[딜사이트 이태민 기자] 하이브의 팬 플랫폼 위버스(Weverse)에서 42만여건의 개인정보가 유출됐다. 위버스컴퍼니는 한국인터넷진흥원(KISA)을 통해 외부 제보 사실을 전달받은 뒤 자체 점검을 거쳐 개인정보 유출 사실을 확인했다. 회사는 관련 업무 과정의 미비를 인정하고 내부 보안 체계를 전면 재점검하기로 했다.

7일 관련 업계에 따르면 위버스컴퍼니는 6일 밤 양주일 대표이사 명의의 공지를 통해 계정 ID 단위 기준 42만2584건의 개인정보가 유출됐다고 밝혔다.

개인정보 유출이 발생한 기간은 7월27~28일과 8월27~31일이다. 회사는 이달 3일 KISA로부터 위버스 서비스의 보안 취약점에 대한 외부 제보가 접수됐다는 연락을 받고 자체 점검과 긴급 대응에 착수했다. 이후 보안 취약점과 개인정보 유출 사실을 확인했다.

유출된 개인정보는 회원 가입 과정에서 생성되는 내부식별정보다. 이와 함께 구매 방식과 결제대행업체(PG)명, 결제 통화, 구매·취소 금액, 구매·환불 시점과 상태 등 구매 관련 일반정보도 외부로 빠져나갔다.

회사는 내부식별정보가 이름이나 연락처처럼 개인을 직접 식별하는 정보는 아니라는 입장이다. 양 대표는 공지를 통해 “위버스컴퍼니 내부 시스템에서만 사용되는 식별값으로 외부에서는 사용할 수 없다”며 “해당 정보 항목만으로는 결제 위조나 부정 이체 등이 발생하기 어렵다”고 설명했다.

위버스컴퍼니는 유출 사실을 확인한 뒤 부적절한 외부 접근을 차단하고 결제정보 처리 API(응용프로그램 인터페이스)의 접근제어를 강화했다. API에서 내부식별정보도 제거했다. 지난 4일에는 점검 결과와 대응 현황을 포함해 KISA에 침해사고를 신고했으며, 유출 대상 이용자에게 별도로 유출 사실을 안내하는 절차도 진행했다.

양 대표는 “위버스를 믿고 아껴주신 팬 여러분께 이번 일로 큰 심려와 걱정을 끼쳐드린 점 진심으로 사과드린다”며 “고객 여러분의 걱정과 우려가 해소되도록 책임 있는 조치를 취하겠다”고 말했다.

재발 방지를 위한 추가 보안 조치도 추진한다. 외부에 노출된 API를 전수조사해 접근제어를 강화하고 노출되는 정보를 최소화할 계획이다. 배포 절차에 대한 통제와 보안 모니터링도 강화하기로 했다.

위버스컴퍼니는 이번 사고와 관련해 자체 피해 인지와 후속 대응 과정에 미비점이 있었다는 점도 인정했다.

회사 측은 딜사이트에 “외부인의 비정상적 접근에 따른 명확한 피해 인지 및 후속 대응 프로세스가 빠르게 이어지지 못한 상황”이라며 “업무 과정 미비에 따라 발생한 이번 사안을 매우 무겁게 받아들이고 있으며, 관련 업무 체계를 전면 재점검하고 철저히 보완하겠다”고 밝혔다.

개인정보에 불법 접근한 외부 행위자에 대해서는 법적 대응에 나설 방침이다. 회사 측은 “비정상적인 공격으로 개인정보에 불법 접근한 외부 행위자에게 관련 정보의 회수를 요청했으며, 이번 피해에 대한 법적 책임을 물을 예정”이라고 밝혔다.

한편 위버스컴퍼니는 지난 1월에도 내부 직원이 팬사인회 응모자의 이름과 출생연도, 공개방송 당첨자 30명의 이름·생년월일·전화번호 등을 사적인 단체 대화방에 공유한 사실을 인정한 바 있다. 당시 회사는 해당 직원을 업무에서 배제하고 형사 고소했으며, 개인정보 열람 권한 제한과 보안 통제·모니터링 강화 등 재발 방지 대책을 내놨다.