10.15 더존비즈온 침해사고
더 많은 작업
10.15 더존비즈온 침해사고는 2026년 10월 15일 더존비즈온의 개발 서버에 대한 비인가 접근 기록이 확인되고, 이어 백업 서버에서도 데이터 반출 정황이 발견되면서 대한민국 정부의 민관합동조사로 이어진 사이버 침해사고이다.
2026년 10월 기업용 소프트웨어 기업 더존비즈온에서 두 차례의 침해사고가 확인되었다. 첫 번째는 회계·세무 프로그램인 Smart A 10 관련 개발 서버에 대한 무단 접속이며, 두 번째는 APO백업서비스의 백업 서버에서 발생한 암호화 데이터 반출 의심 사고이다.
더존비즈온은 10월 16일과 21일 두 차례에 걸쳐 한국인터넷진흥원(KISA)에 침해사고를 신고했으며, 18일과 23일 고객을 대상으로 개인정보 유출 가능성을 공지했다. 과학기술정보통신부는 고객사로 피해가 확산할 가능성과 사고의 파급 영향을 고려해 중대한 침해사고로 판단하고, 25일 민관합동조사단을 구성했다.[1]
| 항목 | 내용 |
|---|---|
| 최초 확인된 침해 활동 | 2026년 10월 15일 |
| 최초 신고 | 2026년 10월 16일 |
| 추가 신고 | 2026년 10월 21일 |
| 피해 기업 | 더존비즈온 |
| 침해 대상 | Smart A 10 관련 개발 서버, APO백업서비스 백업 서버 |
| 주요 침해 정황 | 직원 VPN 계정을 이용한 무단 접속 및 데이터 조회, 백업 솔루션 취약점을 통한 암호화 데이터 반출 |
| 개인정보 유출 | 가능성 확인, 실제 유출 규모 조사 중 |
| 조사 기관 | 과학기술정보통신부, 한국인터넷진흥원, 민관합동조사단 |
| 조사 현황 | 중대 침해사고로 판단하여 민관합동조사 진행 중 |
문서 제목의 10월 15일은 회사가 확인한 최초 무단 접속 기록을 기준으로 한다. 실제 최초 침투 시각과 전체 침해 기간은 아직 확정되지 않았다.
| 날짜 | 주요 내용 |
|---|---|
| 2026-10-15 | Smart A 10 관련 개발 서버에 신원불상자가 VPN 계정으로 접속하여 내부 데이터를 조회한 기록이 확인되었다.[2] |
| 2026-10-16 | 더존비즈온이 첫 번째 침해사고를 신고했다.[1] |
| 2026-10-18 | Smart A 10 이용사에 개인정보 유출 가능성을 공지하고 VPN 접근 차단 등 대응 조치를 안내했다.[2] |
| 2026-10-21 | APO백업서비스 관련 두 번째 침해사고를 신고했다.[1] |
| 2026-10-23 | APO백업서비스의 취약점을 통한 암호화 데이터 반출 정황을 공개하고 고객에게 개인정보 유출 가능성을 공지했다.[3] |
| 2026-10-25 | 과기정통부가 침해사고 조사 심의위원회를 긴급 개최하고, 중대 사고라는 판단을 토대로 민관합동조사단을 구성했다.[1] |
| 2026-10-26 | 정부가 민관합동조사 착수를 발표했다. 더존비즈온도 공식 보도자료와 대표이사 명의 사과문을 공개했다.[4] |
첫 번째 사고는 더존비즈온의 Smart A 10 관련 개발 서버에서 발생했다.
더존비즈온은 내부 조사 과정에서 10월 15일 신원불상자가 직원의 가상사설망(VPN) 계정을 이용해 내부 시스템에 무단 접속하고 데이터를 조회한 기록을 확인했다.
공식적으로 확인된 주요 내용은 다음과 같다.[2]
- 접근 경로: 직원 VPN 계정을 이용한 내부 시스템 접속
- 침해 대상: Smart A 10 관련 개발 서버
- 확인된 행위: 비인가 접속 및 데이터 조회
- 공격자: 신원불상자
- 초기 대응: 침입에 이용된 VPN 계정 차단, 해당 VPN 기능 비활성화, 공격에 사용된 해외 IP 차단
VPN 계정이 어떤 경위로 공격자에게 이용되었는지는 공개되지 않았다. 계정정보 탈취, 인증 우회, 내부자 관여 등의 구체적인 원인은 조사 결과를 통해 확인할 필요가 있다.
