하이브, 위버스, SM엔터테인먼트: 2026년 가을 K팝 기업 해킹의 공통점

게시일 2026-11-08

2026년 9월부터 11월 사이에 한국 엔터테인먼트를 대표하는 기업들이 잇따라 해킹 피해를 공개했습니다. 하이브, 그 팬 플랫폼인 위버스, 그리고 SM엔터테인먼트와 계열사 두 곳입니다. K팝 팬이 쓰는 티켓 거래 플랫폼도 피해를 입었습니다. 어느 것도 팬의 비밀번호 탈취에서 시작되지 않았습니다. 음악 뒤편의 사내 시스템, 그리고 그 시스템과 주변 서비스의 연결에서 시작됐습니다.

SM엔터테인먼트, 디어유, 드림메이커(11월)

SM엔터테인먼트는 11월 8일, 4일경 외부 공격자가 비인가된 방식으로 전자결재시스템 등 업무 시스템에 접근해 보관 중이던 일부 문서 파일을 외부로 유출했다고 밝혔습니다. 유출 항목에는 이름, 휴대전화번호, 주소, 계좌번호, 주민등록번호, 소속, 계약서 내 기재 정보 등이 포함됐습니다. 공연기획사 드림메이커에서도 같은 항목이 유출됐고, 팬 소통 플랫폼 ‘버블’을 운영하는 디어유에서는 임직원 데이터베이스(이름, 생년월일, 사번, 아이디, 이메일 주소, 직위 등)가 빠져나갔습니다. 세 회사는 공격에 사용된 IP와 접근 경로를 차단하고 비인가 접근 키를 교체했다고 밝혔습니다. (보안뉴스, 데일리시큐)

하이브(9월·10월)

방탄소년단의 소속사 하이브는 사내 보안 점검 과정에서 전자결재 시스템에 연동된 외부 업체의 문서 미리보기 솔루션에 비정상적인 접근이 있었던 정황을 발견했고, 이후 비용처리시스템에서도 유사한 접근을 확인했습니다. 유출은 9월 12~13일과 10월 3~5일에 일어났습니다. 전·현직 구성원과 협력사 관계자의 주민등록번호, 여권번호, 계좌번호, 카드번호, 주소, 휴대폰 번호, 의료정보 등이 포함됐습니다. 하이브는 10월 18일 홈페이지에 사과문을 올렸고, 11월 2일 널리 보도됐습니다. 피해 인원은 공개하지 않았습니다. (한국경제)

위버스(9월)

하이브의 팬 플랫폼을 운영하는 위버스컴퍼니는 9월, 계정 ID 기준 42만2584건의 정보가 유출됐다고 밝혔습니다. 유출된 것은 내부 식별정보와 결제 수단, 금액, 일시, 주문 상태 같은 결제 관련 정보입니다. 한국인터넷진흥원(KISA)이 외부 제보자의 보안 취약점 제보를 전달하면서 확인됐습니다. 회사는 이 정보만으로는 결제 위조나 부정 송금이 어렵다고 설명했습니다. (딜사이트)

티켓베이(10월)

티켓 거래 플랫폼 티켓베이는 10월 21일 외부 공격자가 일부 API에 비정상적으로 접근해 약 1만6천 명의 회원 정보를 조회했다고 밝혔습니다. 이름, 아이디, 가입일, 그리고 어떤 공연의 티켓을 사고팔았는지를 보여 주는 거래 정보입니다. 위험한 것은 마지막 항목입니다. 실제로 산 공연 이름을 언급하는 메시지는 쉽게 믿게 됩니다. (데일리시큐)

공통점

• 노린 것은 팬 앱이 아니라 업무 시스템입니다. 전자결재와 비용처리 시스템에는 주민등록번호, 계좌 정보, 계약서처럼 명의 도용에 필요한 것이 다 들어 있습니다. 평범한 업무 소프트웨어이며, 외부에서도 닿습니다.
• 연결된 부분을 통한 침입입니다. 하이브는 결재 시스템에 붙은 외부 업체의 미리보기 솔루션, 디어유는 계열사가 운영하는 업무 시스템, 위버스와 티켓베이는 서비스 자체의 API가 입구였습니다.
• 키입니다. SM이 처음 한 조치는 공격자가 쓴 접근 키의 교체였습니다. 시작이 탈취된 키였든 외부 업체의 자격 증명이었든, 공격자는 그 뒤 신뢰받는 시스템처럼 움직입니다. 수습은 시스템이 가진 모든 키와 연동을 파악하고 곧바로 교체할 수 있는 데서 시작합니다.

피해를 입으셨다면

• 유출된 정보를 이용한 피싱에 주의하십시오. 회사 이름, 계약 내용, 티켓을 산 공연 이름을 꺼내며 접근합니다. 이들 기업은 문자나 전화로 비밀번호나 인증번호를 묻지 않습니다.
• 주민등록번호가 유출됐다면 한국인터넷진흥원 118 상담에서 개인 피해 대응을 도와줍니다.
• 팬 여러분께: SM은 버블 이용자 정보는 유출되지 않았다고 밝혔고, 위버스는 유출 항목만으로는 결제에 쓸 수 없다고 설명했습니다. 그래도 환불이나 결제 실패를 알리는 메시지는 의심하십시오.

이런 시스템을 운영하신다면

업무 시스템이 가진 API 키, 서비스 계정, 외부 업체 연동을 모두 목록으로 관리하고, 거래처가 사고를 알린 바로 그날 전부 교체할 수 있도록 준비하십시오. KeyRotate는 바로 그 일을 위해 만들어졌습니다. 키를 한곳에서 관리하고, 쓰이는 모든 곳에서 한 번에 교체합니다. FrontierStack은 그 뒤의 서버의 보안 업데이트와 인증서를 지켜봅니다.

이런 사고는 유출 뉴스로 추적하고 있으며, 이제 한국의 KrCERT/CC와 KISA, 한국 보안 언론도 읽습니다. 이번 유출은 이용자가 키를 맡기지 않은 기업의 임직원·고객 정보였기 때문에 KeyRotate 권고로 내보내지 않았습니다. 그래서 블로그 글로 정리했습니다. 권고 자체는 유출 뉴스 페이지에 있습니다.