EY 해킹 사고가 발생 석 달이 지나서야 세상에 알려졌습니다. 글로벌 4대 회계·컨설팅 법인 중 하나인 EY(언스트앤영)에서 벌어진 이 사고는 해커 조직 샤이니헌터스(ShinyHunters)가 세무 관련 고객 자료를 훔쳤다고 주장하면서 다시 불거졌습니다. 오늘(7월 30일) 기준 내일인 7월 31일까지 EY가 협상에 응하지 않으면 탈취한 자료를 전부 공개하겠다고 예고한 상태입니다. 미국 4개 주 정부에 신고된 피해자만 최소 1,366명이지만, EY 고객이 전 세계 150개국에 걸쳐 있는 만큼 실제 규모는 이보다 훨씬 클 것으로 보입니다.
EY 해킹, 지금까지 확인된 사실
EY는 세무 관련 업무를 지원하는 내부 IT 헬프데스크(고객지원 티켓) 시스템을 제3자 업체를 통해 운영해왔습니다. 이 시스템에는 직원들이 고객의 세무 문제를 처리하며 첨부한 문서들이 쌓여 있었는데, 그중에는 실제 세무 신고서, 사회보장번호(SSN), 금융계좌 정보, 투자 보유 내역 같은 민감한 자료가 별다른 통제 없이 포함돼 있었습니다.
공격자는 2026년 3월 28일부터 4월 12일까지 약 15일간 이 시스템에 무단 접속해 문서를 내려받았고, EY는 이보다 11일 뒤인 4월 23일에야 이상 징후를 포착했습니다. 이후 캘리포니아·버몬트·매사추세츠·텍사스 등 미국 4개 주에 순차적으로 유출 통지가 이뤄졌지만, EY는 전체 피해 규모나 침해당한 협력업체의 이름을 공식적으로 밝히지 않고 있습니다.
석 달 넘게 걸린 공개, 협박까지 이어진 타임라인
- 2026년 3월 28일~4월 12일: 제3자 IT 헬프데스크 시스템에 무단 접근, 문서 유출
- 4월 23일: EY, 내부에서 이상 징후 최초 포착
- 7월 중순: 캘리포니아·버몬트·매사추세츠·텍사스 주정부에 순차 통지 (텍사스는 7월 17일)
- 7월 27일: 샤이니헌터스, 다크웹 유출 사이트에 EY를 등록하며 배후를 자처, Jira·GitHub·Azure까지 접근했다고 주장
- 7월 31일: 협상 시한, 응하지 않으면 탈취 자료 전면 공개 예고
다만 EY는 침해 사실 자체는 인정했지만, 샤이니헌터스가 실제 배후인지, Jira·GitHub·Azure까지 추가로 뚫렸다는 주장이 사실인지는 아직 공식 확인해주지 않았습니다. 다크웹 협박은 검증되지 않은 ‘주장’ 단계라는 점을 감안해서 볼 필요가 있습니다.
왜 ‘세무자료 해킹’이 유독 위험한가
이번에 유출된 자료에는 이름, 사회보장번호, 금융계좌 정보, 신용·체크카드 정보, 세무 신고 내역이 포함됩니다. 세무 신고서 한 장에는 소득, 고용주, 은행 계좌, 부양가족 정보까지 한 사람의 금융 이력이 통째로 담겨 있어, 이 정보로 명의도용이나 허위 세금 신고가 이뤄지면 피해 회복에 수개월에서 수년이 걸릴 수 있습니다.
게다가 이번 사고는 EY가 최근 3년 사이 겪은 세 번째 주요 보안사고입니다. 2023년에는 협력사 무브잇(MOVEit) 해킹으로 뱅크오브아메리카 고객 3만여 명의 정보가 샜고, 2025년 10월에는 애저(Azure)에 4테라바이트 규모 데이터베이스 백업 파일이 그대로 방치돼 노출된 적도 있습니다. 세 사고 모두 EY 자체 핵심 시스템이 아니라 협력업체나 외부 플랫폼이 침입 통로였다는 공통점이 있습니다. 핵심 데이터베이스는 엄격히 통제하면서 ‘문의 첨부파일 창고’ 같은 주변 시스템은 방치하는 구조가 반복된 셈입니다.
