알려줘닷컴

[비즈니스피플] 채용 플랫폼 해킹으로 개인정보 유출 정황_2026년 03월

경험한사람 — Wed, 1 Apr 2026 22:45:25 +0900

전문직 채용 플랫폼 비즈니스피플이 약 18시간 동안 해커 공격을 받아 회원 및 기업 고객의 민감한 이력 정보가 유출된 정황이 확인됨

□ 개요

2026년 03월 25일 저녁부터 26일 낮까지 약 18시간 동안 채용 플랫폼 비즈니스피플에 대한 외부 해킹 공격이 발생하였다. 해당 공격으로 개인회원뿐 아니라 기업 채용 담당자 및 헤드헌터 정보까지 포함된 개인정보가 유출된 것으로 확인되었다. 회사는 사고 인지 즉시 접근 차단 및 보안 조치를 수행하고 관계기관 신고 후 추가 조사를 진행 중이라고 밝혔다.

□ 사고내용 요약

1. 회사명 : 비즈니스피플 (커리어케어 계열 채용 플랫폼)
2. 사고유형 : 홈페이지 대상 외부 해킹 공격 (비인가 접근 및 데이터 유출 정황)

3. 유출규모 : 미확정 (수백만 회원 중 일부 추정)
4. 유출항목
- 성명
- 성별
- 생년월일
- 휴대전화번호
- 이메일 주소
- 경력 사항
- 학력
- 자격증
※ 비밀번호, 이력서 파일, 소셜 로그인 정보는 유출되지 않은 것으로 발표

5. 특이사항
- 개인회원 + 기업 채용 담당자 + 헤드헌터 정보까지 포함
- 단순 개인정보가 아닌 이력 기반 고급 인재 DB 유출 가능성
- 타 채용 플랫폼 해킹 사고(캐치 등)와 유사 시기 발생

□ 사고대응 타임라인

- 2026년 03월 25일 18시 56분 : 해커 공격 시작
- 2026년 03월 26일 12시 57분 : 공격 종료
- 사고 인지 직후 :
. 공격 페이지 운영 중단
. 접속 IP 및 경로 차단
. 긴급 보안 패치 수행
- 이후 :
. 개인정보보호위원회 및 관계기관 신고
. 사고 원인 및 영향 범위 조사 진행

□ 개인정보 유출 관련 홈페이지 안내

□ 대응내역

- 비정상 접근 탐지 후 즉시 서비스 일부 차단
- 공격 IP 및 경로 차단 조치
- 긴급 보안 패치 및 시스템 점검 수행
- 관계기관 신고 및 조사 진행
- 추가 보안 강화 계획 수립

□ 재발방지대책(권고사항)

1. 기술적 조치
- 채용 플랫폼 특화 개인정보 DB 접근 통제 강화 (Zero Trust 기반)
- 이상행위 탐지 (UEBA / 계정 이상 로그인 탐지) 도입
- API 및 웹 취약점 점검 상시화 (특히 조회 API)
- 개인정보 대량 조회 탐지 및 Rate Limit 적용
- 중요 데이터 암호화 및 비식별화 확대

2. 관리적 조치
- 관리자 및 리크루터 계정 권한 최소화
- 개인정보 조회 로그 정기 점검 및 감사 강화
- 침해사고 대응 훈련 및 시나리오 고도화
- 외주·협력사 계정 보안 관리 강화
- 사용자 대상 피싱·사칭 공격 대응 교육 강화

□ 관련기사(출처)

감사합니다.

[배달의민족] 외주 상담사 내부정보 무단조회로 개인정보 악용 정황_2026년 03월

경험한사람 — Wed, 1 Apr 2026 22:30:11 +0900

외주 상담사가 위장 취업 후 고객 개인정보를 무단 조회·유출하고, 이를 기반으로 보복 범죄까지 이어진 내부통제 실패형 사고

□ 개요

2026년 3월, 배달 플랫폼 배달의민족에서 외주 고객센터 상담사가 고객 개인정보를 무단 조회하고 외부 조직에 전달한 사건이 발생했다. 해당 정보는 단순 유출을 넘어 실제 ‘보복 테러(오물 투척·낙서 등)’ 범죄에 활용된 것으로 확인되며 사회적 파장이 커졌다.
운영사 우아한형제들은 사고를 인지 후 개인정보보호위원회 신고 및 피해자 통지, 외주업체 계약 해지 등 대응에 착수했다.

□ 사고내용 요약

1. 회사명 : 배달의민족 (운영사: 우아한형제들)
2. 사고유형 : 내부자(외주 인력)에 의한 개인정보 무단 조회 및 악용

3. 유출규모
- 조회 약 1,000건
- 비정상 접근(무단 조회) 약 555건
- 실제 범죄 활용 약 30건 (수사 기준)
4. 유출항목
- 이름
- 주소
- 전화번호
- 상담 이력 정보 등

5. 특이사항
- 외주 상담사 위장 취업 후 내부 시스템 접근
- 전화번호 기반 조회 구조 악용
- 단순 유출이 아닌 오프라인 보복 범죄로 직접 연결
- 텔레그램 기반 ‘보복 대행 조직’과 연계

□ 사고대응 타임라인

- 2026년 01월 : 보복 테러 사건 발생 (오물 투척·낙서 등)
- 2026년 03월 초 : 경찰 수사 과정에서 개인정보 유출 정황 확인
- 2026년 03월 : 배달의민족 대상 압수수색 진행
- 2026년 03월 : 외주 상담사 및 조직원 검거
- 2026년 03월 30일 : 배민 공식 사과 및 재발방지 대책 발표

□ 개인정보 유출 관련 홈페이지 안내

피해 고객 대상 개별 통지 진행

□ 대응내역

- 외주업체 계약 해지 절차 진행
- 외주 상담 인력 전수 조사 및 감사
- 개인정보 접근 권한 및 조회 로그 점검
- 경찰 수사 적극 협조
- 내부통제 및 채용 검증 절차 강화 추진

□ 재발방지대책(권고사항)

1. 기술적 조치
- 개인정보 조회 시 RBAC + 최소권한 원칙 적용
- 상담 이력 조회 범위 제한 (본인 처리 건만 조회)
- 이상 행위 탐지 (대량조회·과거이력 조회 탐지)
- 개인정보 조회 시 마스킹 및 안심번호 적용
- 내부 사용자 행위 분석(UEBA) 도입

2. 관리적 조치
- 외주 인력 보안 심사 및 신원 검증 강화
- 내부자 위협 대응 정책 수립 (Insider Threat)
- 개인정보 접근 로그 상시 모니터링 체계 구축
- 외주 운영에 대한 정기 보안 감사 수행
- 텔레그램 등 범죄 연계 채널 모니터링 강화

□ 관련기사(출처)

감사합니다.

