📌 v1.1 변경 이력 (2026-06-19):본 갱신은 v1.0 본문(1~12장)을 그대로 보존하고, 문서 말미에 부록 A — v1.1 업데이트(사고 후 8일 경과 추적)를 추가했다. 핵심 갱신 사항은 다음과 같다. ① 본 사고가 단독 사고가 아니라 '깃허브 자격증명 탈취' 동시다발 사고군의 일부로 확인된 점, ② 삼성전자 등 대기업 B2B 사내교육 수강자·강사로의 피해 확산, ③ 정부(KISA·방미통위)의 개발자 플랫폼 자격증명 저장 금지 권고, ④ 규제·집단소송 리스크의 구체화(티빙 집단소송 선례, 로고스·SKT 과징금 선례)
한 줄 요약: Github 자격 증명 탈취 인지 시점도 느렸고 민감 정보를 너무 많이 한국의 중요 IT 기업의 사내 교육 수강자, 강사까지 털렸기 때문에 사회공학적 해킹 및 스마트폰 및 이통사 인프라 공격의 표적이 될 수 있다. 티빙보다 더 치명적이다.
요약 (Executive Summary)
국내 대표 온라인 교육 플랫폼 패스트캠퍼스, 콜로소, 마이라이트, 제로베이스, 뉴스프레소, 리스픽, 샤이니영어, 워너스픽등을 운영하는(주)데이원컴퍼니에서 대규모 개인정보 유출 사고가 발생했다.
공격자는 데이원컴퍼니가 사용 중인 GitHub 서비스의 마스터 계정 키값을 탈취한 뒤, 2026년 5월 9일최초로 서비스에 침입했다. 회사가 사고 가능성을 인지한 것은6월 8일로, 최초 침입으로부터 약 30일이 경과한 시점이었다. 유출된 정보는 이름, 이메일 주소, 전화번호, 암호화된 비밀번호이며, 일부 고객의 경우 주소, 직무·직책 정보, 택배 주문 메모까지 포함된 것으로 추정된다.
그러나 본 리포트가 주목하는 또 다른 문제점은 공지 지연이다. 회사는 사고 인지(6월 8일) 다음 날인 6월 9일 당국에 신고했음에도, 피해 고객 대상 공개 공지는 6월 11일 오후 4시경에야 게시됐다. 사고 인지로부터 사실상 약 72시간 이상의 공지 공백이 발생했으며, 이는 개인정보보호법상 통지 의무 및 피해자 보호의 관점에서 심각한 문제를 내포하고 있다.
이 사건은 강의 업체 특성상, 많은 외주 인력과 단기 근무 인력이 입사와 퇴사를 반복하며, 정보 보안 모니터링이 부재했을 가능성이 있다. 일부 권한이 있던 내부 직원의 계정이 털리면서 줄줄히 털렸을 가능성이 높다.
(v1.1 보강)사고 후 추적 결과, 본 사고는 동시기티빙(TVING, 6/3 인지)사고와동일한 침투 패턴(개발자 플랫폼 자격증명 탈취 → 클라우드/DB 접근)을 공유하며, 6월 한 달간 발생한 국내 서비스 개인정보 유출 사고군의 일부로 재평가된다. 상세는 부록 A 참조.
목차
- 사건 타임라인
- 공격 기법 분석
- 유출 정보 범위
- 공지 지연 — 비판적 분석
- MITRE ATT&CK 매핑
- 침해지표 (IoC)
- 영향 범위 및 2차 피해 가능성
- 대응 권고 — 피해 고객용
- GitHub · Google 계정 · GCP 보호 가이드
- 기업 보안 관리자 권고
- 분석가 평가 및 한계
- 참고 자료
1. 사건 타임라인
[불상의 시점] GitHub 마스터 계정 키값(Secret/Token) 탈취
│
▼
2026-05-09 최초 서비스 침입 확인
│ (약 30일간 침투 탐지 실패)
│
▼
2026-06-08 데이원컴퍼니 사고 가능성 인지
→ 위협 차단 및 보완 조치 착수
│
▼
2026-06-09 관계 당국(KISA 등) 신고
│
▼
2026-06-10 언론을 통한 사고 최초 보도
(고객 대상 공식 공지 없는 상태)
│
▼
2026-06-11 16:00경 패스트캠퍼스 공지사항 게시
"개인정보 유출 통지 [데이원컴퍼니]"
| 항목 | 일시 |
|---|---|
| 최초 침입 추정 | 2026년 5월 9일 |
| 사고 인지 | 2026년 6월 8일 |
| 탐지 실패 기간 | 약 30일 |
| 당국 신고 | 2026년 6월 9일 |
| 피해 고객 공지 | 2026년 6월 11일 오후 4시경 |
| 사고 인지 → 공지 경과 시간 | 약 72~80시간 |
2. 공격 기법 분석
2.1 초기 침투 벡터: GitHub 마스터 계정 키값 탈취
공식 공지 및 언론 보도를 종합하면, 공격자는 데이원컴퍼니가 사용하는 GitHub 서비스의 마스터 계정 키값(API Token / Secret)을 탈취하는 방식으로 초기 침투에 성공했다.
GitHub 마스터 계정 키값 탈취의 일반적인 경로는 다음과 같다.
