더존 침해사고에 세무사회 공동 대응, 납세자 정보 지킨다
한국세무사회가 10월 28일 더존비즈온 침해사고에 따른 회원 사무소의 피해 파악과 납세자 정보보호를 위한 공동 대응에 나섰다.
유선영 기자
한국세무사회가 10월 28일 더존비즈온 침해사고와 관련해 공동 대응에 나섰다. 회원 세무사사무소의 피해를 파악하고 납세자 정보를 지키기 위해서다.
가게가 세무대리인에게 맡겨 둔 장부와 급여정보와도 맞닿아 있는 일이다. 세무사사무소는 거래처의 회계장부와 세무신고자료, 급여정보처럼 민감한 자료를 관리한다. 한국세무사회는 이번 사고가 사무소 업무의 안정성과 납세자 정보보호에 영향을 줄 수 있다고 본다. 세무사가 개별적으로 공급업체를 상대해 사고 경위와 유출 범위를 알아내거나 피해구제를 요구하기는 어렵다는 점도 공동 대응에 나선 이유로 꼽았다.
사고가 난 곳은 회계·세무 프로그램 ‘스마트 A 10(Smart A 10)’ 관련 개발서버와 ‘APO백업서비스’다. 더존비즈온은 10월 16일과 10월 21일 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 첫 사고는 10월 18일 공지로 알렸다. 신원불상자가 10월 15일 직원의 가상사설망(VPN) 계정으로 내부 시스템에 무단 접속해 데이터를 조회한 기록을 확인했다는 내용이다.
유출 가능성이 거론된 정보는 스마트 A 10 일부 이용사가 가진 성명, 주민등록번호, 계좌번호, 주소, 휴대전화번호, 이메일 등이다. 이 가운데 주민등록번호 뒷 6자리와 계좌번호는 암호화된 상태다. 더존비즈온은 침입에 쓰인 VPN 계정과 공격에 동원된 해외 인터넷주소(IP)를 막고, 해당 VPN 기능을 껐다.
더존비즈온은 10월 23일 공지에서 백업서버에 저장된 암호화 데이터 일부가 외부로 빠져나간 정황을 찾았다고 했다. 서비스를 점검하다 이상징후를 발견해 백업 솔루션 공급사인 아세이에 문의한 것이 시작이었다. 이후 솔루션의 취약점을 전달받았고, 내부조사에서 그 취약점을 파고든 데이터 반출 정황이 드러났다. 회사는 백업서버에 저장된 데이터가 모두 암호화돼 있었다고 설명했다.
정부 조사는 사고 원인과 피해 규모를 밝히는 데 맞춰져 있다. 과학기술정보통신부와 KISA는 신고가 들어오자 곧바로 관련 자료 보전을 요구하고 조사를 이어 왔다. 10월 25일 긴급히 열린 침해사고 조사 심의위원회는 이번 사고를 중대한 사고로 판단했다. 과학기술정보통신부는 피해가 고객사로 번질 가능성과 그 파급 영향을 따져 민관합동조사단을 꾸리기로 했다.
한국세무사회는 정부 조사 결과를 토대로 피해구제 지원방안을 검토할 계획이다. 조사 결과와 회원 사무소의 피해 현황을 함께 놓고 공동 대응 범위와 구체적인 구제 방안을 마련한다. 실제 피해가 확인되면 더존비즈온에 후속 조치와 재발방지 대책도 요구하기로 했다.
추가 피해를 막기 위한 안내도 나왔다. 한국세무사회가 안내한 대상은 더존비즈온 프로그램을 쓰는 회원이다. 업무용 계정 비밀번호를 바꾸고 접속기록을 확인하는 한편, 주요 자료를 백업하고 피해 증빙자료를 보존하라는 내용이다. 가게가 세무대리인 사무소에 맡기는 회계장부와 세무신고자료, 급여정보가 바로 이들 사무소가 다루는 민감한 자료다.