[진학사/캐치(CATCH)] 채용 플랫폼 해킹으로 회원 개인정보 유출 정황_2026년 03월

경험한사람 — Wed, 25 Mar 2026 23:25:33 +0900

진학사 채용 플랫폼 ‘캐치(CATCH)’에서 해킹 공격으로 회원 개인정보 일부가 유출된 정황이 확인되었으며, 수백만 구직자 대상 2차 피해 우려가 제기되고 있음.

□ 개요

2026년 3월 20일부터 3월 23일까지 진학사가 운영하는 채용 플랫폼 ‘캐치’에서 해커에 의한 홈페이지 공격이 발생하였다. 해당 공격으로 회원 개인정보 일부가 유출된 정황이 확인되었으며, 회사는 이를 인지 후 즉시 차단 및 보안 조치를 수행하였다. 정확한 유출 규모는 공개되지 않았으나, 플랫폼 특성상 다수 구직자가 영향을 받을 가능성이 존재한다.

□ 사고내용 요약

1. 회사명 : 진학사 (채용 플랫폼 ‘캐치’)
2. 사고유형 : 홈페이지 해킹에 따른 개인정보 유출

3. 유출규모 : 미확정 (수백만 회원 중 일부 추정)
4. 유출항목
- 성별
- 생년월일
- 휴대전화번호
- 주소
- 이메일
- 아이디(ID)
- 내부 회원관리 데이터(가입일, 인증여부, 이력서 공개여부 등 포함)

5. 특이사항
- 비밀번호 및 성명은 유출되지 않은 것으로 공지
- 이력서 등 추가 민감정보 유출 여부는 확인 중
- 구직자 대상 플랫폼으로 2차 피해(피싱/스미싱) 위험 높음

□ 사고대응 타임라인

- 2026년 03월 20일 15시 15분 : 해킹 공격 발생 시작
- 2026년 03월 23일 11시 : 공격 종료
- 2026년 03월 24일
. 개인정보 유출 공지 및 사과문 발표
. 이용자 대상 문자 안내
. 관계기관 신고 및 조사 협조 진행

□ 개인정보 유출 관련 홈페이지 안내

□ 대응내역

- 공격 발생 페이지 즉시 차단
- 공격 IP 및 접근 경로 차단
- 보안 패치 적용
- 관계기관 신고 및 조사 협조
- 사용자 대상 2차 피해 주의 안내

□ 재발방지대책(권고사항)

1. 기술적 조치
- 웹 취약점 점검 및 WAF 정책 강화
- 계정정보 및 개인정보 접근 통제 강화
- 이상행위 탐지(UEBA/EDR 연계) 고도화
- DB 접근 로그 및 개인정보 조회 모니터링 강화

2. 관리적 조치
- 개인정보 최소 수집 및 보관 정책 재정비
- 침해사고 대응 프로세스 고도화 및 훈련
- 외부 모의해킹 및 정기 취약점 진단 수행
- 이용자 대상 피싱/스미싱 대응 안내 강화

□ 관련기사(출처)

감사합니다.

[리드코프] 자회사 앤알캐피탈대부 해킹으로 고객 신용정보 유출 정황_2026년 03월

경험한사람 — Mon, 23 Mar 2026 22:30:23 +0900

리드코프 자회사 앤알캐피탈대부에서 해킹으로 고객 신용·금융정보 유출 정황이 확인되었으며, 다크웹 공개 및 금전 요구 정황이 나타나 금융당국이 조사에 착수함.

□ 개요

2026년 3월, 국내 대부업 1위 리드코프의 100% 자회사 앤알캐피탈대부에서 외부 해킹 공격으로 고객 개인정보 및 신용정보가 유출된 정황이 확인되었다. 금융보안원이 다크웹에서 관련 정보를 최초 탐지했으며, 공격자는 일부 데이터를 공개하며 금전 협상을 시도한 것으로 알려졌다. 금융감독원은 현장검사에 착수하여 사고 경위 및 신용정보법 위반 여부를 조사 중이다.

□ 사고내용 요약

1. 회사명 : 앤알캐피탈대부 (리드코프 자회사)
2. 사고유형 : 외부 해킹 (랜섬웨어형 공격 정황)

3. 유출규모 : 일부 고객 정보 공개 확인 (전체 규모 미확정, 추가 유출 가능성 존재)
4. 유출항목
- 개인정보: 이름, 주민등록번호, 연락처, 주소, 직장정보, 이메일
- 금융정보: 신용등급·점수, 대출 신청/승인 금액, 거래은행, 계좌번호
- 기타: 입사일 등 상세 신상정보

5. 특이사항
- 다크웹에 샘플 데이터 공개 후 협박 진행
- 초기 4명 → 추가 39명 정보 공개하며 압박
- 내부 직원 PC 비인가 프로그램 설치 → 악성코드 감염 추정

□ 사고대응 타임라인

- 2026년 03월 11일 : 금융보안원, 다크웹에서 유출 정황 최초 탐지
- 2026년 03월 12일 : 금융감독원 현장검사 착수
- 2026년 03월 중순 : 공격자, 고객 정보 일부 공개 및 금전 요구
- 2026년 03월 : 회사, 홈페이지 통해 유출 정황 공식 공지

□ 개인정보 유출 관련 홈페이지 안내

□ 대응내역

- 침입 경로 차단 및 시스템 보안 강화
- 외부 보안 전문기관 통한 정밀 조사 진행
- 금융당국 및 관계기관 신고
- 추가 피해 방지를 위한 모니터링 강화
- 고객 대상 보안 주의 안내 시행

□ 재발방지대책(권고사항)

1. 기술적 조치
- EDR 등 엔드포인트 위협 탐지 체계 도입/강화
- 비인가 프로그램 실행 통제 (화이트리스트 기반)
- 개인정보·신용정보 암호화 및 접근통제 강화
- 다크웹 모니터링 및 유출 탐지 체계 상시 운영

2. 관리적 조치
- 임직원 보안 인식 교육 및 행위 기반 통제 강화
- 외부 프로그램 설치 승인 절차 의무화
- 이상행위 탐지 및 대응 프로세스 고도화
- 금융권 규제(신용정보법) 준수 점검 강화

□ 관련기사(출처)

감사합니다.

