카카오워크 해킹, 이용자 개인정보 유출…메일 본문·첨부파일 원본 포함

카카오엔터프라이즈는 업무용 협업 도구 카카오워크에 대한 외부 공격으로 자사 전·현직 임직원과 회사 계정을 이용한 외부 인원, 일부 메일 수신자의 개인정보가 유출됐다고 12일 밝혔다. 유출 항목에는 이름과 연락처뿐 아니라 메일 본문과 제목, 첨부파일 원본도 포함됐다.

카카오엔터프라이즈는 이날 홈페이지 공지에서 지난 9일 카카오워크 서비스 제공자인 디케이테크인(대표 이채영)의 시스템에 외부 공격자의 비정상적인 접근이 발생했다고 설명했다. 카카오엔터프라이즈는 카카오워크를 업무용으로 사용하는 고객사다.

현재까지 확인된 유출 항목은 이름, 닉네임, 부서, 휴대전화번호, 이메일 주소, 메일 본문과 제목, 메일 첨부파일명, 암호화된 메시지, 메시지 내 첨부파일명, 첨부파일 원본이다. 메시지는 ‘암호화된 메시지’로 공지했으며 공격자가 이를 복호화해 내용을 읽었는지는 밝히지 않았다.

이번 공지에서 밝힌 유출 대상은 카카오엔터프라이즈 전·현직 임직원과 회사 계정을 이용한 외부 인원, 일부 메일 수신자다. 개인별 유출 항목과 범위는 다르다. 구체적인 피해 인원과 다른 고객사의 피해 여부는 해당 공지에 담기지 않았다.

디케이테크인은 카카오 자회사인 IT 서비스 기업이다. 카카오워크의 서비스 제공·운영 주체는 이달 1일부터 카카오로 바뀌었다. 카카오워크 팀은 지난달 2일 공식 안내에서 카카오가 카카오워크 소유권을 양수하고 디케이테크인은 라이선스 공급자로서 고객에게 서비스를 제공한다고 밝혔다. 이달 1일부터 적용한 이용약관도 서비스 제공 회사를 카카오로 명시했다.

기존 고객 관련 업무는 디케이테크인이 계속 맡는 구조다. 공식 안내는 디케이테크인이 기존 고객의 서비스 이용에 필요한 권한을 카카오로부터 부여받아 관련 업무를 수행한다고 설명했다. 이용 고객의 개인정보와 관련 권리·의무는 카카오로 이전하고 디케이테크인은 라이선스 공급 등에 필요한 개인정보 처리 업무를 위탁받는다고 명시했다. 현재 개인정보처리방침에는 디케이테크인의 위탁업무로 카카오워크 운영·유지보수, 서비스 가입·운영지원, 고객상담을 기재했다.

디케이테크인은 앞서 카카오워크의 자체 종단간 암호화 체계인 ‘E3’를 소개하며 물리적 해킹에서도 정보 유출이 불가능한 보안 체계를 갖췄다고 설명한 바 있다. 다만 이번 공지는 메일과 첨부파일에 적용한 암호화 범위나 유출는 경로를 밝히지 않았다.

디케이테크인은 유출 정황을 확인한 뒤 외부 접근 경로를 차단하고 추가 공격 방지를 위한 보안조치를 강화했다고 밝혔다. 구체적인 사고 경위와 추가 유출 여부, 피해 범위는 조사 중이다.

카카오엔터프라이즈도 관련 시스템과 계정 보안을 점검하고 있다. 회사는 카카오워크나 회사를 사칭하는 문자메시지·이메일에 주의하고 출처가 불분명한 링크와 첨부파일을 열지 말라고 안내했다. 카카오워크와 업무용 이메일 등 관련 계정의 비밀번호 변경도 권고했다. 현재까지 비밀번호 유출은 확인되지 않았다고 밝혔다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network