디지서트, 고객 데이터 유출 사고 발생

디지서트는 고객 데이터 유출 사고가 발생했다고 고객에게 알렸다. 2025년 2월, 내부 시스템을 VPN을 통해만 접근 가능한 네트워크에서 다른 세그먼트로 이전하면서 발생한 오류가 원인이었다. 그러나 이 문제는 16개월 동안 발견되지 않았다. 내부 시스템은 고객 데이터 아카이브를 저장하는 데 사용되었으며, 고객 서비스와 동일한 계정 관리 메커니즘을 사용했다. 이로 인해 내부 시스템에 다른 애플리케이션을 위한 자체 등록 기능이 남아있었고, 이는 고객 데이터 아카이브와 호환되지 않았다. 이로 인해 누구나 다중 인증 없이 계정을 생성할 수 있었고, 권한 설정 오류로 인해 고객 데이터 아카이브에 접근할 수 있었다. 그러나 이러한 계정은 데이터만 조회할 수 있었고, 수정할 수는 없었다.

디지서트 전문가들은 2026년 6월 18일에 처음 외부 계정을 발견했지만, 초기에는 위협이 없다고 판단했다. 그러나 3일 후, 외부 연구자가 이러한 계정 생성 가능성을 알렸고, 7월 2일에 접근을 차단했다. 그러나 이미 6월 27일부터 7월 2일까지 외부 계정이 고객 데이터를 조회한 것으로 드러났다. 디지서트는 이 사건을 계정 생성 문제로만 보고 있었다. 그러나 10월 12일에 외부 계정이 아카이브에 접근할 수 있었음을 의심하기 시작했고, 10월 19일에 유출 사실을 확인했다. 디지서트는 유출된 기록에 이름, 업무 이메일 주소, 전화번호, 회사 주소 등이 포함되어 있다고 경고했다. 일부 기록에는 운전면허증, 여권, 공과금 청구서 등 이름과 주소가 포함된 문서도 있었다.