[서울대학교병원] 산모 1만6천명 의료정보 이메일 오발송 유출 정황_2026년 03월

경험한사람 — Mon, 23 Mar 2026 22:15:44 +0900

병원 직원의 이메일 주소 오입력으로 산모 약 1만6천명의 민감한 의료정보가 외부 수신자 1명에게 전달된 사고 발생

□ 개요

2026년 03월 14일 서울대학교병원에서 직원 간 업무 메일 발송 과정 중 수신자 주소를 잘못 입력하여 외부인 1명에게 대량의 환자 진료 정보가 전달되는 사고가 발생하였다. 유출된 정보에는 산모 및 신생아의 진료기록, 임신·출산 정보, 질환 정보 등 매우 민감한 의료정보가 포함된 것으로 확인된다. 병원 측은 메일 미열람 상태를 확인했다고 밝혔으나, 민감정보가 외부 이메일로 전송되었다는 점에서 관리적·기술적 통제 미흡 논란이 제기되고 있다.

□ 사고내용 요약

1. 회사명 : 서울대학교병원
2. 사고유형 : 내부 직원 실수에 의한 이메일 오발송(개인정보 유출 사고)

3. 유출규모 : 약 16,000명 산모 및 신생아 관련 정보
4. 유출항목
- 기본정보: 이름, 생년월일, 환자번호
- 건강정보: 임신 주수, 출산 이력, 질환 정보, 검사 결과
- 신생아 정보: 출생 상태, 질환, 치료 정보
- 생활정보: 직업, 소득 수준 등
※ 주민등록번호, 연락처는 제외 (병원 발표 기준)

5. 특이사항
- 외부 수신자 1명에게 단일 발송
- 시스템상 “미열람” 상태 확인 (병원 발표)
- 민감정보(건강정보 + 사회경제 정보) 포함된 고위험 사고

□ 사고대응 타임라인

- 2026년 03월 14일 : 이메일 오발송 사고 발생
- 2026년 03월 14일 : 직원 신고로 유출 사실 인지
- 2026년 03월 14일 : 수신자에게 메일 삭제 요청 및 확산 방지 조치
- 2026년 03월 19일 : 홈페이지 공지 및 외부 공개
- 2026년 03월 : 개인정보보호위원회 및 교육부 신고

□ 개인정보 유출 관련 홈페이지 안내

□ 대응내역

- 수신자 및 메일 운영자 대상 삭제 요청
- 개인정보보호위원회 및 교육부 신고
- 유출 대상자 개별 통지
- 내부 경위 조사 진행
- 전 직원 대상 개인정보보호 교육 및 절차 강화 계획 발표

□ 재발방지대책(권고사항)

1. 기술적 조치
- 외부 이메일 발송 시 개인정보 포함 여부 자동 탐지(DLP) 적용
- 대량 개인정보 첨부파일 외부 발송 차단 정책 적용
- 메일 발송 전 수신자 검증(화이트리스트/승인 기반)
- 민감정보 암호화 및 마스킹 적용
- 외부 메일 전송 시 승인 프로세스(2인 승인) 도입

2. 관리적 조치
- 개인정보 취급자 대상 정기 교육 및 오발송 사례 훈련
- 대량 개인정보 반출 시 사전 승인 절차 의무화
- 사고 발생 시 즉시 공지 및 대응 프로세스 개선
- 개인정보 최소 수집·최소 공유 원칙 강화

□ 관련기사(출처)

감사합니다.

[비트리필(Bitrefill)] 북한 연계 해킹 조직 침투 정황…고객 데이터 1.85만건 접근 및 자산 유출_2026년 03월

경험한사람 — Wed, 18 Mar 2026 23:02:35 +0900

직원 노트북 계정 탈취를 시작으로 내부 인프라까지 침투한 공격으로, 일부 고객 데이터와 암호화폐 자산이 유출된 정황이 확인됨.

□ 개요

2026년 03월 01일, 글로벌 암호화폐 결제 플랫폼 비트리필(Bitrefill)은 사이버 공격을 탐지하고 시스템을 긴급 차단하였다. 조사 결과, 공격은 직원 노트북에서 탈취된 계정을 통해 시작되었으며, 내부 인프라 및 일부 데이터베이스와 암호화폐 지갑까지 접근이 이루어진 것으로 확인되었다. 공격 패턴, 악성코드, 온체인 흐름 등을 종합 분석한 결과 북한 연계 해킹 조직(라자루스)과 유사한 정황이 확인되었으나, 공식적으로 확정되지는 않은 상태이다.

□ 사고내용 요약

1. 회사명 : 비트리필(Bitrefill)
2. 사고유형 : 계정 탈취 기반 내부 침투 및 디지털 자산 탈취

3. 유출규모
- 약 18,500건 구매 기록 접근
- 일부 암호화폐 자산 유출 (규모 미공개)
4. 유출항목
- 이메일 주소
- 암호화폐 결제 주소
- IP 주소 및 메타데이터
- 일부(약 1,000건): 고객 이름 (암호화 저장, 키 접근 가능성 존재)

5. 특이사항
- 직원 노트북 → 계정 탈취 → 내부 인프라 확장 침투
- 운영 서버 스냅샷(기밀정보 포함)에 접근
- 핫월렛 자금 탈취 및 공급망(기프트카드 재고) 악용
- 전체 DB 유출 증거는 없으나 일부 조회 확인
- 고객 피해는 회사 운영자금으로 보전 예정

□ 사고대응 타임라인

- 2026년 03월 01일 : 이상 거래 패턴 탐지 및 해킹 인지
- 2026년 03월 01일 : 전체 시스템 오프라인 전환(긴급 차단)
- 2026년 03월 초 : 외부 보안 전문가 및 수사기관 협력 조사 진행
- 2026년 03월 중순 : 공격 수법 분석 결과 북한 연계 조직과 유사 정황 확인
- 2026년 03월 18일 : 사고 내용 공개 및 고객 안내

□ 개인정보 유출 관련 'X' 게시글(침해사고 보고서)

□ 3월 1일 침해 사고 보고서
2026년 3월 1일, Bitrefill(비트리필)은 사이버 공격의 표적이 되었습니다. 조사 과정에서 관찰된 지표(범행 수법, 사용된 악성 코드, 온체인 추적, 재사용된 IP 및 이메일 주소(!) 등)를 바탕으로, 당사는 이번 공격이 과거 북한 라자루스(Lazarus) / 블루노로프(Bluenoroff) 그룹이 암호화폐 업계의 타 기업들을 상대로 감행했던 사이버 공격들과 많은 유사점이 있음을 확인했습니다.