가능한 탈취 경로 (공식 미확인, 일반적 패턴 기반):
① 코드 저장소 내 하드코딩된 시크릿 노출
(소스코드 또는 설정 파일에 토큰이 평문으로 저장)
② CI/CD 파이프라인 환경변수 탈취
(GitHub Actions 워크플로우 설정 파일에 노출)
③ 개발자 로컬 환경 침해
(개발자 PC 악성코드, .gitconfig 또는 ~/.git-credentials 탈취)
④ 피싱을 통한 GitHub OAuth 토큰 탈취
(가짜 로그인 페이지 유도)
⑤ 써드파티 앱/서비스의 OAuth 권한 남용
(연동된 서비스에서 토큰 누출)
2.2 장기 잠복: 30일간 탐지 회피
가장 심각한 기술적 문제는 최초 침입(5월 9일)에서 사고 인지(6월 8일)까지 약 30일간 탐지되지 않았다는 점이다. 이는 다음을 시사하고 있다.
- GitHub 접근 로그에 대한 상시 모니터링 체계 부재- 비정상 데이터 접근 패턴에 대한SIEM/DLP 경보 미설정 또는 미작동- 마스터 계정 키에 대한접근 권한 최소화(PoLP) 미적용- API 토큰/시크릿의사용 이력 감사(Audit Log) 미검토
2.3 데이터 유출 방식
공격자는 GitHub 마스터 계정 키를 이용해 데이원컴퍼니의 서비스 인프라에 접근, 고객 데이터베이스 또는 관련 스토리지에서 개인정보를 유출한 것으로 추정된다. GitHub 마스터 계정 키는 단순 코드 저장소 접근을 넘어, 연동된 클라우드 인프라(GCP 포함)와의 OIDC/OAuth 연결로 인해 광범위한 권한을 제공했을 가능성이 있다.
3. 유출 정보 범위
3.1 공식 확인된 유출 항목
| 유출 항목 | 대상 | 민감도 |
|---|---|---|
| 이름 | 전체 피해 고객 | 중 |
| 이메일 주소 | 전체 피해 고객 | 높음 |
| 전화번호 | 전체 피해 고객 | 매우 높음 |
| 암호화된 비밀번호 | 전체 피해 고객 | 높음 |
| 주소 | 입력 고객 | 매우 높음 |
| 직무·직책 | 입력 고객 | 중 |
| 택배 주문 메모 | 해당 고객 추정 | 중 |
⚠️ 결제 정보(카드 번호 등)는 플랫폼 내 미보유로 유출되지 않은 것으로 회사 측 발표
3.2 영향 받는 서비스
데이원컴퍼니 산하 브랜드 전체가 잠재적 영향권으로 예상되고 있다.
- 패스트캠퍼스 (FastCampus) — 국내 최대 IT/직무 교육 플랫폼
- 콜로소 (Coloso) — 크리에이티브 교육 플랫폼 (누적 회원 70만+)
- 마이라이트 (Myright)
- 제로베이스 (ZeroBase)
- 뉴스프레소 (Newsspresso)
- 리스픽 (Lispick)
- 샤이니영어 (Shiny English)
- 워너스픽 (Wannerspeak)
3.3 "암호화된 비밀번호"의 실질적 위험
회사는 비밀번호가 "암호화"되어 유출됐다고 발표했으나, 이는 안전을 보장하지 않는다.
- 해시 알고리즘이 취약하거나(MD5, SHA-1) 솔트(salt) 없이 적용된 경우, 레인보우 테이블 또는 GPU 기반 크래킹으로 복원 가능
- 유출된 이메일+비밀번호 조합은 크리덴셜 스터핑 공격에 즉시 활용될 수 있음
- 동일 이메일/비밀번호를 타 서비스(네이버, 카카오, 금융권)에서도 사용하는 경우 연쇄 피해 발생 가능
4. 공지 지연 — 비판적 분석
4.1 타임라인 재구성
사고 인지: 6월 8일 → 당국 신고: 6월 9일 → 언론 보도: 6월 10일 → 고객 공지: 6월 11일 오후 4시데이원컴퍼니는 6월 8일 사고를 인지하고, 6월 9일 관계 당국에 신고했다. 그러나피해 당사자인 고객에 대한 공개 공지는 6월 11일 오후 4시까지 이루어지지 않았다.이는 사고 인지 시점으로부터 약72~80시간의 공지 공백에 해당한다.
더 심각한 점은 언론이 먼저 보도(6월 10일)했다는 것이다. 피해자들이 자신의 정보가 유출됐다는 사실을 회사의 공식 통보가 아닌 뉴스 기사를 통해 먼저 접했을 가능성이 높다.
4.2 개인정보보호법 위반 가능성
「개인정보 보호법」 제34조(개인정보 유출 등의 통지·신고)는 다음을 규정하고 있다.
개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 알려야 한다.여기서 핵심은지체 없이다. 법률 및 판례의 일반적 해석상 이는 72시간 이내를 기준으로 보는 경향이 있으며, EU GDPR 역시 동일 기준을 명시하고 있다. 데이원컴퍼니의 경우는 상장사임에도 느렸다.
| 의무 | 기준 | 데이원컴퍼니 대응 | 평가 |
|---|---|---|---|
| 당국 신고 | 사고 인지 후 지체 없이 | 인지 다음 날(6월 9일) | 신속 |
| 피해자 통지 | 사고 인지 후 지체 없이 | 인지 약 72~80시간 후(6월 11일 오후) | 지연 |
| 통지 내용 충분성 | 유출 경위, 항목, 피해 최소화 방법 | 경위 일부 모호, 피해 규모 "확인 중" | 미흡 |
4.3 공지 내용의 문제점
공식 공지(fastcampus.co.kr/info/notices/1960)의 내용을 분석하면 다음과 같은 문제점이 있다.
