의료정보까지 털렸다…하이브, 전·현직 임직원 개인정보 유출

해킹으로 드러난 보안 취약점과 유출 경로

국내 최대 엔터테인먼트 기업인 하이브의 내부 시스템이 해킹 공격을 받아 전·현직 임직원 및 협력사 관계자들의 민감한 개인정보가 외부로 흘러나간 사실이 뒤늦게 확인되었다. 지난달 공지사항을 통해 뒤늦게 알려진 이번 사고에서는 주민등록번호와 카드번호는 물론, 의료 데이터까지 포함된 것으로 나타나 기업의 정보보안 관리 체계에 대한 심각한 우려가 제기되고 있다.

하이브가 지난달 18일 공식 웹사이트를 통해 발표한 사과문에 따르면, 최근 실시한 사내 보안 점검 과정에서 전자결재시스템과 연동된 외부 업체 솔루션의 문서 미리보기 기능을 통한 비정상적인 접근 흔적이 포착되었다. 이후 진행된 추가 조사에서는 비용처리시스템에서도 이와 유사한 방식의 외부 침입 사례가 발견되었으며, 이로 인해 두 시스템에 저장되어 있던 일부 내부 문서와 개인정보가 유출된 것으로 파악되었다.

상세 유출 시점과 항목의 심각성

정보가 유출된 시점은 두 차례에 걸쳐 발생했다. 첫 번째는 9월 12일 오후 1시 16분부터 이튿날 오전 11시 14분까지였으며, 두 번째는 10월 3일 밤 10시 41분부터 10월 5일 오후 3시 5분까지였다. 유출된 세부 항목에는 성명과 주민등록번호, 외국인등록번호, 여권번호, 계좌번호, 카드번호가 포함되었으며, 휴대전화 번호와 이메일 주소, 거주지 주소, 의료정보, 생년월일 등 매우 광범위한 정보가 포함되었다. 또한 IP 주소와 사번, 소속 부서명 등도 함께 유출되었으나, 개인마다 피해를 입은 항목은 상이하며 전체 피해 규모와 인원수는 구체적으로 공개되지 않았다.

보안 조치 및 재발 방지 대책

하이브 측은 외부 공격에 활용된 IP 주소와 접근 경로를 즉각 차단하는 등 추가적인 정보 유출을 막기 위한 긴급 보안 조치를 완료했다고 설명했다. 아울러 한국인터넷진흥원(KISA)과 개인정보보호위원회에 관련 사실을 신고하였으며, 피해 대상자들에게는 개별적인 안내를 진행 중이다. 하이브는 이번 사태로 심려를 끼친 점에 대해 깊은 사과의 뜻을 전하며, 사내 시스템의 접근 제어와 보안 모니터링을 강화하고 철저한 원인 규명을 통해 재발 방지에 힘쓰겠다고 약속했다. 현재까지 유출된 정보를 악용한 구체적인 피해 사례는 접수되지 않은 상태다. 또한 피해를 입은 인원은 개인정보보호법에 따라 손해배상을 청구하거나 개인정보 분쟁조정위원회를 통해 조정을 신청할 수 있다고 덧붙였다.

반복되는 계열사 보안 사고 논란

하이브의 개인정보 유출 사고는 이번이 처음이 아니다. 자회사인 위버스컴퍼니가 운영하는 팬 플랫폼 위버스에서도 지난 9월 6일, 계정 아이디를 기준으로 이용자의 내부 식별번호, 결제 수단, 구매 및 취소 금액, 결제 일시 등이 유출되는 사고가 발생한 바 있다. 당시 위버스컴퍼니는 외부 제보를 통해 보안 취약점을 인지하고 관련 기관 신고와 접근 통제 강화 조치를 취했다고 밝혔다.

하이브 계열사 내에서 외부 해킹과 내부 직원에 의한 유출 사고가 연달아 발생하면서 정보보호 관리체계 전반에 대한 비판이 커지고 있다. 지난 1월에는 위버스컴퍼니 직원이 팬 사인회 응모자들의 정보를 지인에게 무단으로 넘긴 사건이 있었으며, 2021년에도 시스템 개발 오류로 인해 137건의 개인정보가 타인에게 노출되어 개인정보보호위원회로부터 시정명령과 함께 700만 원의 과태료 처분을 받은 전력이 있다.