최초의 접근은 해킹된 직원의 노트북을 통해 이루어졌으며, 이곳에서 과거 자격 증명(legacy credential)이 유출되었습니다. 이 자격 증명은 프로덕션 기밀(production secrets)이 포함된 스냅샷에 대한 접근 권한을 제공했습니다. 이를 통해 공격자들은 당사 데이터베이스의 일부와 특정 암호화폐 지갑을 포함한 광범위한 인프라로 권한을 확대할 수 있었습니다.
저희는 특정 공급업체에서 의심스러운 구매 패턴을 발견한 후 처음으로 이 사건을 인지했습니다. 당사의 기프트 카드 재고와 공급망이 악용되고 있다는 사실을 깨달았습니다. 이와 동시에 일부 핫월렛에서 자금이 빠져나가 공격자가 통제하는 지갑으로 이체된 것을 발견했습니다. 침해 사실을 확인한 즉시, 저희는 피해 확산을 막기 위한 조치의 일환으로 모든 시스템을 오프라인 상태로 전환했습니다.
Bitrefill은 수십 개의 공급업체, 수천 개의 제품, 전 세계 여러 국가에서 다양한 결제 방식을 지원하는 글로벌 이커머스 비즈니스를 운영하고 있습니다. 이 모든 시스템을 안전하게 차단하고 다시 온라인으로 복구하는 것은 결코 간단한 일이 아닙니다.

사건 발생 이후 당사의 팀은 업계 최고의 보안 연구원, 침해 사고 대응 전문가, 온체인 분석가 및 수사 기관과 긴밀히 협력하여 사건의 경위를 파악하고 재발 방지 대책을 마련하고 있습니다. 이 힘든 시간 동안 신속하게 대응하고 지원해 주신 @zeroshadow_io, @SEAL_Org, @RecoverisTeam, @fearsoff 님께 진심으로 감사드립니다.
고객 데이터 관련 안내
조사 결과와 로그를 종합해 볼 때, 고객 데이터가 이번 침해 사고의 표적이었다고 볼 만한 근거는 없습니다. 공격자가 전체 데이터베이스를 유출했다는 증거는 없으며, 암호화폐나 Bitrefill 기프트 카드 재고 등 탈취할 수 있는 항목을 파악하기 위해 탐색 목적으로 제한된 횟수의 쿼리만 실행한 것으로 확인되었습니다.
Bitrefill은 개인 데이터를 거의 저장하지 않도록 설계되었습니다. 저희는 암호화폐 서비스 제공업체가 아닌 상점이며, 의무적인 KYC(고객 신원 확인)를 요구하지 않습니다. 고객이 더 높은 구매 등급이나 특정 제품에 접근하기 위해 계정 인증을 선택하는 경우, 해당 데이터는 당사 시스템에 백업되지 않고 외부 KYC 제공업체에만 독점적으로 보관됩니다.
그럼에도 불구하고 데이터베이스 로그에 따르면 일부 구매 기록에 접근한 정황이 확인되었으며, 이에 대해 투명하게 말씀드리고자 합니다.

공격자는 약 18,500건의 구매 기록에 접근했습니다. 해당 기록에는 이메일 주소, 암호화폐 결제 주소, 그리고 IP 주소를 포함한 메타데이터 등 제한적인 고객 정보가 포함되어 있었습니다.
약 1,000건의 구매와 관련하여, 특정 제품의 경우 고객의 이름 제공이 필요했습니다. 이 정보는 당사 데이터베이스에 암호화되어 있습니다. 하지만 공격자가 암호화 키에 접근했을 가능성이 있으므로, 당사는 이 데이터 역시 유출 가능성이 있는 것으로 간주하고 있습니다. 이 범주에 해당하는 고객에게는 이미 이메일을 통해 개별적으로 안내해 드렸습니다.
현재 확보된 정보를 바탕으로 볼 때, 고객 여러분께서 별도로 취하셔야 할 특정 조치는 없는 것으로 판단하고 있습니다. 다만 예방 차원에서 Bitrefill이나 암호화폐와 관련된 예기치 않은 연락에 주의를 기울이시길 권장합니다. 이러한 판단에 변동 사항이 생길 경우, 즉시 영향을 받는 분들께 알려드리겠습니다.

□ 당사의 조치 사항
당사는 이미 사이버 보안 관행을 대폭 개선했으나, 사용자와 회사의 자산 및 데이터를 최대한 안전하게 보호하기 위해 이번 경험을 교훈 삼아 지속적으로 노력할 것을 약속드립니다. 구체적인 조치는 다음과 같습니다:
다수의 외부 전문가와 함께 철저한 사이버 보안 검토 및 모의 해킹(pentest)을 지속적으로 수행하고 권고사항 이행내부 접근 통제 추가 강화더 빠른 탐지와 효과적인 대응을 위해 로깅 및 모니터링 시스템 추가 개선침해 사고 대응 절차 및 자동 차단 절차 지속적 개선 및 테스트

□ 결론
고도화된 공격을 당하는 것은 (매우) 끔찍한 일입니다. 저희는 10년 넘게 사업을 해왔지만, 이렇게 큰 타격을 입은 것은 이번이 처음입니다. 하지만 저희는 이겨냈습니다.
Bitrefill은 이와 같은 일이 발생하더라도 그 영향을 최소화하도록 설계되었습니다. 당사는 여전히 든든한 자본력을 갖추고 있으며, 수년간 수익을 내고 있어 이번 손실을 운영 자본 내에서 충분히 흡수할 수 있습니다.
결제, 재고, 계정 등 거의 모든 것이 정상화되었습니다. 판매량 역시 평소 수준을 회복했으며, 저희에 대한 고객 여러분의 변함없는 신뢰에 깊은 감사를 드립니다.
앞으로도 여러분의 신뢰에 보답할 수 있도록 최선을 다하겠습니다.

