ERP 업체 해킹, 내 회사 데이터부터 점검하기
더존비즈온 백업서버가 뚫려 고객사 데이터가 외부로 반출된 정황이 발견됐고, 정부는 이를 중대 침해사고로 보고 조사 중이다. 회계·급여·거래처 정보를 외부 ERP나 클라우드에 맡긴 기업은 자사 보안이 멀쩡해도 공급업체 한 곳이 뚫리면 함께 노출된다. 우리 회사 데이터가 어디에 저장·접근되는지, 위탁 계약서의 통지 조항과 접근권한을 지금 확인해야 한다.
공급업체가 뚫렸는데 왜 우리 회사가 위험한가
공급망 공격은 공격자가 목표 기업을 직접 때리지 않는다. 그 기업이 믿고 쓰는 외부 업체를 먼저 뚫고, 둘 사이의 신뢰 관계를 타고 안쪽으로 들어온다. 회계·급여·거래처 데이터를 외부 ERP나 클라우드 백업에 맡긴 기업이라면, 그 데이터는 이미 우리 사옥 밖 서버에 복제돼 있다는 뜻이다.
2026년 10월 드러난 더존비즈온 사고가 이 구조를 그대로 보여준다. 더존비즈온은 국내 ERP 시장 점유율 16.6%로 SAP(20.5%)에 이은 2위 사업자다. 공격은 더존의 본체가 아니라 기업 데이터를 보관하던 백업서버에서 일어났고, 원인은 백업 솔루션 공급업체 아세이(Ahsay) 제품의 보안 취약점으로 지목됐다. 공급업체의 공급업체가 뚫린 셈이다.
더존 사고에서 확인된 것과 아직 아닌 것
Photo by Romain Dancre on Unsplash
사실과 추정을 섞으면 판단이 흐려진다. 지금까지 확인된 것부터 보자. 더존비즈온은 10월 16일과 21일 두 차례 침해사고를 신고했고, 23일 홈페이지 공지사항에 유출 가능성을 알렸다. 백업서버에서 암호화된 데이터 일부가 외부로 반출된 정황이 발견됐다는 것까지가 회사가 인정한 내용이다. 회사는 백업 데이터가 모두 암호화돼 있었고 암호화 키가 유출된 정황은 없다고 설명했다.
반대로 아직 확정되지 않은 것도 분명하다. 실제 개인정보가 복호화돼 유출됐는지, 피해 고객사가 몇 곳인지는 조사 중이다. 보도마다 11만, 13만 곳 등 수치가 엇갈리는데, 이는 확정된 피해 규모가 아니라 영향 가능 범위를 가리키는 추정치로 보는 편이 맞다. 과학기술정보통신부는 10월 25일 심의위원회를 열어 이 사고를 '중대한 침해사고'로 판단하고 KISA와 민간 전문가가 참여하는 민관합동조사단을 꾸렸다. 정부 발표 전까지는 유출 '가능성'과 '확정'을 구분해 받아들여야 한다.
우리 회사 데이터가 어디 있는지부터 확인한다
남 얘기가 아니라면 순서는 데이터의 위치 파악부터다. 외부 서비스를 쓴다는 것과 데이터가 어디 저장되는지 아는 것은 다른 문제다.
먼저 우리가 그 서비스에 올린 정보 항목을 적어 본다. 직원 주민등록번호·계좌·급여, 거래처 사업자정보, 고객 연락처처럼 유출 시 피해가 큰 항목이 포함돼 있는지가 핵심이다. 다음으로 그 데이터가 어디에 있는지 확인한다. 우리가 접속하는 운영 서버만이 아니라, 이번처럼 백업·로그·분석용으로 복제된 사본이 어디에 몇 벌 있는지까지 물어야 한다. 마지막으로 누가 그 데이터에 접근할 수 있는지, 공급업체 직원이나 재위탁 업체가 열람 가능한지 계약과 설정을 확인한다.
계약서와 접근권한에서 점검할 것
사고가 터진 뒤가 아니라 지금, 아래 항목을 계약서와 관리자 화면에서 확인해 두는 편이 낫다.
- 유출·침해 발생 시 공급업체가 우리에게 언제까지, 어떤 방식으로 통지하는지 조항이 있는가
- 데이터 저장 위치와 암호화 적용 범위(저장·전송·백업)가 명시돼 있는가
- 재위탁(하도급) 업체 목록과 그들의 보안 의무가 계약에 포함돼 있는가
- 우리 계정의 접근권한이 담당자별로 최소한으로 나뉘어 있고, 퇴사자 계정은 즉시 회수되는가
- 계약 종료 시 데이터 파기 방법과 증빙 제공이 약속돼 있는가
이 중 하나라도 공란이면, 사고가 났을 때 우리가 확인할 길도 책임을 물을 근거도 약해진다.
법은 공급업체에도 통지 책임을 지운다
위탁했다고 책임이 사라지지 않는다. 개인정보보호법 제34조와 시행령 제40조는 유출을 알게 된 때부터 72시간 안에 정보주체 통지와 개인정보보호위원회·KISA 신고를 하도록 정한다. 1천 명 이상이거나 주민등록번호 같은 고유식별정보·민감정보가 포함되거나 외부 불법 접근에 의한 유출이면 신고 대상이다. 2026년 9월 11일 시행된 개정법은 유출이 확정되지 않아도 '의심'된다고 합리적으로 판단되면 그때부터 72시간 시계가 돌도록 바꿨다.
수탁자에게서 유출이 일어난 경우 제26조에 따라 수탁자에게도 신고·통지 의무가 생긴다. 다만 위탁한 기업이 자기 고객·직원에게 질 책임까지 공급업체가 대신 지는 것은 아니다. 공급업체의 통지를 기다리기만 할 게 아니라, 우리 쪽에서도 영향받는 사람에게 알릴 준비를 해 두는 것이 현실적이다. 그래야 공급업체 통지가 늦어도 72시간 기준을 우리가 지킬 수 있다.