헤럴드경제=고승희 기자] 국내 최대 엔터테인먼트사 하이브의 내부 시스템이 외부 공격에 뚫렸다. 전·현직 임직원과 협력사 관계자의 주민등록번호, 여권번호, 계좌·카드번호에 의료정보까지 빠져나갔다. 하이브 계열사에서 개인정보 사고가 발생한 것은 올해만 세 번째다.

2일 가요계에 따르면 하이브는 지난달 18일 공식 홈페이지에 ‘개인정보 유출 관련 사과의 말씀 및 안내’를 올렸다.

하이브는 공지에서 “최근 사내 보안 점검 과정에서 전자결재시스템에 연동된 외부 업체의 문서 미리보기 솔루션에 외부로부터 비정상적인 접근이 있었던 정황을 발견했다”고 밝혔다. 이어 “추가 조사 과정에서 비용처리시스템에서도 유사한 방식의 비정상적인 접근이 이루어진 사실이 확인됐다”고 알렸다.

유출은 두 차례 일어났다. 1차는 9월 12일 오후 1시 16분부터 이튿날 오전 11시 14분까지, 2차는 10월 3일 오후 10시 41분부터 10월 5일 오후 3시 5분까지 이어졌다. 이 기간 두 시스템에 보관돼 있던 내부 문서와 그 안에 담긴 개인정보가 외부로 넘어갔다.

새나간 정보는 이름, 주민등록번호, 외국인등록번호, 여권번호, 계좌번호, 카드번호, 휴대전화·일반 전화번호, 이메일 주소, 주소, 의료정보, 생년월일 등이다. 일부는 IP 주소와 사번, 소속 부서명까지 노출됐다. 유출 항목은 사람마다 다르다. 각자의 업무와 결재 내역에 따라 문서에 담긴 정보가 달랐기 때문이다. 하이브는 전체 피해 인원과 유출 규모는 밝히지 않았다.

하이브는 공격에 사용된 IP와 접근 경로를 모두 차단하고, 문제가 된 외부 문서 미리보기 서비스를 중지했다. 관련 법령에 따라 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했고, 피해 대상자에게는 유출 항목을 개별 통지하고 있다. 연락처가 남아 있지 않은 전직 구성원과 협력사 관계자는 전담 창구에서 본인 확인을 거쳐 유출 여부를 조회할 수 있다. 하이브는 “현재까지 개인정보를 악용한 의심 사례는 접수되지 않았다”고 전했다.

2차 피해에 대한 경고도 덧붙였다. 하이브는 회사 부서나 임직원을 사칭해 계정 정보, 금전, 민감한 자료를 요구하는 연락에 응하지 말라고 당부했다. 출처가 불분명한 이메일의 첨부파일을 열거나 URL에 접속하는 일도 삼가 달라고 했다.

하이브 계열의 개인정보 사고는 처음이 아니다. 지난 9월에는 자회사 위버스컴퍼니가 운영하는 팬 플랫폼 위버스에서 계정 42만2584건의 정보가 유출됐다. 유출은 7월과 8월 두 차례 있었다. 내부식별정보와 결제 수단, 구매·환불 내역이 빠져나갔고, 회사는 KISA를 통해 외부 제보를 전달받은 뒤에야 이를 확인했다.

올해 1월에는 위버스 직원이 팬 사인회 응모자의 이름과 출생연도를 지인들과의 단체 대화방에 공유한 사실이 드러났다. 이 직원은 공개방송 이벤트 당첨자 30명의 이름, 생년월일, 전화번호가 담긴 명단도 외부로 넘겼고, 회사는 그를 형사 고소했다. 2021년 11월에는 위버스컴퍼니가 개인정보보호위원회에서 과태료 700만원을 부과받았다. 개발 오류로 타인 계정에 로그인이 되면서 137건의 개인정보가 다른 이용자에게 공개된 데 따른 처분이었다. 2024년 10월에는 아이돌 외모 품평이 담긴 하이브 내부 보고서가 국정감사와 온라인 커뮤니티를 거쳐 잇따라 바깥으로 퍼졌다.

하이브는 “앞으로 당사는 사내 시스템의 접근 제어 및 보안 모니터링을 한층 강화하고, 철저한 원인 규명과 보안 체계 개선을 통해 이와 같은 유사 사고가 재발하지 않도록 최선의 노력을 다하겠다”고 약속했다.이브 원


shee@heraldcorp.com