감사합니다!

□ 대응내역

- 전 시스템 즉시 오프라인 전환 (Containment)
- 침해 범위 분석 및 온체인 자금 추적 진행
- 외부 보안업체 및 포렌식 전문가 협력
- 고객 피해 비용을 회사 운영자금으로 보전 결정
- 단계적 서비스 복구 및 정상화 완료

□ 재발방지대책(권고사항)

1. 기술적 조치
- 엔드포인트 보안 강화(EDR/XDR 필수 적용)
- 계정·자격증명 보호 강화(Privileged Access 관리, MFA 의무화)
- 중요 시스템 스냅샷 접근 통제 및 암호화 키 분리
- 지갑(Hot wallet) 접근 통제 및 이상 거래 탐지(FDS) 고도화
- 실시간 이상행위 탐지(SIEM + UEBA) 강화

2. 관리적 조치
- 직원 단말 보안 정책 강화 및 계정 재사용 금지
- 침해사고 대응훈련 및 Red Team 운영
- 공급망 및 외부 파트너 보안 점검 강화
- 보안 인식 교육(피싱·사회공학 대응) 정례화

□ 관련기사(출처)

감사합니다.

[강원도교육청] 내부 행정망 개인정보 5,207명 열람 노출 정황_2026년 03월

경험한사람 — Wed, 18 Mar 2026 22:41:29 +0900

2023년 발생한 내부 행정망 개인정보 노출 사고가 약 2년 뒤 공개되며 논란이 확산됐다. 건강정보를 포함한 민감정보까지 포함되어 관리 부실 문제가 지적되고 있다.

□ 개요

강원도교육청은 2023년 11월, 현업 업무종사자 대상 건강검진 관련 자료를 내부 행정망에 공유하는 과정에서 열람 제한 설정을 하지 않아 다수 교직원이 개인정보를 열람할 수 있는 상태로 게시된 사고가 발생하였다.
해당 사고는 약 2년이 지난 2026년 3월에서야 공식적으로 공지되며, 늑장 대응 및 피해자 통지 미흡 논란이 제기되었다.

□ 사고내용 요약

1. 회사명 : 강원특별자치도교육청
2. 사고유형 : 내부 시스템 권한 설정 미흡에 따른 개인정보 노출

3. 유출규모 : 약 5,207명
4. 유출항목
- 지역, 학교급, 기관명
- 이름, 직종, 생년월일, 성별
- 최초 임용일, 근속연수
- 건강검진 여부 및 검진기관
- 일부 건강정보(민감정보 포함)

5. 특이사항
- 내부 행정망에서 권한 없는 다수 교직원이 열람 가능
- 약 2년간 미공지(늑장 대응 논란)
- 민감정보(건강정보) 포함 사례 존재

□ 사고대응 타임라인

- 2023년 11월 30일: 건강검진 결과 포함 문서 내부 시스템 게시 (열람 제한 미설정)
- 2024년: 노조 등 문제 제기 및 감사 청구
- 2025년 12월 18일: 개인정보보호위원회 과태료(552만원) 의결
- 2026년 03월: 홈페이지 공지 통해 공식 유출 사실 공개
- 2026년 03월: 전교조 강원지부 공식 사과 및 보상 요구

□ 개인정보 유출 관련 이메일 안내

□ 대응내역

- 유출 인지 후 문서 열람 제한 조치
- 개인정보보호위원회 과태료 처분 수용
- 내부 업무 절차 점검 및 개선 계획 발표
- 개인정보 보호 관리체계 강화 방침 표명
※ 다만 피해자 개별 통지 및 보상 조치는 미흡하다는 비판 존재

□ 재발방지대책(권고사항)

1. 기술적 조치
- 문서 DRM 및 접근권한 자동 통제 시스템 적용
- 내부 행정망 RBAC(권한 기반 접근통제) 강제 적용
- 민감정보 포함 문서 업로드 시 자동 탐지·차단(DLP)
- 로그 기반 열람 추적 및 이상 접근 탐지

2. 관리적 조치
- 개인정보 포함 문서 배포 전 보안 검토 의무화
- 유출 사고 발생 시 즉시 개별 통지 체계 확립
- 민감정보 최소 수집 및 분리 관리

□ 관련기사(출처)

감사합니다.

“개인정보 유출하면 매출 10% 과징금”… 2026년 달라지는 개인정보보호법 핵심 정리 - 개인정보보호위원회

경험한사람 — Sat, 14 Mar 2026 18:19:21 +0900

― “개인정보 유출 사고가 반복되자 정부가 결국 칼을 빼 들었다.
2026년부터 개인정보를 제대로 관리하지 못한 기업은 매출의 최대 10%까지 과징금을 물게 된다.”

목차
ㄴ 왜 개인정보보호법이 갑자기 강화됐을까
ㄴ 2026년 개인정보보호법, 무엇이 달라지나
ㄴ 개인정보 유출 시 ‘매출 10% 과징금’ 도입
ㄴ 개인정보 유출 ‘가능성’만 있어도 통지 의무
ㄴ CEO와 CPO 책임이 크게 강화된다
ㄴ 주요 기업은 ISMS-P 인증이 의무화된다
ㄴ 개인정보 보호에 투자하면 과징금이 줄어든다
ㄴ 우리가 알아야 할 핵심 변화 정리

1. 왜 개인정보보호법이 갑자기 강화됐을까

최근 몇 년 사이 국내외에서 대규모 개인정보 유출 사고가 반복적으로 발생하고 있습니다.

대형 쇼핑몰, 통신사, 플랫폼 기업 등에서 수백만 명에서 수천만 명 규모의 개인정보가 유출되면서 사회적 불안이 커졌습니다.

하지만 기존 제도는 다음과 같은 한계가 있었습니다.

