더존비즈온 해킹 피해 범위, 서비스별 유출 가능 항목 정리
더존비즈온 해킹으로 어떤 서비스와 누구의 정보가 영향을 받는지 정리했습니다. 스마트 A 10과 APO백업의 유출 가능 항목과 암호화 여부, 위하고(WEHAGO) 영향, 피해 규모를 가를 조건, 정부 조사 상황을 공식 공지 기준으로 담았습니다.
세 줄로 먼저 읽기
- 더존비즈온은 10월 16일과 21일 두 차례 침해사고를 신고했고, 회계 프로그램 스마트 A 10과 백업 서비스 APO백업에서 고객사 개인정보가 유출됐을 가능성을 공지했습니다.
- 회사는 스마트 A 10 일부 이용사가 관리하는 성명, 주민등록번호, 계좌번호 등을 유출 가능 항목으로 밝혔고 업무 플랫폼 위하고는 영향이 없다고 설명했습니다.
- 10월 27일 기준 실제 유출 대상과 규모는 확정되지 않았고, 피해 규모는 고객 데이터 접근 여부와 암호화 키의 안전, 두 사고의 관련성을 밝힐 정부 조사 결과에 달려 있습니다.
기업용 소프트웨어 회사 더존비즈온이 두 차례 해킹 사고를 정부에 신고했습니다. 회사 회계나 급여를 더존 프로그램으로 처리하고 있다면 가장 먼저 궁금한 것은 "우리 회사가 쓰는 서비스도 해당되는지, 어떤 정보가 나갔을 수 있는지"일 것입니다. 정부는 이 사고를 중대한 사고로 보고 민관합동조사에 들어갔습니다.
결론부터 적습니다. 2026년 10월 27일 기준으로 유출 가능성이 공지된 서비스는 회계 프로그램 스마트 A 10과 백업 서비스 APO백업 두 가지이고, 실제로 어느 고객사의 어떤 정보가 빠져나갔는지는 확정되지 않았습니다. 업무 플랫폼 위하고(WEHAGO)는 영향이 없다고 회사가 밝혔습니다. 아래 내용은 더존비즈온의 공식 공지와 과학기술정보통신부 발표를 기준으로 정리했습니다.
그림 1. 더존비즈온 홈페이지 공지사항 목록(2026년 10월 27일 화면). 출처: 더존ICT그룹 공지사항
서비스별 피해 범위
더존비즈온이 공지에서 서비스 이름을 들어 설명한 내용을 나누면 다음과 같습니다.
더존비즈온 서비스별 영향(10월 27일 기준)
| 서비스 |  유출 가능성 공지 |  영향 없음 또는 정상 운영 |
|---|---|---|
| 스마트 A 10(클라우드 회계 프로그램) | 제공 | – |
| APO백업(데이터 백업 서비스) | 제공 | – |
| 위하고(WEHAGO, 업무 플랫폼) | – | 제공 |
| 현재 제공 중인 서비스의 운영 | – | 제공 |
스마트 A 10(Smart A 10)은 회사의 회계와 인사, 급여를 처리하는 더존비즈온의 클라우드 회계 프로그램이고, APO백업은 고객사 데이터를 더존비즈온 서버에 백업해 두는 서비스입니다. 이 두 서비스에서 외부 접근 흔적이 나왔습니다.
위하고는 더존비즈온의 업무 플랫폼입니다. 더존비즈온은 스마트 A 10 공지에서 이번 사건이 위하고 서비스에는 영향을 주지 않았다고 밝히면서도, 예방 차원에서 위하고에 접속할 때 2차 인증을 쓰라고 안내했습니다. 10월 26일 사과문에서는 현재 고객에게 제공하는 서비스가 이번 사고의 영향을 받지 않고 정상 운영되고 있다고 설명했습니다. 이 설명은 서비스가 멈추지 않고 돌아간다는 뜻이고, 스마트 A 10과 APO백업의 유출 가능성 공지는 그대로 유지됩니다.
누구의 정보가 해당되나요
스마트 A 10 같은 소프트웨어를 ERP(전사적 자원관리)라고 부릅니다. 한 회사의 장부와 직원 명부, 급여 기록이 모두 이 시스템 안에 들어가기 때문에, 사고가 나면 그 회사의 직원 정보까지 영향을 받을 수 있습니다. 정보가 이어지는 순서는 다음과 같습니다.
