쏘카 내부 시스템 해킹···임직원·협력사 일부 개인정보 노출

협력사 계좌번호와 카드번호 일부 포함

개인정보보호위원회에 신속 신고

사진=쏘카 제공

쏘카의 사내 관리 시스템이 외부 공격을 받아 전·현직 임직원과 협력사 관계자 일부의 개인정보가 유출됐다. 일반 카셰어링 이용 고객 정보는 이번 사고에 포함되지 않았지만 협력사 관계자의 계좌번호와 암호화된 카드번호 일부도 노출된 것으로 확인됐다.

쏘카는 외부 공격자가 내부 인증정보를 이용해 사내 업무 시스템에 비정상적으로 접근한 사실을 확인하고 대응에 나섰다고 13일 밝혔다.

유출 정보는 대상자별로 차이가 있다. 전·현직 임직원 일부는 이름과 사내 이메일 주소가 조회됐으며, 차량 이동·관리 업무를 담당하는 쏘카 핸들러 일부의 휴대전화번호도 노출됐다. 협력사 관계자는 이름과 이메일, 계좌번호, 암호화된 카드번호 가운데 일부 정보가 유출된 것으로 파악됐다.

쏘카는 협력사 이메일의 상당수가 개인용 계정이 아닌 업무용 전용 도메인 계정이라고 설명했다. 다만 업무용 이메일과 개인 계정의 아이디가 동일할 가능성까지 고려해 개인정보 유출 신고를 진행했다.

회사 측은 "조회된 정보는 대부분 임직원과 협력사 담당자의 업무용 연락처 수준으로 전체 유출 규모가 크지 않다"면서도 "개인 식별 가능성을 폭넓게 고려해 보수적인 기준으로 개인정보보호위원회에 신고했다"고 밝혔다.

사고 원인은 외부 협업 도구나 공급망 솔루션의 취약점이 아닌 자체 구축한 내부 관리 시스템에 대한 비정상 접근으로 파악됐다. 쏘카는 이상 징후를 확인한 뒤 공격에 사용된 계정과 인증정보를 폐기·교체하고 의심 IP 대역과 접근 경로를 차단했다. 외부에서 내부 시스템으로 접속하는 권한 통제도 강화했다.

사고 인지 다음 날 한국인터넷진흥원(KISA)에 침해사고를 신고했으며 개인정보보호위원회에도 유출 사실을 알렸다. 홈페이지에 안내문을 게시하고 연락처를 확보한 대상자에게 문자와 이메일을 통해 개별 통지하고 있다.

쏘카는 내부 시스템 전반에 대한 추가 점검을 진행하는 한편, 유출 정보를 이용한 사칭 연락 등 2차 피해 예방에도 나섰다. 이용자들에게 출처가 불분명한 링크를 열거나 비밀번호와 일회용 비밀번호(OTP)를 요구하는 연락에 응하지 말 것을 당부했다.