개인정보 유출이 발생해도 기업에 부과되는 과징금이 상대적으로 낮았음
사고 발생 후 통지와 대응이 늦어지는 문제
개인정보 보호 책임이 IT 부서 수준에서 관리되는 경우가 많았음

이러한 문제를 해결하기 위해 정부는 기업과 기관의 책임을 강화하는 방향으로 개인정보보호법을 개정하게 되었습니다.

2. 2026년 개인정보보호법, 무엇이 달라지나

이번 개정된 개인정보보호법은

2026년 3월 10일 공포
2026년 9월 11일부터 시행됩니다.

다만 일부 제도는 준비 기간을 고려해 2027년부터 시행됩니다.

이번 개정의 핵심 방향은 크게 세 가지입니다.

개인정보 유출에 대한 처벌 강화
기업의 개인정보 보호 책임 확대
개인정보 보호를 위한 관리체계 강화

즉 단순히 사고 발생 시 처벌만 강화하는 것이 아니라
사전에 개인정보 보호 체계를 갖추도록 유도하는 정책입니다.

3. 개인정보 유출 시 ‘매출 10% 과징금’ 도입

이번 법 개정에서 가장 큰 변화는 징벌적 과징금 제도입니다.

기존에는 개인정보 유출 사고가 발생하더라도 기업에 부과되는 과징금이

전체 매출액의 최대 3% 수준이었습니다.

하지만 앞으로는 반복적이거나 중대한 위반행위가 발생할 경우

매출액의 최대 10%까지 과징금이 부과될 수 있습니다.

특히 다음과 같은 경우 적용됩니다.

최근 3년간 개인정보 보호 위반을 반복한 경우
1천만 명 이상 대규모 피해가 발생한 경우
정부의 시정명령을 따르지 않아 사고가 발생한 경우

이는 개인정보 유출 사고에 대해 기업이 실질적인 책임을 지도록 하기 위한 제도입니다.

4. 개인정보 유출 ‘가능성’만 있어도 통지 의무

기존 법에서는 기업이

“개인정보 유출 사실을 확인한 경우”

에만 이용자에게 통지하도록 되어 있었습니다.

하지만 실제 사고에서는 다음과 같은 문제가 있었습니다.

기업이 내부 조사 과정에서 통지를 늦추는 경우
이용자가 사고 사실을 늦게 알게 되는 문제

이번 개정으로 다음과 같이 변경됩니다.

개인정보 유출 ‘가능성’만 확인돼도 즉시 통지해야 합니다.

또한 사고 범위도 확대되었습니다.

기존 신고 대상

분실
도난
유출

개정 후 추가

위조
변조
훼손

예를 들어 랜섬웨어 공격으로 개인정보가 훼손된 경우도 신고 대상이 됩니다.

5. CEO와 CPO 책임이 크게 강화된다

이번 개정에서 중요한 변화 중 하나는

개인정보 보호 책임을 경영진 수준으로 끌어올렸다는 점입니다.

대표이사(CEO)는

개인정보 처리 및 보호에 대한 최종 책임자로 규정되었습니다.

즉 개인정보 유출 사고가 발생할 경우

단순히 IT 부서 문제가 아니라
경영 책임 문제로 확대될 수 있습니다

또한 기업의 개인정보 보호책임자(CPO) 역할도 강화됩니다.

CPO는 앞으로 다음과 같은 역할을 수행해야 합니다.

개인정보 보호 전문 인력 관리
개인정보 보호 관련 예산 확보
개인정보 보호 정책 운영
개인정보 보호 현황을 CEO 및 이사회에 보고

이는 기업 내부에서 실질적인 개인정보 보호 체계를 구축하도록 하기 위한 조치입니다.

6. 주요 기업은 ISMS-P 인증이 의무화된다

ISMS-P는

정보보호 및 개인정보 보호 관리체계 인증 제도입니다.

쉽게 말하면

기업이 개인정보와 정보시스템을 안전하게 관리하고 있는지를
정부가 인증하는 제도입니다.

지금까지는 대부분 기업이 자율적으로 인증을 받는 구조였습니다.

하지만 앞으로는

공공기관 및 주요 기업에 대해 ISMS-P 인증이 의무화됩니다.

다만 기업 준비 기간을 고려하여

2027년 7월부터 시행될 예정입니다.

7. 개인정보 보호에 투자하면 과징금이 줄어든다

이번 법 개정에는 기업의 사전 예방 투자를 유도하는 제도도 포함되었습니다.

기업이 다음과 같은 활동을 수행한 경우

개인정보 보호 시스템 구축
보안 인력 확보
개인정보 보호 장비 도입
관리체계 구축

과징금이 감경될 수 있습니다.

즉 정부는

“사고 발생 후 처벌” 뿐만 아니라
사전에 보안 투자를 확대하도록 유도하는 정책

을 동시에 추진하고 있습니다.

8. 우리가 알아야 할 핵심 변화 정리

이번 개인정보보호법 개정의 핵심은 다음과 같습니다.

① 개인정보 유출 시 최대 매출 10% 과징금 도입
② 유출 가능성만 있어도 이용자 통지 의무
③ 개인정보 보호 CEO 책임 강화
④ 개인정보 보호책임자(CPO) 권한 확대
⑤ 주요 기업 ISMS-P 인증 의무화

결국 이번 법 개정은

개인정보 보호를 기업의 선택이 아닌
기업의 필수 책임으로 강화한 제도

라고 볼 수 있습니다.

앞으로 기업들은 개인정보 보호를 위해
보안 투자와 관리체계 구축을 더욱 강화할 필요가 있습니다.