① "불상의 시점에 탈취" — 불투명한 경위 기술
"GitHub 서비스의 마스터 계정 키값이 불상의 시점에 탈취되었으며"
키값이 언제, 어떤 경위로 탈취되었는지 파악하지 못한 상태에서 공지를 올렸다. 해킹 사고 공지가 지연된다는 비판에 공지를 올린 것으로 보인다. 이는 사고 원인 분석이 완료되기 전에 공지가 발행됐음을 의미하며, 피해자들이 자신의 피해를 정확히 이해하고 대응하기 어렵게 만든다.
② 유출 규모 "파악 중"공지 시점에 정확한 피해자 수조차 특정하지 못했다. 피해자 입장에서는 자신이 피해 대상인지조차 불명확한 상황에서 공지를 받은 셈이다.③ 실질적 피해 보상 방안 부재공지 내용에는 "보상안은 유출 피해 규모가 확정된 후 마련할 예정"이라는 내용이 포함되어 있다. 피해를 입은 고객 입장에서는 즉각적인 불안감을 해소할 수 있는크레딧 모니터링 서비스 제공, 보상 기준, 전담 지원 채널등 실질적 대응책이 전혀 제시되지 않았다.④ 침입 지속 기간(30일) 미강조공격자가 5월 9일부터 6월 8일까지약 30일간 내부에 머물렀다는 사실은 공지에 명시되어 있지 않다. 이 기간 동안 유출된 정보의 범위가 공지된 항목보다 훨씬 넓을 가능성이 있으며, 피해자들은 이를 알 권리가 있다. 이 부분은 추후 포렌식과 KISA 보고서를 통해 밝혀질 내용이다.
4.4 비교: 국내외 사고 대응 사례와의 격차
| 항목 | 우수 사례(참고) | 데이원컴퍼니 |
|---|---|---|
| 고객 통지 속도 | 사고 인지 24~48시간 이내 | 약 72~80시간 이후 |
| 피해 규모 특정 | 통지 시 명시 | "확인 중" |
| 보상 방안 | 통지와 동시에 제시 | 미정 |
| 원인 투명성 | 침투 경로 상세 기술 | "불상의 시점" |
| 피해자 지원 | 전용 신고 포털, 무료 신용 모니터링 | 전화/이메일 문의 안내만 |
결론적으로, 데이원컴퍼니의 대응은 법적 의무의 최소 충족 수준에도 미치지 못할 가능성이 있으며, 피해자 중심의 위기 커뮤니케이션과는 거리가 먼 소극적 대응이었다.
5. MITRE ATT&CK 매핑
| Tactic | Technique ID | Technique Name | 관련 행위 |
|---|---|---|---|
| Initial Access | T1552.001 | Unsecured Credentials: Credentials In Files | GitHub 마스터 계정 키값 탈취 |
| Initial Access | T1078 | Valid Accounts | 탈취한 계정 키로 서비스 접근 |
| Persistence | T1098 | Account Manipulation | 마스터 계정 키 유지 사용 |
| Discovery | T1087 | Account Discovery | 서비스 내 계정 및 DB 접근 |
| Collection | T1213 | Data from Information Repositories | 고객 개인정보 데이터베이스 수집 |
| Exfiltration | T1041 | Exfiltration Over C2 Channel | 개인정보 외부 유출 |
| Defense Evasion | T1078.004 | Valid Accounts: Cloud Accounts | 정상 계정 키 사용으로 탐지 회피 |
6. 침해지표 (IoC)
⚠️ 현재 공개된 정보가 극히 제한적이므로, 아래 IoC는 공식 조사 결과 발표 후 업데이트가 필요합니다.
6.1 사고 관련 기본 정보
| 항목 | 값 |
|---|---|
| 피해 기업 | (주)데이원컴퍼니 |
| 사업자 번호 | 810-86-00658 |
| 피해 서비스 | 패스트캠퍼스, 콜로소, 마이라이트, 제로베이스 외 |
| 침입 최초 확인일 | 2026-05-09 |
| 사고 인지일 | 2026-06-08 |
6.2 피해자 확인 방법
- 데이원컴퍼니 고객센터: ☎ 02-501-9396
- 이메일: [email protected]
- 패스트캠퍼스 공지사항: https://fastcampus.co.kr/info/notices/1960
7. 영향 범위 및 2차 피해 가능성
7.1 1차 피해
- 이름, 이메일, 전화번호, 암호화 비밀번호, 주소(일부), 직무(일부) 유출
- 결제 정보는 미유출 확인 (회사 발표 기준)
7.2 2차 피해 시나리오
① 크리덴셜 스터핑(Credential Stuffing)유출된 이메일 + 비밀번호 조합으로 네이버, 카카오, 쿠팡, 토스, 은행 앱 등 타 서비스 로그인 시도. 동일 비밀번호 사용 시다중 계정 연쇄 탈취위험.② 스피어 피싱(Spear Phishing)이름 + 이메일 + 전화번호 조합은 고도로 맞춤화된 피싱 이메일/문자 제작에 활용 가능. "패스트캠퍼스 보안 알림" 위장 피싱 메시지 주의 필요.③ 스미싱(Smishing)전화번호 유출로 인해 "개인정보 유출 안내" 위장 악성 URL 문자 발송 가능.④ 보이스 피싱 연계이름 + 전화번호 + 직무 정보 조합은 사회공학적 공격(보이스피싱, 기관 사칭)에 악용 가능.⑤ 주소 정보 악용
주소를 입력한 고객의 경우, 실물 위협(불법 방문 등)이나 추가 사회공학 공격의 기초 정보로 활용될 가능성 존재.
