SM 유출은 임직원 정보, 팬이 할 보안 점검

공식 발표로 확인된 사실부터

SM엔터테인먼트는 11월 8일 홈페이지 공지로 외부 해킹에 의해 개인정보가 유출됐다고 밝히고 사과했다. 회사 설명으로 유출은 11월 4일께 일어났고, 외부 공격자가 전자결재시스템 같은 업무 시스템에 비인가 방식으로 접근해 일부 문서 파일을 빼냈다.

핵심은 '누구의' 정보가 나갔느냐다. 회사는 유출 대상을 '임직원 및 관계자'라고 적었다. 유출 항목에는 이름, 휴대전화번호, 주소, 계좌번호, 소속 정보, 계약서에 적힌 내용 등이 포함됐고, 여러 매체는 주민등록번호도 들어 있다고 전했다. 다만 기사마다 항목이 조금씩 달라, 본인에게 무엇이 유출됐는지는 회사가 보내는 개별 통지로 확인해야 한다. 대상자마다 유출된 항목이 다르기 때문이다. 회사는 현재까지 유출 정보가 악용된 2차 피해는 확인되지 않았다고 밝혔다.

그래서 팬 정보도 털린 건가

Photo by Onur Binay on Unsplash

가장 궁금한 지점이다. 결론부터 말하면, 공식 발표에서 확인된 것은 임직원과 관계자의 정보이지 팬이나 이용자의 개인정보가 아니다. 회사는 고객·팬 데이터가 유출됐다고 밝힌 적이 없다. 동시에 "팬 정보는 안전하다"고 못 박지도 않았다. 지금 분명한 것은 딱 여기까지다.

팬들이 불안해하는 데는 이유가 있다. 일부 매체는 계열사인 디어유와 드림메이커에서도 유사한 해킹 피해가 있었다고 보도했다. 디어유는 많은 팬이 쓰는 유료 메시지 구독 서비스 '버블'을 운영하는 회사다. 그래서 '버블 결제 정보가 샌 것 아니냐'는 걱정이 번졌다. 그러나 디어유에서 거론된 유출 역시 임직원 데이터베이스이고, 버블 이용자, 즉 팬의 계정이나 결제 정보가 유출됐다는 발표는 나오지 않았다. 회사가 거론한 내용과 팬이 상상하는 피해를 섞지 않는 것이 중요하다.

지금 팬이 할 보안 점검 순서

유출 확인 여부와 별개로, 이런 사고가 터지면 공격자들이 그 이름을 내세운 피싱을 시도하기 마련이다. 예방 차원에서 계정을 한 번 정비해 두는 것이 합리적이다. 순서는 이렇게 잡으면 된다.

• 버블을 비롯해 SM 관련 서비스에서 쓰는 비밀번호를 바꾼다. 특히 다른 사이트와 같은 비밀번호를 돌려쓰고 있었다면 이번 기회에 끊는다.
• 2단계 인증을 켤 수 있는 계정은 켠다. 비밀번호가 새도 한 겹 더 막아 준다.
• 결제 수단을 확인한다. 등록해 둔 카드의 최근 결제 내역을 보고, 모르는 결제가 없는지 살핀다. 자동결제를 당분간 쓰지 않는다면 해지해 둬도 된다.
• SM이나 디어유를 사칭한 문자·이메일을 경계한다. '유출 확인', '보상 신청' 같은 명목으로 링크를 눌러 로그인이나 카드 정보를 요구하면 그 자체가 피싱 신호다.

회사도 보이스피싱과 스미싱에 주의하고, 출처가 불분명한 링크나 첨부파일을 열지 말라고 당부했다.

확인 안 된 피해는 단정하지 않기

정보 유출 사고에서 팬을 가장 흔들어 놓는 것은 사실 유출 그 자체보다 커뮤니티에 도는 추측이다. '아티스트 사생활이 털렸다더라', '전화번호가 다 넘어갔다더라' 같은 말은 대개 근거 없이 퍼진다.

기준은 단순하게 잡는 편이 낫다. 믿을 것은 회사가 보내는 개별 통지와 공식 공지, 그리고 신뢰할 수 있는 언론 보도까지다. 나에게 온 통지가 없는데도 '내 정보가 확실히 유출됐다'고 단정할 필요는 없고, 반대로 통지를 받았다면 어떤 항목이 유출됐는지 그 내용을 기준으로 대응하면 된다. 실제 피해가 생겼다면 개인정보 보호법에 따른 손해배상 청구나 개인정보 분쟁조정위원회의 분쟁조정을 활용할 수 있다. 추측을 덧붙여 불안을 키우기보다, 확인된 사실 위에서 움직이는 편이 결국 자신을 지키는 길이다.

출처

1. SM엔터, 임직원 주민·계좌번호 등 개인정보 유출 "진심으로 사과"
2. SM엔터, 해킹으로 임직원 개인정보 유출… 주민번호·계좌번호 포함
3. SM엔터·계열사서 임직원 개인정보 유출…주민번호·계좌번호 포함