이번 사고에서 정보가 이어지는 순서
1. 더존비즈온 서버개발 서버와 백업 서버에서
외부 접근 흔적이 확인됐습니다
2. 고객사 자료고객사가 맡겨 둔 회계, 인사,
급여 자료가 들어 있습니다
3. 직원 개인정보그 자료 속 직원의 이름과
연락처가 영향을 받을 수 있습니다
공지는 이런 사람들을 정보주체라고 부릅니다. 정보주체는 개인정보의 주인인 사람을 뜻하며, 이번 사고에서는 고객사가 관리하던 직원 등이 여기에 해당합니다. 서비스별로 해당될 수 있는 대상은 공지에 이렇게 적혀 있습니다.
- 스마트 A 10: 일부 이용사가 보유하고 관리하는 정보주체의 개인정보입니다.
- APO백업: 고객사가 백업해 둔 자료에 개인정보가 들어 있다면 유출 가능성이 있습니다.
규모를 말할 때 자주 나오는 숫자는 11만입니다. 더존비즈온은 스마트 A 10을 11만 개가 넘는 기업이 쓰고 중소기업과 세무회계사무소의 90% 이상이 이용한다고 소개해 왔습니다. 다만 공지는 유출 가능성을 "일부 이용사"로 적었습니다.
피해 범위를 볼 때 나오는 숫자
- 11만 곳 이상스마트 A 10 이용 기업공지는 이 가운데 일부 이용사의 유출 가능성을 알렸습니다
- 2건정부에 신고된 침해사고10월 16일과 21일에 신고했습니다
6가지유출 가능성이 공지된 항목성명, 주민등록번호, 계좌번호, 주소, 휴대전화번호, 이메일입니다
염흥열 순천향대 정보보호학과 교수는 언론 인터뷰에서 이번 사고의 파급력이 지금까지의 개인정보 유출보다 크다고 진단했습니다. 개인정보와 함께 기업의 영업 정보까지 유출됐을 가능성이 있다는 이유입니다.
유출 가능 항목과 암호화 여부
유출 가능성이 공지된 항목 가운데 더존비즈온이 암호화했다고 밝힌 것은 일부입니다. 스마트 A 10 공지를 기준으로 항목을 나누면 다음과 같습니다.
스마트 A 10 유출 가능 항목의 암호화 표시
| 항목 | 공지에 암호화로 표시 | 암호화 언급 없음 |
|---|---|---|
| 주민등록번호 뒤 6자리 | 제공 | – |
| 계좌번호 | 제공 | – |
| 주민등록번호 앞 7자리(생년월일과 성별) | – | 제공 |
| 성명 | – | 제공 |
| 주소 | – | 제공 |
| 휴대전화번호 | – | 제공 |
| 이메일 | – | 제공 |
암호화된 데이터는 암호를 푸는 열쇠인 암호화 키가 없으면 내용을 읽을 수 없습니다. 더존비즈온은 암호화 키가 유출된 정황은 발견되지 않았다고 밝혔습니다.
이 표에서 눈여겨볼 곳은 오른쪽 열입니다. 이름, 생년월일, 주소, 휴대전화번호, 이메일은 공지에 암호화 언급이 없는데, 이 정보만 있어도 은행이나 더존비즈온을 사칭해 그럴듯한 문자를 보내거나 전화를 걸 수 있습니다. 더존비즈온 공지가 보이스피싱과 스미싱 주의를 가장 먼저 당부한 이유도 여기에 있다고 봅니다.
피해 규모를 가를 세 가지
실제 피해 규모는 정부 조사 결과에 따라 달라집니다. 공지와 전문가 발언을 보면 조사 결과에서 확인할 점은 세 가지입니다.
조사 결과에서 확인할 세 가지
1. 고객 데이터 접근 여부침입이 내부 시스템에서 멈췄는지,
고객사 자료까지 접근했는지 봅니다
2. 암호화 키의 안전암호화한 주민등록번호와 계좌번호를
풀 수 있는 키가 안전한지 봅니다
3. 두 사고의 관련성스마트 A 10 사고와 APO백업 사고가
같은 공격인지 봅니다
1번을 두고 한 업계 관계자는 언론 인터뷰에서 "내부망만 뚫린 거면 사고긴 해도 파장이 제한적이고, 고객 데이터 영역까지 갔으면 얘기가 완전히 달라진다"고 말했습니다.