8. 대응 권고 — 피해 고객용
즉각 조치 (오늘 중)
1. 패스트캠퍼스(데이원컴퍼니) 계정 비밀번호 즉시 변경
2. 동일 비밀번호 사용 서비스 전체 비밀번호 교체
동일하거나 유사한 비밀번호를 사용하는 모든 서비스(이메일, 금융, 쇼핑몰, SNS)의 비밀번호를 즉시 변경한다.
비밀번호 원칙:서비스마다 다른 비밀번호 사용 + 12자 이상 + 대소문자/숫자/특수문자 혼합3. 주요 서비스 2단계 인증(2FA) 즉시 활성화네이버, 카카오, 구글, 금융 앱, 패스트캠퍼스 등 모든 주요 서비스에서 OTP 또는 인증 앱 기반 2FA를 활성화한다.4. 의심스러운 연락 즉시 무시
- "패스트캠퍼스 / 데이원컴퍼니" 사칭 이메일·문자·전화 주의
- URL 클릭 금지, 개인정보 재요구 시 즉시 거부
단기 조치 (3일 이내) — 아 이미 늦은거 같지만 변경은 하자.
5. 이메일 계정 보안 점검
- 유출된 이메일 계정 접속 기록 확인 (해외 IP 접속 여부)
- 이메일 자동 전달 규칙 비정상 설정 확인
6. 금융 거래 모니터링 강화
- 인터넷뱅킹 로그인 기록 확인
- 카드 명세서 이상 거래 확인
- 필요 시 금융결제원 개인정보 노출자 사고예방시스템 등록: https://pd.kfb.or.kr/
7. 피해 접수
- 한국인터넷진흥원(KISA): ☎ 118
- 개인정보침해 신고센터: https://privacy.kisa.or.kr
- 경찰청 사이버수사국: ☎ 182
9. GitHub · Google 계정 · GCP 보호 가이드
이번 사고의 핵심 침투 경로인 GitHub 마스터 계정 키 탈취와 연계된 Google/GCP 환경 보호를 위한 실무 가이드를 제공한다. 데이원컴퍼니의 인프라가 GCP 기반임(사업자 정보 내 storage.googleapis.com 도메인 확인)을 감안했다.
9-A. GitHub 계정 및 조직(Organization) 보호
🔐 인증 강화
| 조치 | 방법 | 중요도 |
|---|---|---|
| 2FA 필수 적용 | GitHub Settings → Password and authentication → Enable 2FA (TOTP 또는 하드웨어 키) | 필수 |
| Passkey 등록 | Settings → Passkeys → Add passkey | 강력 권고 |
| SSH 키 재검토 | Settings → SSH and GPG keys → 미사용 키 즉시 삭제 | 필수 |
| OAuth 앱 접근 권한 감사 | Settings → Applications → Authorized OAuth Apps 검토 | 권고 |
| Personal Access Token 최소 권한 | Settings → Developer settings → Personal access tokens → Scopes 최소화, 만료일 설정 | 필수 |
시크릿 관리
# 저장소 내 하드코딩된 시크릿 탐지 (gitleaks 활용)
brew install gitleaks # macOS
gitleaks detect --source . # 현재 저장소 스캔
# truffleHog으로 히스토리 포함 전체 스캔
pip install truffleHog
trufflehog git file://. --only-verified
| 시크릿 관리 원칙 | 설명 |
|---|---|
| 절대 하드코딩 금지 | .env, config.yaml, settings.py 등에 토큰/키 직접 기재 금지 |
| GitHub Secrets 사용 | CI/CD용 시크릿은 Settings → Secrets and variables → Actions에 등록 |
| Secret Scanning 활성화 | Settings → Code security → Secret scanning 활성화 (Push protection 포함) |
.gitignore 점검 |
.env, *.pem, *_key.json, credentials* 패턴 추가 |
| 토큰 최소 권한 + 만료일 | Personal Access Token: 필요한 scope만 허용, 90일 이하 만료 설정 |
Organization 보안 설정
Organization Settings → Member privileges:
Require 2FA for all members
Require SAML SSO (Enterprise 플랜)
Base permissions: Read (최소 권한 원칙)
Organization Settings → Code security:
Dependabot alerts
Secret scanning
Push protection (시크릿 포함 push 차단)
Organization Settings → Audit log:
Audit log streaming 활성화 → SIEM 연동
침해 발생 시 즉각 대응
# GitHub CLI로 전체 Personal Access Token 목록 조회
gh auth token # 현재 사용 토큰 확인
# → 웹에서 Settings > Developer settings > PATs > 전체 Revoke
# 조직 단위 OAuth 앱 권한 일괄 확인
# Settings → Third-party access → Restrict access
9-B. Google 계정 보호
계정 보안 강화
| 조치 | 위치 | 중요도 |
|---|---|---|
| 2단계 인증 활성화 | myaccount.google.com → 보안 → 2단계 인증 | 필수 |
| Google Passkey 등록 | myaccount.google.com → 보안 → Passkey | 강력 권고 |
| 보안 키(하드웨어) 등록 | YubiKey 등 FIDO2 키 등록 | 고위험 계정 필수 |
| 고급 보호 프로그램 | g.co/advancedprotection | 조직 관리자 권고 |
| 앱 비밀번호 점검 | 레거시 앱용 앱 비밀번호 목록 확인 및 미사용 삭제 | 필수 |
접근 감사
Google 계정 보안 점검 체크리스트
myaccount.google.com → 보안:
최근 보안 활동 이상 여부 확인
연결된 기기 목록 → 미인식 기기 즉시 로그아웃
서드파티 앱 접근 권한 검토 (불필요한 앱 제거)
이메일 자동 전달 규칙 확인 (Gmail → 설정 → 전달 및 POP/IMAP)
복구 이메일/전화번호 최신화
Google Workspace (관리자)
admin.google.com:
보안 → 2단계 인증 → 조직 전체 강제 적용
보안 → 고급 설정 → 세션 지속 시간 제한
보고서 → 감사 → 로그인 활동 이상 감지
사용자 → 슈퍼관리자 계정 최소화
앱 → Google Workspace → Drive → 외부 공유 설정 검토
9-C. Google Cloud Platform (GCP) 보호
GCP는 GitHub Actions의 OIDC 연동을 통해 접근 가능하며, GitHub 마스터 계정 키 탈취 시 연쇄 피해가 발생할 수 있다.
