공개된 취약점을 알아채지 못해 39만 6920명분 유출… 채용 서비스 ApplyNow, 일부 마이넘버·계좌 정보도 포함

무슨 일이 있었나

도쿄에 본사를 둔 ApplyNow는 2026년 11월 4일, 개인정보 유출 규모를 최종적으로 발표했습니다. 해킹은 2026년 8월에 일어났고, 회사는 9월 9일에 처음 이를 알렸습니다. 10월에는 약 39만 명이 피해를 입었다고 했지만, 나중에 다시 확인해 최종 숫자를 냈습니다.

주요 숫자와 사실

• 전체 피해자는 39만 6천920명입니다. 구직자, 계약 서명자, 회사 사용자가 포함됩니다.
• 그중 3만 67명은 ApplyNow Sign으로 고용 계약을 맺은 사람입니다.
• 해커는 2026년 8월 9일 시스템에 들어왔고, 9월 7일에 데이터의 큰 부분을 복사했습니다.
• 회사에 따르면 신용카드 정보, 신분증 사진, 면접 영상은 유출되지 않았습니다.
• 11월 4일 기준으로 유출된 정보가 악용된 흔적은 확인되지 않았습니다.

해커는 어떻게 들어왔나

해커는 회사가 내부에서 쓰던 데이터 분석 도구의 알려진 취약점(보안 구멍)을 이용했습니다. 해커는 관리자 권한을 얻어 8월 말 데이터베이스 일부를 살펴봤습니다. 회사는 도구를 멈춘 뒤에야 문제를 알아챘고, 가짜 계정을 지우고 침입 경로를 막았습니다. 도구 제작사가 이미 경고를 냈는데도 회사가 이를 몰라 고치는 것이 늦었습니다. 또 어디에서 접속할 수 있는지 제한이 없었고, 계약이 끝난 뒤에도 데이터를 보관하고 있었습니다.

왜 중요한가

마이넘버와 은행 정보가 새면 사람들이 피해를 입을 수 있습니다. 이번 사건은 회사가 보안 프로그램을 빨리 고치고, 접근 권한을 제한하고, 더 이상 필요 없는 개인정보를 지워야 한다는 점을 보여 줍니다.

앞으로 지켜볼 점

• ApplyNow가 계획대로 계약이 끝난 사람의 데이터를 삭제하는지
• 의심스러운 행동을 자동으로 알려 주는 경고 기능을 추가하는지
• 개인정보를 얼마나 오래 보관할지 분명한 기준을 세우는지
• 유출된 마이넘버나 은행 정보가 실제로 악용되는지