세무법인 에스브이 운영 '자비스', 외부 해킹으로 회원 개인정보 유출…무단 결제 15건 확인

핵심 요약

세무법인 에스브이가 운영하는 AI 경리 서비스 자비스(JOBIS)가 외부 해커의 불법 접근으로 회원 개인정보를 유출당했다. 2026년 11월 5일 해커의 협박 메일을 통해 사고를 인지한 운영사는 서비스를 즉시 중지하고 개인정보보호위원회·KISA 등 관계기관에 신고했다고 밝혔다. 무단 결제 15건이 확인돼 전건 취소(환불) 처리됐다.

---

주요 내용

사고 경위

세무법인 에스브이에 따르면, 외부 해커는 2026년 11월 2일부터 11월 5일까지 자비스 서비스 서버에 불법으로 접근했다. 운영사는 2026년 11월 5일 해커로부터 협박 메일을 수신하면서 사고 사실을 처음 인지했으며, 세부 침투 경위는 외부 전문가와 수사기관이 공동 조사 중이다.

자비스 서비스는 2025년 12월 자비스앤빌런즈로부터 세무법인 에스브이가 양도받아 별도로 운영해 온 AI 경리 서비스로, 삼쩜삼 서비스 및 이용자 정보와는 무관하다고 운영사는 명시했다.

유출된 개인정보 항목

이번 사고로 유출이 확인된 개인정보 항목은 다음과 같다.

• 이름
• 휴대전화번호
• 이메일 주소
• 기타 위탁 처리 중이던 개인정보

운영사는 이 메일을 수신한 고객의 경우 현재까지 개인정보 유출 정황이 확인되지 않았다고 안내했으나, 자비스를 사칭한 스팸·피싱 피해 가능성이 있어 주의를 당부했다.

운영사 대응 조치

세무법인 에스브이는 사고 인지 직후 다음과 같은 긴급 조치를 시행했다고 밝혔다.

• 공격 IP 차단 및 탈취된 서버 접근 권한의 외부 사용 차단
• 공격에 악용된 웹 경로 차단
• 자비스 서비스 전체 일시 중지 및 모든 결제 거래 차단
• 무단 결제 15건 즉시 취소(환불) 처리
• 외부 보안 전문가 선임 후 유출 범위 조사, 관련 키 교체 및 취약점 보완 진행
• 개인정보보호위원회·KISA(한국인터넷진흥원) 신고 완료
• 수사기관 공조 조사 진행 중
• 피해 접수·상담 전담 창구 운영

피해자 주의사항

운영사는 이용자에게 다음 사항을 권고했다.

• 피싱 의심 메일에 회신하거나 링크·첨부파일 클릭 금지 (해당 메일은 삭제하지 말고 담당 부서에 전달)
• 자비스는 이메일·전화로 비밀번호, 공인인증서 비밀번호, 카드번호를 절대 요구하지 않음
• 결제카드 이용내역 확인 후 불상 결제 발견 시 카드사에 즉시 신고·정지 요청
• 자비스와 동일한 비밀번호를 타 서비스에서 사용 중인 경우 즉시 변경

피해구제 안내

이번 사고로 피해를 입은 이용자는 개인정보 보호법에 따라 손해배상을 청구할 수 있으며, 외부 기관을 통한 분쟁조정 및 상담도 가능하다.

• 개인정보 분쟁조정위원회: 1833-6972 (www.kopico.go.kr)
• 개인정보침해 신고센터(KISA): 국번 없이 118 (privacy.kisa.or.kr)

---

전문가 분석

이번 자비스 해킹 사고는 중소 SaaS(서비스형 소프트웨어) 사업자의 보안 취약성을 다시 한 번 드러낸 사례로 평가된다. 개인정보보호법 제34조는 개인정보 유출 사실을 인지한 즉시 정보주체에게 통지하고, 규모에 따라 개인정보보호위원회에 신고하도록 의무화하고 있다. 운영사가 사고 인지 후 관계기관 신고와 이용자 통지를 신속히 이행한 점은 법적 의무 준수 측면에서 긍정적이나, 사고 발생 시점(11월 2일)과 인지 시점(11월 5일) 사이에 3일간의 공백이 존재했다는 점은 이상 접근 탐지 체계의 미흡함을 시사한다.

법령 해석 측면에서는, 세무법인이 위탁 처리 중이던 개인정보가 유출된 만큼 수탁자의 개인정보 관리 책임 문제도 쟁점이 될 수 있다. 개인정보보호법 제26조에 따라 위탁자는 수탁자에 대한 관리·감독 의무를 지며, 수탁자의 귀책으로 발생한 손해에 대해서도 연대 책임 여부가 검토될 수 있다.

기업 실무 관점에서는, 서비스 양수도 과정에서 보안 아키텍처 인수인계와 취약점 점검이 충분히 이루어졌는지 여부가 향후 조사의 핵심이 될 것으로 보인다. AI 경리 서비스 특성상 사업자 세금 신고 관련 민감 정보가 연동될 가능성이 있어, 추가 유출 항목 여부에 대한 철저한 조사가 요구된다.

---

실무 연계 포인트

• 개인정보보호법 제34조: 유출 인지 후 72시간 이내 개인정보보호위원회 신고 의무 (1천 명 이상 유출 시)
• 개인정보보호법 제26조: 수탁자 관리·감독 의무 및 연대책임 가능성 검토
• 기술적 대책: 이상 접근(UEBA) 모니터링 시스템 도입, 접근 권한 최소화(최소 권한 원칙), 서버 접근 로그 실시간 분석 체계 구축 필요
• 관리적 대책: 서비스 양수도 시 보안 실사(Security Due Diligence) 절차 의무화 검토