IAM 및 접근 제어
| 조치 | 방법 | 중요도 |
|---|---|---|
| 서비스 계정 키 최소화 | 가능하면 서비스 계정 JSON 키 발급 금지 → OIDC/Workload Identity 사용 | 필수 |
| 최소 권한 원칙(PoLP) | IAM 역할: Primitive 역할(Owner, Editor) 사용 금지 → Predefined 역할 사용 | 필수 |
| 서비스 계정 키 감사 | 미사용 키 즉시 삭제 | 필수 |
| 조직 정책 | constraints/iam.disableServiceAccountKeyCreation 적용 |
강력 권고 |
# GCP 서비스 계정 키 목록 조회
gcloud iam service-accounts list --project=[PROJECT_ID]
gcloud iam service-accounts keys list \
--iam-account=[SA_EMAIL] \
--project=[PROJECT_ID]
# 90일 이상 미사용 키 삭제
gcloud iam service-accounts keys delete [KEY_ID] \
--iam-account=[SA_EMAIL] \
--project=[PROJECT_ID]
# 비정상 IAM 정책 변경 이력 조회 (Cloud Audit Logs)
gcloud logging read \
'logName="projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Factivity" \
AND protoPayload.methodName="SetIamPolicy"' \
--limit=50 --format=json
모니터링 및 탐지
# Security Command Center 활성화
gcloud services enable securitycenter.googleapis.com
# Cloud Audit Logs 전체 활성화 확인
gcloud projects get-iam-policy [PROJECT_ID] \
--format=json | grep auditLogConfigs
# VPC Service Controls 설정 (민감 데이터 보호)
gcloud services enable accesscontextmanager.googleapis.com
| 모니터링 항목 | GCP 서비스 | 설명 |
|---|---|---|
| 전체 API 호출 감사 | Cloud Audit Logs | 데이터 접근 이력 전수 기록 |
| 이상 행위 탐지 | Security Command Center | 비정상 접근 자동 경보 |
| 서비스 계정 남용 탐지 | IAM Recommender | 과도 권한 자동 식별 |
| 데이터 유출 방지 | Cloud DLP | 개인정보 포함 데이터 유출 탐지 |
| 네트워크 이상 | VPC Flow Logs + Cloud Armor | 비정상 트래픽 탐지 |
침해 의심 시 GCP 즉각 대응
# 1. 모든 서비스 계정 키 즉시 비활성화
gcloud iam service-accounts disable [SA_EMAIL] --project=[PROJECT_ID]
# 2. OAuth 토큰 즉시 폐기 (프로젝트 전체)
gcloud projects remove-iam-policy-binding [PROJECT_ID] \
--member="serviceAccount:[SA_EMAIL]" \
--role="[ROLE]"
# 3. 비정상 접근 소스 IP 차단 (Cloud Armor)
gcloud compute security-policies rules create 1000 \
--security-policy=[POLICY_NAME] \
--src-ip-ranges=[SUSPICIOUS_IP] \
--action=deny-403
# 4. Cloud Incident 지원팀 연락
# https://cloud.google.com/support/docs/incident-response
Workload Identity Federation — 서비스 계정 키 없는 GitHub CI/CD
서비스 계정 키를 완전히 제거하고 GitHub OIDC로 대체하는 권장 아키텍처:
# .github/workflows/deploy.yml
jobs:
deploy:
permissions:
id-token: write # OIDC 토큰 발급 필수
contents: read
steps:
- uses: google-github-actions/auth@v2
with:
workload_identity_provider: 'projects/[NUM]/locations/global/workloadIdentityPools/[POOL]/providers/[PROVIDER]'
service_account: '[SA_EMAIL]'
# JSON 키 파일 불필요 → 키 탈취 위험 원천 제거
# Workload Identity Pool 생성
gcloud iam workload-identity-pools create "github-pool" \
--project=[PROJECT_ID] \
--location="global" \
--display-name="GitHub Actions Pool"
# GitHub OIDC Provider 등록
gcloud iam workload-identity-pools providers create-oidc "github-provider" \
--project=[PROJECT_ID] \
--location="global" \
--workload-identity-pool="github-pool" \
--display-name="GitHub Provider" \
--attribute-mapping="google.subject=assertion.sub,attribute.repository=assertion.repository" \
--issuer-uri="https://token.actions.githubusercontent.com"
10. 기업 보안 관리자 권고
즉각 조치 (24시간 이내)
- GitHub 마스터 계정 키 및 전체 Personal Access Token 즉시 교체2.GCP 서비스 계정 키 전수 감사 및 미사용 키 삭제3.GitHub Audit Log 90일치 전수 검토 — 비정상 접근 IP 및 시간대 분석
- CI/CD 파이프라인 전체 시크릿 로테이션5.데이터베이스 접근 로그 검토 — 대량 데이터 조회(SELECT *) 이상 패턴 확인
단기 조치 (7일 이내)
- GitHub Organization 전 멤버 2FA 강제 적용7.Secret Scanning + Push Protection 활성화8.Workload Identity Federation 전환 (서비스 계정 키 제거)
- SIEM에 GitHub Audit Log 스트리밍 연동10.개인정보 접근 최소 권한 재검토 — 마스터 계정으로 고객 DB 직접 접근 가능한 구조 개선
중장기 조치 (30일 이내)
- 침해 대응 플레이북(IR Playbook) 수립 — 인지 → 24시간 내 고객 통지 프로세스 포함
- 정기 보안 감사 체계 도입 — GitHub 토큰, GCP 서비스 계정 키 분기별 전수 점검
- 개인정보 접근 로그 실시간 모니터링 — DLP 솔루션 도입
- Zero Trust 아키텍처 전환 검토
11. 분석가 평가 및 한계
평가
이번 사고는 GitHub 마스터 계정 키 관리 실패라는 기술적 문제와, 30일간의 탐지 실패라는 운영 문제, 그리고 72시간 이상의 공지 지연이라는 법적·윤리적 문제가 중첩된 복합 사고로 볼 수 있다.
