ApplyNow, 39만6920명 개인정보 유출 확인

세 서비스 모두 기업 사용자의 이름, 이메일 주소, 해시 처리된 비밀번호, 권한 정보가 유출됐습니다. Interview Cloud에서는 지원자의 이름, 후리가나, 전화번호, 이메일 주소가 포함됐고, 일부는 전형 정보와 생년월일, 성별, 직업도 포함됩니다. ApplyNow Sign에서는 계약자의 기본 정보와 함께 일부에서 마이넘버, 금융기관·계좌 정보, 재류카드 번호, 고용보험 피보험자 번호, 부양공제 관련 정보 등이 유출됐습니다.

신용카드 정보와 신분증 이미지, 면접 영상은 유출 대상이 아닙니다. 11월 4일 기준 2차 피해는 확인되지 않았습니다.

원인과 재발 방지책

조사에 따르면 공격자는 사내 데이터 분석 툴의 취약점을 악용해 8월 9일 시스템에 침입하고 관리자 권한을 얻었습니다. 8월 23일과 26일 데이터베이스 일부를 열람했으며, 9월 7일 정보를 일괄 확보했습니다. 같은 날 툴이 중단되면서 이상을 감지했습니다.

회사는 제공업체가 공개한 취약점 정보를 파악하지 못해 수정 버전 적용이 늦었다고 밝혔습니다. 접속 출처 제한이 없어 부정 조작 탐지도 늦어졌고, 보관 기간을 정하지 않아 계약 종료 후 기업 정보도 남아 있었습니다.

회사는 수정 버전 적용과 분석 툴 접근을 특정 IP 주소로 제한하는 조치를 마쳤습니다. 앞으로 계약 종료 후 데이터 삭제, 의심 조작 자동 알림, 보관 기간 설정을 추진할 방침입니다.