지금 확인하고 대응해야 할 것
- 세무 관련 서비스를 이용해본 적이 있다면, 반드시 EY 고객이 아니어도 은행이나 금융기관이 세무 업무를 EY에 위탁했을 수 있어 통지 대상이 될 수 있습니다. 안내 우편이나 이메일이 왔는지 확인해보세요.
- 미국 연방거래위원회(FTC)는 에퀴팩스·익스피리언·트랜스유니온 3대 신용평가사에 신용동결(credit freeze)을 걸어두는 것을 무료로 할 수 있는 가장 확실한 방어 조치로 안내합니다.
- 미국 국세청(IRS)의 신원보호 PIN(IP PIN) 제도에 가입해두면, 사회보장번호가 유출됐더라도 PIN 없이는 세금 신고서 자체가 접수되지 않습니다.
- EY로부터 통지 우편을 받았다면, 우편에 적힌 코드로 10월 31일 전까지 신용 모니터링 서비스(Experian IdentityWorks)에 무료로 등록할 수 있습니다.
- 회사에서 IT 헬프데스크·고객지원 티켓 시스템을 운영하고 있다면, 문의 과정에서 첨부된 고객 문서가 얼마나 쌓여 있는지, 그 시스템의 접근 권한이 핵심 시스템과 같은 수준으로 관리되는지 이번 기회에 점검해볼 만합니다.
자주 묻는 질문
Q. EY는 어떤 회사인가요?
딜로이트·PwC·KPMG와 함께 ‘4대 회계법인’으로 불리는 글로벌 회계·세무·컨설팅 기업입니다. 국내에도 EY한영 등 회원사가 있지만, 이번 사고는 EY 미국 법인의 세무 지원 시스템을 중심으로 보도되고 있어 한국 법인과의 직접적 연관은 현재까지 확인되지 않았습니다.
Q. 샤이니헌터스는 어떤 조직인가요?
세일즈포스(Salesforce) 연동 시스템을 노린 사회공학적 공격으로 여러 글로벌 기업을 잇달아 침해해온 데이터 갈취 조직입니다. 올해 들어 구글, 아디다스, 콴타스항공, 루이비통, 티파니 등도 이 조직의 공격 캠페인과 관련해 이름이 거론된 바 있습니다.
Q. 실제로 데이터가 유출된 게 확실한가요?
EY는 침해 사실 자체는 인정했지만, 샤이니헌터스의 추가 주장과 협박은 아직 독립적으로 검증되지 않았습니다. 이 글을 쓰는 시점까지 다크웹에 실제 자료가 게시된 정황도 확인되지 않았습니다.
Q. 내가 한국에 있는데도 영향을 받을 수 있나요?
이번 사고는 미국 법인 중심으로 보도되고 있어 한국 거주자가 직접 영향받을 가능성은 낮습니다. 다만 EY처럼 세계적인 기업의 ‘외주 IT 헬프데스크’가 뚫리는 유형의 공급망 공격은 국내 기업에도 똑같이 적용될 수 있는 구조적 위험이라는 점은 눈여겨볼 만합니다.
Q. 세무자료 유출과 일반 계정정보 유출은 뭐가 다른가요?
아이디·비밀번호 유출은 비밀번호를 바꾸면 상당 부분 방어가 되지만, 사회보장번호나 세무 신고 내역은 평생 바꿀 수 없는 정보라 한 번 새어나가면 장기간 악용될 위험이 남는다는 점이 다릅니다.
저자 시사점
이번 사고에서 가장 눈에 띄는 대목은 해킹 수법의 정교함이 아니라, 세금 신고서라는 민감한 자료가 몇 년째 IT 고객지원 티켓 시스템에 별다른 통제 없이 쌓여 있었다는 사실입니다. 핵심 데이터베이스는 철통같이 지키면서 ‘문의 첨부파일 창고’는 방치하는 구조는 EY만의 문제가 아니라, 헬프데스크를 운영하는 모든 조직이 한 번쯤 들여다봐야 할 사각지대입니다. Jett Insight는 매일 아침 국내외 최신 보안 이슈를 정리해 전해드립니다.
출처
함께 보면 좋은 글
국내 기업 금융 보안 조직 8년차. 취약점 진단과 보안 기획 업무를 하며, 업계 밖에서는 잘 안 보이는 보안 이야기를 정리하고 있습니다. 개인 자격으로 쓰며 소속 조직과 무관합니다.