특히 "불상의 시점"에 탈취된 키가 한 달간 사용됐다는 점은 GitHub 접근 이벤트에 대한 최소한의 모니터링도 갖추지 못했음을 시사한다. GitHub는 Audit Log와 Token 접근 기록을 기본 제공하며, 이를 SIEM과 연동했다면 이상 행위를 훨씬 일찍 탐지할 수 있었을 것이다.
공지 지연 문제는 더욱 심각하다. 피해자들이 자신의 정보가 유출됐다는 사실을 회사의 공식 통보보다 언론 보도를 통해 먼저 접했다면, 이는 피해자 보호보다 기업 이미지 관리를 우선시한 것으로 해석될 수 있다. 「개인정보 보호법」 위반 여부에 대한 개인정보보호위원회의 조사가 이루어져야 하며, 실질적인 피해 보상 방안이 신속히 마련되어야 한다.
분석 한계
- 공격자 귀속(Attribution), 정확한 탈취 방법, 실제 피해자 수는 공식 조사 완료 전 미확인
- 유출된 비밀번호의 해시 알고리즘 종류 및 솔트 적용 여부는 공개 미확인
- 추가 유출 항목(택배 메모 등) 공식 확인 필요
- GCP 연계 피해 여부는 현재 공개된 정보로 확인 불가
12. 참고 자료
- 데이원컴퍼니 공식 공지: https://fastcampus.co.kr/info/notices/1960
- ZDNet Korea 보도 (2026-06-11): https://zdnet.co.kr/view/?no=20260611163532
- 네이트 뉴스 단독 보도 (2026-06-10): https://news.nate.com/view/20260610n32287
- 개인정보보호위원회 — 개인정보 침해 신고: https://privacy.kisa.or.kr
- KISA 개인정보침해 신고센터: ☎ 118
- GitHub 보안 문서 — Secret Scanning: https://docs.github.com/en/code-security/secret-scanning
- GitHub Audit Log 문서: https://docs.github.com/en/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/reviewing-the-audit-log-for-your-organization
- GCP Workload Identity Federation: https://cloud.google.com/iam/docs/workload-identity-federation
- GCP 보안 권고사항: https://cloud.google.com/security/best-practices
- MITRE ATT&CK T1552.001: https://attack.mitre.org/techniques/T1552/001/
- 개인정보 보호법 제34조 (개인정보 유출 통지·신고): https://www.law.go.kr/법령/개인정보보호법
부록 A. v1.1 업데이트 (2026-06-19) — 사고 후 8일 경과 추적
갱신 범위:본 부록은 v1.0 발행(6/11) 이후 6/12~6/19 사이 추가 확인된 사실을 반영한다. v1.0 본문은 수정하지 않고 보존했으며, 본문 내 가설의 검증·수정 여부는A.6에서 별도 정리했다.
A.1 업데이트 요약 (TL;DR)
| 갱신 항목 | v1.0 (6/11) 시점 | v1.1 (6/19) 갱신 |
|---|---|---|
| 사고 성격 | 데이원컴퍼니 단독 사고 | '깃허브 자격증명 탈취' 동시다발 사고군의 일부 |
| 동일 패턴 사고 | (미인지) | 티빙(6/3 인지), 에스티유니타스, BGF네트웍스(CU포스트) 등 6월 클러스터 |
| 피해 대상 | 일반 회원 + 강사 추정 | 삼성전자 등 대기업 B2B 사내교육 수강자통지 확인,강사 피해 공식 확인 |
| 당국 동향 | 인지·신고만 보도 | KISA·방미통위, 개발자 플랫폼 자격증명 저장 금지 권고 / CI·주민번호 분리보관 일정 4개월 단축 |
| 법적 리스크 | 통지 지연 지적 수준 | 집단소송(티빙 1,051명 선례)·과징금(로고스 5억·SKT 역대최대 선례) 리스크 구체화 |
| 유출 규모 | "확인 중" | 데이원 규모 여전히 미공개. 동종 티빙은최대 1,300만명 관측(업계 추정) |
A.2 추가 타임라인 (사고군 관점)
2026-06-03 티빙(TVING) 침해 인지 — AWS 액세스키 폐기 + 깃허브 자격증명 교체 신고
2026-06-04 BGF네트웍스(CU포스트) 비인가 접근 정황 확인 (택배 운영)
2026-06-08 데이원컴퍼니 사고 인지
2026-06-09 데이원컴퍼니 당국 신고
2026-06-11 데이원컴퍼니 고객 공지 (v1.0 발행)
2026-06-12 '깃허브 키 탈취' 산업적 패턴 분석 보도 확산 / 데이원 B2B·강사 피해 보도
방미통위, CI·주민번호 분리보관 시점 4개월 앞당기기로
2026-06-14경 티빙 이용자 1,051명 집단(손배)소송 제기 (인당 30만원 청구)
2026-06-16 당국, 개발자 플랫폼 내 자격증명 저장 금지 권고 보도
2026-06-19 v1.1 갱신 (본 부록)
데이원컴퍼니 자체의 유출 규모·보상안·당국 처분은 6/19 기준 여전히 공식 발표되지 않았다. 이는 v1.0에서 지적한 "규모 미특정·보상 미정" 상태가 8일이 지나도록 해소되지 않았음을 의미한다.
