SM·디어유, 문서 유출 확인…회사별 항목 다르고 개별 통지는 진행 중

SM엔터테인먼트와 디어유가 업무시스템에 보관하던 문서 파일의 외부 유출을 확인하고 사과했다.9일 새벽 두 회사 공식 홈페이지에서 각각 확인한 공지다. 발생 시점은 모두 11월 4일경으로 안내했으며, 정확한 대상자와 항목을 특정해 이메일이나 문자로 개별 통지를 순차 진행하고 있다고 밝혔다.

SM과 디어유의 공지 항목은 같지 않다

SM은 전자결재시스템 등 업무시스템에 비인가 접근이 있었다고 설명했다. 공지의 유출 항목에는 이름·휴대전화번호·주소·계좌번호·주민등록번호·소속 정보와 계약서 기재 정보 일부가 포함됐다. 다만 모든 사람에게 모든 항목이 유출됐다는 뜻은 아니며, 회사도 대상자별 항목이 다르다고 명시했다.

디어유는 이용 중인 계열사 운영 업무시스템에 비인가 접근이 있었고 그 안의 일부 문서가 유출됐다고 설명했다. 유출 항목은 이름·생년월일·사번·ID·이메일·휴대전화번호·부서·직위·입사일 등을 포함한 임직원 DB 정보로 적었다. 같은 사건을 다뤄도 회사별 공지의 대상과 항목을 따로 읽어야 한다.

버블 운영사라는 사실만으로 대화 유출을 확정할 수는 없다

디어유는 버블 운영사이지만, 이번 공지가 명시한 것은 업무시스템 문서와 임직원 정보다. 이 두 공지만으로 버블 이용자의 대화 내용이나 모든 계정 정보가 유출됐다고 확정할 수는 없다. 반대로 아직 공지에 적히지 않았다는 이유로 모든 서비스의 무사고가 입증됐다고 말하는 것도 정확하지 않다.

두 회사는 공격에 사용된 IP와 접근 경로를 차단하고 비인가 접근 키를 교체했다고 밝혔다. 이는 회사가 시행했다고 알린 조치다. 관계당국·외부 전문기관과의 정밀 조사와 보안 점검 등 추가 조치는 앞으로 진행할 내용도 포함하므로, 원인 조사까지 모두 끝났다는 발표로 읽지는 않았다.

공지에는 현재까지 유출 개인정보가 악용된 2차 피해 사례가 확인되지 않았다는 설명도 있다. 이는 공지 시점의 확인 범위이며 피해 가능성이 없다는 보장은 아니다. 회사나 관계자를 사칭해 금전이나 개인·금융정보를 요구하는 연락, 출처가 불명확한 링크·첨부파일을 주의하라고 안내했다.

알림을 받은 당사자라면 회사별 개별 통지에서 자신의 구체적인 항목을 확인하는 것이 먼저다. 공개되지 않은 피해 인원이나 특정 아티스트의 피해, 온라인에서 떠도는 문서의 진위를 추정하지 않았다. 이번 기사는 공개된 공식 공지를 대조했으며 유출 파일을 찾아 내려받거나 개인 정보를 재배포하지 않았다.