SM엔터테인먼트와 계열사 디어유·드림메이커에서 외부 침입으로 임직원 개인정보가 유출된 사실이 8일 뒤늦게 공개됐다.

SM은 이날 홈페이지 공지에서 외부 공격자가 전자결재시스템 등 업무시스템에 비인가로 접근해 문서 파일을 외부로 반출했다고 밝혔다.

유출 시점은 이달 4일께로 알려졌다. SM이 공지한 SM과 드림메이커의 유출 항목은 이름, 휴대전화번호, 주소, 계좌번호, 주민등록번호, 소속 부서·직위·직책, 계약서에 적힌 정보 일부다.

디어유의 유출 항목은 임직원 데이터베이스(DB)의 이름, 영문 이름, 성별, 생년월일, 사번, 사내 ID, 이메일 주소, 휴대전화번호, 소속 부서, 직위·직책·직급·직무, 입사일이다. 디어유는 피해 경위를 설명하며 '계열사가 운영하는 업무시스템'을 언급했지만, 어느 계열사의 시스템인지는 공개하지 않았다.

3사는 모두 2차 피해 사례는 확인되지 않았다는 입장이다. SM은 공격에 쓰인 IP와 접근 경로를 차단하고 비인가 접근에 쓰인 키를 교체했다고 밝혔다. 3사는 이메일과 문자로 대상자에게 개별 안내하고 있다. 보이스피싱·스미싱·사칭에 주의하라는 당부도 함께 공지했다.

피해 인원과 반출된 문서 규모는 공개되지 않았다. 3사에 같은 공격자가 침입했는지, 최초 침입 경로가 무엇인지 역시 밝혀지지 않았다.

3사는 정부 당국과 외부 전문기관과 함께 정밀 조사와 추가 보안 점검을 진행하고 있다고 밝혔다.