A.3 '깃허브 자격증명 탈취' 사고 클러스터 — 횡적 분석
6월 들어 국내 온라인 서비스 개인정보 유출 사고의 공통 침투 단서가 '개발자 저장소(깃허브)의 자격증명 관리 실패'로 수렴하고 있다는 분석이 보안업계에서 제기됐다. 단순 개인정보 유출이 아니라, 개발·운영 환경의 접근 권한을 노린 공격이 DB 접근으로 이어지는 양상이라는 점이 핵심이다.
| 항목 | 데이원컴퍼니 | 티빙(TVING) |
|---|---|---|
| 인지 시점 | 2026-06-08 | 2026-06-03 |
| 핵심 침투 단서 | 깃허브 마스터 계정 키값 탈취 | 깃허브 자격증명 교체 + AWS 액세스키 폐기 신고 |
| 클라우드 | GCP 추정 | AWS |
| 유출 규모 | 미공개 ("확인 중") | 최대 1,300만명 관측 (업계 추정) |
| 추가 우려 | 30일 장기 잠복 | 해커의비인가 쿼리 실행 정황 → 시스템 사전 장악 우려 |
| 법적 전개 | 미발표 | 이용자 1,051명 집단소송 (인당 30만원 청구) |
클라우드 기반 서비스에서 보안의 핵심 질문은 "서버가 어디 있는가"가 아니라 누가, 어떤 권한으로 들어올 수 있는가로 이동했다. 이번 사고군은 그 명제의 실증 사례다.
A.4 B2B 연쇄 노출 — 공급망(Supply Chain) 관점
v1.1에서 새롭게 확인된 가장 중요한 사실은 피해가 일반 B2C 회원을 넘어 B2B 기업교육 영역으로 확산됐다는 점이다.
- 대기업 사내교육 수강자 통지:데이원컴퍼니는 특정 기업의 사내 교육 프로그램을 위탁 운영해왔으며, 삼성전자 등 국내 대기업 임직원 수강자에게도 유출 통지가 발송된 것으로 확인됐다. 이는 데이원컴퍼니가고객사 임직원 정보의 수탁처리자(처리위탁) 위치에 있었음을 시사하며, 위탁자-수탁자 간 책임 분담 및 고객사의 2차 통지 의무가 쟁점이 될 수 있다.
- 강사(외주 인력) 피해 공식 확인:피해 대상에 강사가 포함된 것이 확인됐다. 이는 v1.0 요약에서 제기한"외주·단기 인력 다수, 보안 모니터링 부재" 가설과 직접 맞닿는 정황이다(검증 결과는 A.6 참조).
공급망 리스크 평가
| 노출 경로 | 영향 대상 | 추가 리스크 |
|---|---|---|
| B2C 회원 | 일반 수강생 | 크리덴셜 스터핑·스미싱(본문 §7.2) |
| B2B 위탁 | 대기업 임직원 | 임직원 직무·소속 결합 시 표적형 스피어피싱, 고객사 내부망 사회공학 진입점 |
| 강사·파트너 | 외주 인력 | 정산·계약 정보 결합 시 비즈니스 이메일 침해(BEC) 위험 |
A.5 규제·법적 리스크 재평가
동시기 사고 및 최근 개인정보보호위원회(PIPC) 처분 선례를 종합하면, 데이원컴퍼니가 직면할 수 있는 규제·소송 리스크는 v1.0 평가 시점보다 구체화됐다.
| 비교 선례 | 핵심 사실 | 데이원컴퍼니 시사점 |
|---|---|---|
| 법무법인 로고스(PIPC 과징금 5억원) | 관리자 계정 탈취로 18만여 건 소송문서 유출,유출 인지 후 1년 이상 통지 지연, 미암호화 저장·접근통제 미비 | 통지 지연·안전조치 의무 위반이 과징금 핵심 사유가 된다는 점에서, 데이원의 72~80시간 지연 및 30일 미탐지가 가중 요소로 평가될 수 있음 |
| SKT 유심 유출(역대 최대 과징금, 대표 입건·경찰 수사) | 과징금 불복 행정소송, 형사 수사로 확대 | 대형 사고 시행정처분→형사책임→민사소송의 3단 전개 가능성 |
| 티빙 집단소송(이용자 1,051명, 인당 30만원) | "안전조치 의무 위반"뿐 아니라수집·처리 단계의 최소수집 원칙 위반까지 쟁점화 | 데이원도 회원·강사·B2B 정보의 수집 적법성·위탁 관리까지 폭넓게 다퉈질 수 있음 |
개인정보보호법 적용 쟁점 (갱신)1.제34조 통지·신고 의무 — 72~80시간 지연(본문 §4.2). 로고스 사례 대비 지연 폭은 작으나, "지체 없이" 기준 위반 소지는 여전히 존재. 2. 안전조치 의무(제29조) — 마스터 키 하드코딩·30일 미탐지·접근통제 미비가 핵심. 3. 수집 최소화·위탁(제3조·제26조) — 티빙 집단소송이 연 새로운 전선. B2B 위탁 구조에서 수탁자 관리·감독 적정성이 문제될 수 있음.