구분	현행 제도	개정 내용	시행 시기	적용 대상 및 조건	기대 효과 (Inferred)
과징금	전체 매출액의 최대 3%	반복적·중대 위반 시 최대 매출액의 10%	26년 9월 11일	최근 3년 위반 반복, 1천만 명 이상 피해, 시정명령 불이행 시	기업의 실질적 책임 강화 및 대규모 유출 사고에 대한 징벌적 억제력 확보
통지 의무	유출 사실을 확인한 경우에만 통지 (분실·도난·유출)	유출 '가능성'만 있어도 즉시 통지 (위조·변조·훼손 포함)	26년 9월 11일	개인정보 유출 가능성 확인 및 랜섬웨어 등으로 인한 훼손 발생 시	이용자의 신속한 자기방어권 보장 및 기업의 은폐 시도 방지
경영진 책임 (CEO/CPO)	주로 IT 부서 수준에서 관리	대표이사(CEO) 최종 책임 규정 및 CPO 권한 확대(예산·보고)	26년 9월 11일	모든 개인정보 처리 기업 및 기관	개인정보 보호를 실무 차원이 아닌 전사적 경영 과제로 격상
보안 투자 유인	사고 발생 후 처벌 중심	보안 시스템 및 인력 투자 시 과징금 감경	26년 9월 11일	보안 시스템 구축, 전문 인력 확보 등 사전 예방 활동 수행 기업	사후 처벌보다 자발적인 사전 보안 투자 확대를 유도하는 선순환 구조 형성
관리체계 인증 (ISMS-P)	대부분 기업의 자율적 인증	공공기관 및 주요 기업 대상 ISMS-P 인증 의무화	27년 7월	공공기관 및 주요 기업	국가 차원의 표준화된 보안 관리 체계 확립 및 사전 예방 역량 강화

#. 출처

개인정보 유출사고 예방을 위해 개인정보 보호 책임·관리체계 강화된다 - 개인정보보호위원회

[260309 배포즉시]개인정보 유출사고 예방을 위해 개인정보 보호 책임·관리체계 강화된다(개인정보보호정책과).pdf

0.19MB

이상. 끝.

[언더아머] IT 시스템 침해 정황…고객 이메일 등 54만건 개인정보 일부 유출 확인_2026년 03월

경험한사람 — Wed, 11 Mar 2026 22:10:45 +0900

미국 스포츠웨어 기업 언더아머(Under Armour)에서 외부 침입으로 고객 개인정보 일부가 유출된 사실이 확인됐다. 국내 이용자 기준 약 54만 건 이메일 주소가 노출된 것으로 보고되며, 직원 계정 도용을 통한 FTP 서버 접근 정황이 조사 중이다.

□ 개요

2026년 3월, 글로벌 스포츠웨어 기업 언더아머(Under Armour)는 외부 무단 침입자가 자사 IT 시스템에 접근해 일부 고객 개인정보를 취득한 사실을 확인했다고 공지했다.
회사 안내에 따르면 공격은 2025년 11월경 발생한 것으로 추정되며, 언더아머는 2026년 2월 12일경 해당 침해 사실을 인지했다. 약 3개월 동안 침해 사실을 인지하지 못한 상태였던 것으로 알려졌다. 조사 결과 일부 고객의 이메일 주소, 이름, 성별 정보가 노출된 것으로 확인되었으며, 금융결제 정보와 비밀번호는 유출되지 않은 것으로 파악됐다.
한국인터넷진흥원(KISA)에 제출된 신고서에 따르면 국내 이용자 이메일 약 54만 건이 노출된 것으로 보고되었다. 현재 정확한 피해 규모와 원인은 관계기관 조사 후 최종 확정될 예정이다.

□ 사고내용 요약

1. 회사명 : 언더아머(Under Armour)
2. 사고유형 : 외부 침입에 따른 개인정보 유출 정황

3. 유출규모
- 국내 이용자 이메일 약 54만 1,773건 (보도 기준)
- 일부 이름 및 성별 정보 일부 노출
4. 유출항목
- 이메일 주소
- 이름 일부
- 성별 정보 일부

5. 특이사항
- 금융결제 정보 및 비밀번호 유출 없음
- 직원 계정 도용 후 FTP 서버 접근 정황
- 침해 발생 후 약 3개월간 미인지 상태
- ISMS 인증 기업으로 인증 제도 실효성 논란 제기

□ 사고대응 타임라인

- 2025년 11월경 : 외부 침입자가 언더아머 IT 시스템 접근 정황 발생
- 2026년 02월 12일 : 회사 내부에서 침해 사실 최초 인지
- 2026년 02월 : 외부 사이버보안 전문가와 공동 조사 착수
- 2026년 03월 11일 : 고객 대상 개인정보 유출 안내 이메일 발송
- 2026년 03월 : 한국인터넷진흥원(KISA)에 사고 신고 및 조사 진행

□ 개인정보 유출 관련 이메일 안내

□ 대응내역

- 침해 범위 및 영향 데이터 분석 진행
- 개인정보 보호 감독기관 신고 절차 진행
- 보안 체계 강화 조치 시
- 고객 대상 보안 주의 안내 이메일 발송

□ 재발방지대책(권고사항)

1. 기술적 조치
- 직원 계정 탈취 대응을 위한 MFA(다중인증) 의무화
- FTP 등 외부 파일 전송 시스템에 대한 접근제어 강화
- 계정 이상 행위 탐지(UEBA) 및 EDR/XDR 기반 모니터링 강화
- 외부 접점 자산 식별 및 공격 표면 관리(ASM) 강화

2. 관리적 조치
- 직원 계정 관리 정책 강화 및 계정 공유 금지
- 보안 이벤트 조기 탐지를 위한 침해 모니터링 체계 개선
- 개인정보 침해 대응 프로세스 정기 점검
- ISMS/ISMS-P 인증 유지 기업 대상 사후 점검 강화

□ 관련기사(출처)

감사합니다.

[아이스크림미디어] 회원 개인정보 및 학교 정보 유출 정황 확인_2026년 03월

경험한사람 — Wed, 11 Mar 2026 21:37:09 +0900

초등 교과서 기업 아이스크림미디어에서 일부 회원 개인정보와 학교 정보가 유출된 사실이 확인됐다. 회사는 2026년 3월 8일 사고를 인지하고 KISA 및 개인정보보호위원회에 신고 후 조사를 진행 중이다.

□ 개요

2026년 3월, 초등 교과서 및 교육 콘텐츠 서비스를 제공하는 아이스크림미디어에서 일부 회원 개인정보가 외부로 유출된 사실이 확인됐다. 유출된 정보에는 아이디, 이름, 이메일, 연락처 등 기본 개인정보뿐 아니라 학교명, 학교 주소, 학교 연락처 등 교육기관 관련 정보도 포함된 것으로 알려졌다. 회사는 2026년 3월 8일 해당 사실을 인지한 후 관계기관에 신고하고 긴급 보안 조치를 시행했으며, 정확한 유출 시점과 경위에 대해서는 외부 전문가와 함께 조사 중이라고 밝혔다.