2번은 암호화된 항목의 안전과 직결됩니다. 더존비즈온은 키가 유출된 정황이 없다고 밝혔지만, 한 보안업체 대표는 언론 인터뷰에서 암호화 키가 유출됐는지는 공격자만 알고 보안 담당자는 모를 수 있다고 말했습니다.
3번은 더존비즈온이 직접 확인 중이라고 밝힌 부분입니다. 두 사고가 같은 공격자의 연속된 공격으로 드러나면 영향 범위를 함께 봐야 합니다.
두 건의 침해사고 경위
더존비즈온이 신고한 사고는 두 건이고, 침입 경로와 영향 범위가 서로 다릅니다. 두 공지를 같은 기준으로 놓으면 다음과 같습니다.
스마트 A 10 사고와 APO백업 사고(10월 27일 기준)
| 항목 |  스마트 A 10 |  APO백업 서비스 |
|---|---|---|
| 정부 신고 | 10월 16일 | 10월 21일 |
| 홈페이지 공지 | 10월 18일 | 10월 23일 |
| 확인된 경위 | 10월 15일 외부인이 직원 VPN 계정으로 내부 시스템에 접속해 데이터를 조회 | 백업 솔루션의 취약점으로 암호화된 일부 데이터가 외부로 반출 |
| 유출 가능 항목 | 이용사가 관리하는 정보주체의 성명, 주민등록번호, 계좌번호 등 | 고객사가 백업한 자료에 들어 있는 개인정보 |
| 암호화 | 주민등록번호 뒤 6자리와 계좌번호 | 백업 데이터 전체, 암호화 키 유출 정황 없음 |
| 회사 조치 | VPN 계정 차단과 해외 IP 차단 | 피해 서버 강제 종료와 해외 IP 차단 |
| 문의처 | 02-6233-0700 | 02-6233-5200 |
스마트 A 10 사고의 출발점은 VPN 계정입니다. VPN(가상사설망)은 회사 밖에서 사내 시스템에 접속할 때 쓰는 보안 통로입니다. 더존비즈온은 신원을 알 수 없는 사람이 10월 15일 직원의 VPN 계정으로 내부 시스템에 접속해 데이터를 조회한 기록을 확인했다고 공지했습니다. 회사는 해당 VPN 계정을 막고 VPN 기능 자체를 꺼 두었으며, 앞으로 개발 환경의 데이터 관리 절차와 접근 통제 체계를 점검하겠다고 밝혔습니다.
APO백업 사고는 백업 프로그램의 약점에서 시작했습니다. 더존비즈온은 서비스 점검 중 이상 징후를 발견하고 백업 솔루션을 공급한 아세이(Ahsay)에 문의했고, 솔루션에 취약점이 있다는 답을 받았습니다. 이어 자체 조사에서 이 취약점으로 백업 서버의 암호화된 데이터 일부가 외부로 나간 정황을 확인했습니다. 회사는 이 취약점이 제로데이 취약점이었다고 설명했습니다. 제로데이 취약점은 제조사가 아직 알지 못하거나 고치지 못한 상태에서 공격에 쓰이는 약점을 말합니다.
정부 조사 진행 상황과 공지 방식
과학기술정보통신부는 더존비즈온이 신고한 직후 한국인터넷진흥원(KISA)과 함께 관련 자료를 보전하라고 요구했습니다. 이후 10월 25일 침해사고 조사 심의위원회를 긴급히 열었고, 위원회는 이번 사고를 중대한 사고로 판단했습니다. 신고부터 조사 착수까지의 흐름은 다음과 같습니다.
더존비즈온 침해사고 경과(10월 15일부터 26일까지)
- 10월 15일직원 VPN 계정을 이용한
무단 접속 기록을 확인했습니다 
10월 16일스마트 A 10 사고를
정부에 신고했습니다
10월 18일스마트 A 10 유출 가능성을
홈페이지에 공지했습니다- 10월 21일APO백업 사고를
정부에 신고했습니다 - 10월 23일APO백업 유출 가능성을
홈페이지에 공지했습니다 
10월 25일정부가 중대한 사고로 보고
민관합동조사단을 꾸렸습니다
10월 26일더존비즈온이 공동대표 명의로
사과문을 올렸습니다
침해사고 조사 심의위원회는 10월 1일 시행된 개정 정보통신망법에 따라 새로 생긴 법정 위원회입니다. 민관합동조사단은 과기정통부 정보보호네트워크정책관이 단장을 맡고, 사이버보안과 시스템, 네트워크 분야 민간 전문가가 함께 참여합니다. 과기정통부는 침해 경로와 피해 규모를 조사한 뒤 결과를 국민에게 투명하게 공개하겠다고 밝혔습니다.