개인정보 유출 가능성
회사 측은 Smart A 10 일부 이용사가 보유·관리하는 다음 개인정보가 유출되었을 가능성이 있다고 공지했다.[2]
- 성명
- 주민등록번호
- 뒷 6자리는 암호화된 상태
- 계좌번호
- 암호화된 상태
- 주소
- 휴대전화번호
- 이메일
다만 이러한 항목은 유출 가능성이 있는 정보의 범위로, 모든 항목이 실제로 외부 반출되었다는 의미는 아니다.
2026년 10월 28일 기준 정확한 유출 대상 고객사, 정보주체 수, 실제 유출 항목 및 유출량은 확정되지 않았다.
두 번째 사고는 더존비즈온의 APO백업서비스 관련 서버에서 확인되었다.
회사는 백업 서버를 점검하던 중 이상징후를 발견하고 백업 솔루션 공급사인 Ahsay에 문의했다. 이후 솔루션에 취약점이 존재한다는 사실을 전달받아 내부 조사를 진행했으며, 해당 취약점을 통해 백업 서버에 저장된 암호화 데이터 일부가 외부로 반출된 정황을 확인했다.[3]
주요 내용은 다음과 같다.
- 침해 대상: APO백업서비스 백업 서버
- 공격 경로: 백업 솔루션의 보안 취약점
- 확인된 피해 정황: 암호화된 백업 데이터 일부의 외부 반출
- 데이터 보호 상태: 백업 서버에 보관된 데이터는 암호화된 상태
- 암호화 키: 회사 측 조사에서 유출 정황이 발견되지 않음
- 초기 대응: 피해 서버 강제 종료 및 해외 IP 접근 차단
더존비즈온은 해당 사고가 백업 솔루션 취약점과 관련된 제로데이 공격에 해당한다고 설명했다.[4]
관련 AhsayCBS 취약점
사고와 비슷한 시기에 Ahsay의 백업 관리 솔루션인 AhsayCBS에서는 다음 취약점이 공개되어 실제 공격에 악용된 사실이 확인되었다.
| 취약점 | 내용 |
|---|---|
| CVE-2026-105133 | 인증 처리 결함으로 인한 인증 우회 취약점 |
| CVE-2026-105134 | Replication Receiver 구성요소의 운영체제 명령어 삽입 취약점 |
보안업체 Huntress는 2026년 10월 7일부터 공격자가 두 취약점을 연계하여 인증 없이 원격 명령을 실행하고, 웹셸과 암호화폐 채굴 악성코드 등을 설치하는 사례를 관측했다.[5]
Ahsay는 10월 10일 AhsayCBS v10용 수정 버전 10.3.4.45를, 12일에는 구버전 계열용 9.15.2.70을 배포했다고 밝혔다. 앞서 배포된 일부 수정 버전은 취약점을 완전히 해결하지 못했다고 설명했다.[6]
다만 더존비즈온의 APO백업서비스 침해에 실제로 위 두 CVE가 이용되었는지는 공개된 자료만으로 확인되지 않는다. 더존비즈온은 백업 솔루션의 취약점 악용을 인정했지만 해당 사고에 사용된 구체적인 취약점 식별번호와 공격 절차는 공개하지 않았다.
더존비즈온은 10월 23일 공지에서 APO백업서비스 사고와 10월 18일 공지한 개발 서버 침해사고 사이의 관련성을 확인 중이라고 밝혔다.[3]
현재까지 공개된 침해 경로는 서로 다르다.
- 개발 서버: VPN 계정을 이용한 무단 접속
- 백업 서버: 백업 솔루션의 취약점 악용
두 사고가 동일한 공격자 또는 하나의 공격 활동에 의해 발생했는지, 서로 독립적인 침해사고인지는 확인되지 않았다.
더존비즈온은 기업의 회계·세무·인사·급여·경영관리 등에 이용되는 ERP 소프트웨어를 공급하는 기업이다.
이러한 소프트웨어의 특성상 개발 환경이나 백업 서버에 저장된 데이터에는 고객사가 처리하는 임직원 개인정보와 경영 관련 정보가 포함될 수 있다.