□ 사고내용 요약

1. 회사명 : 아이스크림미디어
2. 사고유형 : 개인정보 유출 사고 (외부 침해 여부 조사 중)

3. 유출규모 : 일부 회원 개인정보 유출 (정확한 규모 미확정)
4. 유출항목
- 아이디
- 이름
- 이메일
- 닉네임
- 생년월일
- 성별
- 휴대전화번호
- 학교명
- 학교 주소
- 학교 연락처

5. 특이사항
- 비밀번호 및 결제정보는 암호화 저장으로 유출 대상 아님
- 학교 정보 등 교육기관 관련 데이터 포함
- 보이스피싱 및 스팸 등 2차 피해 가능성 경고

□ 사고대응 타임라인

- 2026년 03월 08일 : 아이스크림미디어 내부에서 회원 개인정보 유출 사실 확인
- 2026년 03월 08일 : 한국인터넷진흥원(KISA) 및 개인정보보호위원회 신고
- 2026년 03월 11일 : 공식 홈페이지에 개인정보 유출 안내 및 사과 공지 게시
- 2026년 03월 11일 : 외부 전문가 및 관계기관과 함께 유출 경위 조사 진행 중 발표

□ 개인정보 유출 관련 안내 공지

□ 대응내역

- 개인정보 유출 사실 확인 즉시 긴급 보안 조치 시행
- 한국인터넷진흥원(KISA) 및 개인정보보호위원회 신고
- 외부 전문가 및 관계기관과 공동 조사 진행
- 피해 신고센터 운영 및 이용자 문의 대응
- 개인정보 유출 여부 조회 서비스 제공

□ 재발방지대책(권고사항)

1. 기술적 조치
- 회원 개인정보 접근 로그 및 이상행위 모니터링 강화
- 개인정보 저장 및 접근 시스템 보안 점검 강화
- 침입탐지 및 계정 이상행위 탐지 시스템 적용

2. 관리적 조치
- 개인정보 취급 시스템 접근 권한 최소화
- 개인정보 취급자 보안 교육 강화
- 침해사고 대응 절차 및 통지 프로세스 점검

□ 관련기사(출처)

초등 교과서 기업 '아이스크림미디어', 회원 학교 정보까지 털렸다 - 머니투데이

감사합니다.

알려줘닷컴

[비즈니스피플] 채용 플랫폼 해킹으로 개인정보 유출 정황_2026년 03월

전문직 채용 플랫폼 비즈니스피플이 약 18시간 동안 해커 공격을 받아 회원 및 기업 고객의 민감한 이력 정보가 유출된 정황이 확인됨

[배달의민족] 외주 상담사 내부정보 무단조회로 개인정보 악용 정황_2026년 03월

외주 상담사가 위장 취업 후 고객 개인정보를 무단 조회·유출하고, 이를 기반으로 보복 범죄까지 이어진 내부통제 실패형 사고

[진학사/캐치(CATCH)] 채용 플랫폼 해킹으로 회원 개인정보 유출 정황_2026년 03월

진학사 채용 플랫폼 ‘캐치(CATCH)’에서 해킹 공격으로 회원 개인정보 일부가 유출된 정황이 확인되었으며, 수백만 구직자 대상 2차 피해 우려가 제기되고 있음.

[리드코프] 자회사 앤알캐피탈대부 해킹으로 고객 신용정보 유출 정황_2026년 03월

리드코프 자회사 앤알캐피탈대부에서 해킹으로 고객 신용·금융정보 유출 정황이 확인되었으며, 다크웹 공개 및 금전 요구 정황이 나타나 금융당국이 조사에 착수함.

[서울대학교병원] 산모 1만6천명 의료정보 이메일 오발송 유출 정황_2026년 03월

병원 직원의 이메일 주소 오입력으로 산모 약 1만6천명의 민감한 의료정보가 외부 수신자 1명에게 전달된 사고 발생

[비트리필(Bitrefill)] 북한 연계 해킹 조직 침투 정황…고객 데이터 1.85만건 접근 및 자산 유출_2026년 03월

직원 노트북 계정 탈취를 시작으로 내부 인프라까지 침투한 공격으로, 일부 고객 데이터와 암호화폐 자산이 유출된 정황이 확인됨.

[강원도교육청] 내부 행정망 개인정보 5,207명 열람 노출 정황_2026년 03월

2023년 발생한 내부 행정망 개인정보 노출 사고가 약 2년 뒤 공개되며 논란이 확산됐다. 건강정보를 포함한 민감정보까지 포함되어 관리 부실 문제가 지적되고 있다.

“개인정보 유출하면 매출 10% 과징금”… 2026년 달라지는 개인정보보호법 핵심 정리 - 개인정보보호위원회

― “개인정보 유출 사고가 반복되자 정부가 결국 칼을 빼 들었다. 2026년부터 개인정보를 제대로 관리하지 못한 기업은 매출의 최대 10%까지 과징금을 물게 된다.”

1. 왜 개인정보보호법이 갑자기 강화됐을까

2. 2026년 개인정보보호법, 무엇이 달라지나

3. 개인정보 유출 시 ‘매출 10% 과징금’ 도입

4. 개인정보 유출 ‘가능성’만 있어도 통지 의무

5. CEO와 CPO 책임이 크게 강화된다

6. 주요 기업은 ISMS-P 인증이 의무화된다

7. 개인정보 보호에 투자하면 과징금이 줄어든다

8. 우리가 알아야 할 핵심 변화 정리

#. 출처

[언더아머] IT 시스템 침해 정황…고객 이메일 등 54만건 개인정보 일부 유출 확인_2026년 03월

[아이스크림미디어] 회원 개인정보 및 학교 정보 유출 정황 확인_2026년 03월

초등 교과서 기업 아이스크림미디어에서 일부 회원 개인정보와 학교 정보가 유출된 사실이 확인됐다. 회사는 2026년 3월 8일 사고를 인지하고 KISA 및 개인정보보호위원회에 신고 후 조사를 진행 중이다.

― “개인정보 유출 사고가 반복되자 정부가 결국 칼을 빼 들었다.
2026년부터 개인정보를 제대로 관리하지 못한 기업은 매출의 최대 10%까지 과징금을 물게 된다.”