공지 방식을 두고 지적도 나왔습니다. 더존비즈온은 유출된 고객사와 정보주체를 아직 특정하지 못했고, 서비스 특성상 정보주체의 연락처를 확인하기 어려워 홈페이지 공지로 알린다고 설명했습니다. 일부 언론은 이 공지가 홈페이지 첫 화면이 아니라 미디어룸 안의 공지사항 메뉴에 올라와 있어 찾기 어렵다고 지적했습니다.
2차 피해를 막는 방법
유출 대상이 정해지기 전에도 공지된 항목만으로 사칭 연락이 올 수 있습니다. 더존비즈온 공지가 안내한 예방 방법은 아래 네 가지이고, 단계 안의 서비스 이름을 누르면 각 서비스 사이트가 열립니다.
직원 개인이 할 수 있는 피해 예방 순서
1. 사칭 연락 거절더존이나 은행이라며 인증번호를
물으면 응하지 않고 끊습니다
2. 계좌 개설 차단개인정보노출자 사고예방시스템에
등록해 새 계좌 개설을 막습니다- 3. 휴대전화 개통 차단엠세이퍼(M-Safer)에서
내 명의 휴대전화 개통을 막습니다 
4. 계좌 현황 확인계좌정보 통합 관리 서비스에서
모르는 계좌가 없는지 봅니다
더존비즈온은 문자나 전화로 비밀번호, 인증번호, 계좌번호, 카드번호를 요구하지 않는다고 밝혔습니다. 2번의 개인정보노출자 사고예방시스템은 금융감독원이 운영하는 서비스로, 등록하면 본인 명의의 신규 계좌 개설과 카드 발급이 제한됩니다. 3번의 엠세이퍼는 한국정보통신진흥협회가 운영하는 명의도용 방지 서비스입니다.
스마트 A 10이나 APO백업을 쓰는 회사, 그리고 거래처 장부를 맡아 관리하는 세무회계사무소는 직원들에게 위 내용을 먼저 알려 두면 좋습니다. 직원들은 자기 정보가 더존비즈온 서버를 거쳤다는 사실을 모를 수 있기 때문입니다. 더존비즈온의 전담 창구는 스마트 A 10 개인정보 안심지원팀(02-6233-0700, ir-sec@douzone.com)과 APO백업 개인정보 안심지원팀(02-6233-5200, anti-virus@douzone.com)이고, 평일 오전 9시부터 오후 6시까지 운영합니다.
앞으로 확인할 것
10월 27일 기준 판단은 "유출 가능성이 공지된 서비스는 스마트 A 10과 APO백업이고, 어느 고객사의 정보가 실제로 빠져나갔는지는 정해지지 않았다"입니다. 다음으로 나올 소식은 민관합동조사단의 조사 결과와, 더존비즈온이 유출 대상을 특정한 뒤 보내는 추가 통지입니다. 더존비즈온은 유출 여부와 대상이 특정되면 즉시 추가로 알리겠다고 밝혔습니다.
조사 결과가 나오면 앞에서 본 세 가지부터 확인하면 피해 범위를 가늠할 수 있습니다. 결과가 발표되면 이 글에 유출 범위와 원인을 더하겠습니다.
참고 자료
제대로 이해했는지 한 문제로 확인해 볼까요?
답을 고르면 바로 풀이가 나와요.
어느 회사가 더존 위하고(WEHAGO)로 업무를 보고, 스마트 A 10과 APO백업은 쓰지 않습니다. 10월 27일 기준 이 글의 근거로 맞는 설명은 무엇일까요?
새 글과 AI 소식을 메일로 받아 보세요
AI가 바꾸는 일과 도구, 측정 실무 이야기를 매주 한 번 보내 드려요.
이 글이 도움이 되었나요?