과기정통부는 이 같은 고객사 피해 확산 가능성과 파급 영향을 종합적으로 고려하여 이번 사고를 중대한 침해사고로 판단했다.[1]
| 조사 항목 | 2026년 10월 28일 기준 |
|---|---|
| 내부 시스템 무단 접속 | 확인 |
| 개발 서버 데이터 조회 | 확인 |
| 백업 서버 데이터 외부 반출 정황 | 확인 |
| 개인정보 유출 여부 및 범위 | 조사 중 |
| 피해 고객사 수 | 미확정 |
| 피해 정보주체 수 | 미확정 |
| 백업 데이터 암호화 키 유출 | 회사 측은 유출 정황을 발견하지 못했다고 설명 |
| 고객사 시스템에 대한 추가 침해 | 확인되지 않음 |
| 두 사고의 연관성 | 조사 중 |
| 공격자 신원 및 전체 공격 경로 | 미확정 |
더존비즈온은 10월 26일 사과문에서 고객에게 제공되는 서비스가 이번 사고의 영향을 받지 않고 정상 운영되고 있다고 밝혔다.[7]
다만 서비스 운영이 정상적이라는 사실과 개인정보 유출 여부는 별개이므로 실제 유출 범위에 대해서는 후속 조사 결과를 확인할 필요가 있다.
과학기술정보통신부와 한국인터넷진흥원은 10월 16일과 21일 각각 침해사고 신고가 접수되자 관련 자료의 보전을 요구하고 사고 원인 및 피해 규모 조사에 착수했다.
10월 25일에는 침해사고 조사 심의위원회를 긴급 개최했다. 해당 위원회는 2026년 10월 1일 시행된 개정 정보통신망법에 따라 마련된 법정 심의기구다.
심의 결과 이번 사고에 별도의 민관합동조사단을 투입할 필요가 있다는 의견이 모였다.[8]
민관합동조사단 구성
- 단장: 과기정통부 정보보호네트워크정책관
- 참여 기관: 과기정통부, 한국인터넷진흥원
- 민간 전문가: 사이버보안, 시스템 및 네트워크 분야 전문가
주요 조사 대상
- 최초 침입 경로와 침해 원인
- 개발 서버 및 백업 서버의 실제 피해 범위
- 개인정보와 기타 데이터의 외부 유출 여부
- 고객사로의 침해 확산 가능성
- 추가 피해 방지 및 재발방지 대책
과기정통부는 조사 결과를 국민에게 공개하겠다는 방침을 밝혔다.[8]
더존비즈온은 침해사고 인지 후 비정상적인 접근 경로를 차단하고 관계기관 신고, 고객 공지, 전문 보안업체를 통한 원인 조사 등을 진행했다고 밝혔다.
또한 개발 환경의 데이터 관리 절차와 접근통제 체계를 점검하고 민관합동조사단의 조사 및 후속 조치에 협조하겠다고 밝혔다.[4]
회사 측이 안내한 고객 보호 조치는 다음과 같다.
- 더존비즈온이나 공공기관을 사칭하는 문자·전화·이메일에 주의
- 비밀번호, 인증번호, 계좌번호 등을 요구하는 연락에 응하지 않기
- 출처가 불분명한 링크 및 첨부파일 열람 자제
- WEHAGO 이용 시 예방적 차원에서 2차 인증 사용
- 이상 금융거래나 명의도용 의심 정황 확인 시 관련 기관 신고
침해사고 전담 문의처
| 대상 | 연락처 |
|---|---|
| Smart A 10 개인정보 안심지원팀 | 02-6233-0700 / [email protected] |
| APO백업 개인정보 안심지원팀 | 02-6233-5200 / [email protected] |
- ↑ 1.0 1.1 1.2 1.3 1.4 연합뉴스, 더존비즈온 침해사고 '중대' 판단…정부, 합동조사 착수, 2026-10-26.
- ↑ 2.0 2.1 2.2 2.3 2.4 더존비즈온, 개인정보 유출 가능성 및 침해사고 공지(Smart A 10), 2026-10-18.
- ↑ 3.0 3.1 3.2 3.3 더존비즈온, 개인정보 유출 가능성 및 침해사고 공지(APO백업서비스), 2026-10-23.
- ↑ 4.0 4.1 4.2 더존비즈온, 더존비즈온, 서버 불법 접근 확인… 관계기관 신고 및 고객 안내, 민관합동조사단 조사에 성실하게 협조, 2026-10-26.
- ↑ Huntress, Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer, 2026년 10월 12일 업데이트.
- ↑ Ahsay, AhsayCBS Vulnerability Status Update, 2026-10-13.
- ↑ 더존비즈온, 고객 여러분께 진심으로 사과드립니다, 2026-10-26.
- ↑ 8.0 8.1 뉴스핌, 과기부, '더존비즈온' 침해사고 민관합동조사단 구성…심의위 "중대 사고", 2026-10-26.