중견중소기업 11만 곳의 인사·급여 '장부'가 노출될 위험에 처했다. 토종 전사적자원관리(ERP) 시스템 1위 기업 더존비즈온(012510)이 해킹에 뚫렸다. 특히 업체 직원들의 이름, 주민등록번호, 계좌번호, 주소, 휴대전화번호 등 민감정보 유출 가능성이 확인되면서 큰 파장이 예상된다. 보안 업계 전문가들은 정부 조사를 지켜봐야 한다면서도 이번 해킹 사건이 미칠 영향에 대해 촉각을 곤두세우고 있다.

27일 정부와 업계에 따르면 더존비즈온은 지난 16일과 21일 두 차례 침해 사고를 신고했다. 각각 클라우드 기반 회계·인사·물류·조정관리 솔루션 '스마트A10'과 데이터 백업을 위한 'APO백업서비스'와 관련된 사고로, 해당 서비스를 이용하는 고객사의 개인정보가 유출됐을 가능성이 제기됐다.

더존비즈온은 ERP와 그룹웨어 등을 주력으로 하며, 해당 분야에서 독일 SAP에 이어 국내 시장 점유율 2위를 기록하고 있다. 특히 중소기업 ERP 시장에서 높은 점유율을 차지하고 있다.

더존비즈온에 따르면 스마트A10은 11만 개 이상 기업이 사용하며, 중소기업·세무회계사무소의 90% 이상이 이용하고 있다.

ERP는 기업의 인사·재무·회계·급여 등 업무를 통합 관리하는 시스템이다. 이번 사고로 해당 서비스를 이용하는 기업들의 인사·급여 정보 등이 유출됐을 가능성이 제기되지만, 실제 유출 범위와 규모는 아직 확인되지 않았다.

한 업계 관계자는 "ERP·회계 솔루션에는 한 회사 데이터가 아니라 고객사 수만 곳의 '장부'가 들어있다"며 "급여·인사 모듈에는 직원 주민등록번호, 계좌번호, 연봉 같은 개인 민감정보가 들어갈 수밖에 없고, 기업 데이터 유출이 곧 개인정보 유출이 될 수 있다"고 말했다.

이어 "내부망만 뚫린 거면 사고긴 해도 파장이 제한적이고, 고객 데이터 영역까지 갔으면 얘기가 완전히 달라진다"고 덧붙였다.

또 다른 보안 업계 관계자는 "두 차례의 침해 사고에 대한 조사가 진행 중인 만큼, 심각성이나 파급력을 단정적으로 평가하기 어렵다"면서도 "다만 ERP는 고객의 인사, 재무, 구매, 영업 등 민감도 높은 핵심 정보를 다룬다는 점에서 정보 유출이 발생할 경우 일반적인 서비스보다 상대적으로 높은 주의가 필요한 영역이라고 볼 수 있다. 고객사가 ERP 솔루션 상에서 보유·관리하는 정보 주체의 성명, 생년월일, 계좌번호, 주소, 휴대전화번호, 이메일 등도 유출 가능성이 있다"고 밝혔다.

실제 더존비즈온도 고객사 개인정보 유출 가능성을 인정했다.

회사 측에 따르면 스마트A10 이용 업체가 보유·관리하는 정보 주체의 성명, 주민등록번호, 계좌번호, 주소, 휴대전화번호, 이메일 등이 유출됐을 가능성이 있다.

더존비즈온의 백업 서비스 서버에 저장된 고객사 개인정보 역시 유출 가능성이 제기됐다.

회사 측은 주민등록번호 뒤 6자리와 계좌번호는 암호화 처리됐으며, 백업 서버에 보관된 데이터는 모두 암호화 상태였다고 밝혔다. 암호화 키가 유출된 정황도 발견되지 않았다고 설명했다.

전문가들은 암호화된 데이터가 곧바로 노출되는 것은 아니라면서도 암호화 키의 유출 여부와 실제 암호화 상태 등을 확인해야 한다고 지적했다.

임종인 고려대 정보보호대학원 명예교수는 "암호화된 데이터를 풀 수 있는 경우는 거의 없기 때문에 ERP 상 민감 데이터가 암호화됐다면 해당 데이터가 유출돼도 안전하다고 볼 수 있다"고 말했다.

한 보안업체 대표는 "암호화된 데이터라면 문제가 없고, 암호화 키가 안전하게 보관돼 있으면 해당 데이터는 무용지물일 수 있다"면서도 "암호화 키 유출 여부는 공격자만 알고, 실제 보안 담당자들은 모를 수 있다"고 말했다.


전문가들은 정부 조사 결과에 따라 이번 해킹 사건의 파급력이 달라질 것으로 내다봤다.


염흥열 순천향대 정보보호학과 교수는 이번 해킹 사태를 놓고 "개인정보를 포함한 기업의 영업 정보, 민감정보가 유출됐을 가능성이 있다는 점에서 지금까지의 개인정보 유출과는 유형이 다르고, 파급력이 더 크다"고 진단했다.

또 "유출 규모가 어느 정도일지, 어떤 원인으로 정보가 유출됐는지 정부 민간합동조사단 조사 결과에 따라 파급력이 달라질 것"이라고 말했다.

정부는 이번 해킹을 중대 사고로 규정했다.

과학기술정보통신부는 고객사로의 피해 확산 가능성과 파급 영향 등을 종합적으로 고려해 민관합동조사단을 구성하고 조사에 착수했다.

Ktiger@news1.kr