⚠️ 본 항목은 공개 정보 기반의 리스크 평가이며, 실제 위법성·처분 수위는 PIPC 조사 및 사법 판단으로 확정된다. 법률 자문이 아니다.
A.6 v1.0 분석의 검증 / 수정
투명한 추적을 위해, v1.0에서 제시한 주요 판단의 사후 검증 결과를 명시한다.
| v1.0 판단 | v1.1 검증 결과 | 상태 |
|---|---|---|
| "외주·단기 인력 다수, 보안 모니터링 부재 가능성" | 피해 대상에 강사 포함 확인. 인력 구조 가설과 정합 | 부분 검증 (단, 침투 원인이 인력 계정인지 단정 불가) |
| "암호화 ≠ 안전, 복호화·크리덴셜 스터핑 위험" | 동종 사고(티빙)에서 소스코드 노출 시 암호화 무력화 우려가 업계 정론으로 제기 | 보강됨 |
| "GCP 연계 광범위 권한 가능성" | 직접 확인된 신규 근거는 없음 (티빙은 AWS 사례) | 미확정 유지 |
| "단독 기업의 보안 실패" | 6월 사고군(티빙·BGF·에스티유니타스 등)으로 산업적 패턴임이 드러남 | 수정/확장 |
| "공지 지연·보상안 부재" | 8일 경과 후에도 규모·보상 미발표 | 악화 지속 |
A.7 갱신된 권고 (추가분)
피해 고객용 (B2B 수강자 추가)
- 회사 메일로 패스트캠퍼스/데이원 계열을 수강한 임직원은, 회사 이메일·사번·직무가 결합 노출됐을 수 있으므로 사내 보안팀에 통지·표적 피싱 주의 요청을 권고한다.
- 강사·파트너는 정산·계약 채널로 위장한 BEC(비즈니스 이메일 침해) 시도를 경계한다.
기업 보안 관리자용 (사고군 교훈 반영)
- 깃허브 + 클라우드 자격증명 동시 로테이션— 티빙 사례처럼 깃허브 자격증명과 AWS/GCP 키를세트로 폐기·교체한다(둘 중 하나만 교체 시 우회 가능).
- 소스코드 암호화 로직 노출 대비— 키 관리(KMS/Secret Manager)를 코드 밖으로 분리하고, 노출 가정하에암호화 키 자체를 즉시 회전한다.
- 위탁(B2B) 데이터 격리— 고객사 임직원 정보는 별도 테넌트·접근통제로 분리하고, 사고 시수탁자→위탁자 통지 SLA를 사전 정의한다.
- CI·주민번호 등 결합식별자 분리보관 — 당국이 분리보관 의무 시점을 앞당기는 추세에 맞춰 선제 적용한다.
- 개발자 플랫폼 자격증명 저장 금지 정책 명문화 — 당국 권고를 사내 정책·코드리뷰 게이트로 강제한다(Push Protection + 사전 차단).
A.8 v1.1 추가 참고 자료
- 뉴스1 (2026-06-12) — 깃허브 키 탈취, DB 접근 공격의 심각성: https://www.news1.kr/it-science/security-hacking/6190664
- 아이티데일리 (2026-06-16) — 해킹 경로 된 깃허브, 소스코드 내 자격증명 저장 주의: http://www.itdaily.kr/news/articleView.html?idxno=239883
- 아이뉴스24 (2026-06-12) — 데이원 유출, 대기업 사내교육 수강자 피해 우려: https://www.inews24.com/view/1975944
- 디지털데일리 (2026-06-11) — 데이원컴퍼니 유출, 강사 피해 확인: https://m.ddaily.co.kr/page/view/2026061115551484107
- 보안뉴스 — 티빙 사태, DB 유출보다 깃허브 주목 이유: https://m.boannews.com/html/detail.html?idx=144054
- 알티케이뉴스 (2026-06-14경) — 티빙 이용자 1,051명 손배소: https://www.rightknow.co.kr/news/articleView.html?idxno=34269
- 나무위키 — 2026년 개인정보 유출 사태(사고군 목록): https://namu.wiki/w/개인%20정보%20유출%20사태
A.9 분석 한계 (v1.1 갱신)
- 데이원컴퍼니의 정확한 유출 규모·보상안·당국 처분은 6/19 기준 미발표로, 본 부록의 규모·법적 평가는 동종 선례 기반 추정이다.
- 티빙 등 동종 사고와의 공통 침투 패턴은 보안업계 분석과 신고서 정황에 근거한 것으로, 데이원의 최종 침해 경로가 동일하다고 단정할 수 없다(공식 포렌식 미완료).
- "1,300만명"(티빙) 등 규모 수치는 업계 관측·추정치이며 확정 발표가 아니다.
- B2B 피해 범위(어느 고객사까지인지)는 부분 보도만 존재하며 전수 미확인.
© 2026 HoKwang Kim (Dennis Kim) · Betalabs Inc. · 본 보고서는 공개 정보를 기반으로 한 독립 연구이며, 데이원컴퍼니 또는 관계 기관의 공식 입장이 아닙니다. 정보 제공 목적으로 작성되었습니다.
📌 리포트 파일명: CTI-2026-0611-FASTCAMPUS_DAYONECOMPANY_KR.md | 시리즈: CYBER-THREAT-INTELLIGENCE-REPORT | 버전 v1.1 (2026-06-19 갱신)