Paidwork 데이터 유출로 2,300만 개 계정의 금융 및 개인 정보가 노출되었습니다.

무슨 일이에요

2026년 3월, 마이크로태스킹 플랫폼 Paidwork의 백엔드 시스템에 무단 침입이 발생했습니다. "hackformetome"이라는 가명을 사용하는 공격자가 Paidwork의 운영 인프라에서 직접 추출한 것으로 추정되는 11GB 규모의 데이터베이스 덤프를 확보했습니다.[1][5]

2026년 4월, 해당 공격자는 사이버 범죄 포럼에 훔친 데이터 세트를 판매한다는 광고를 올리며 약 2200만 명의 사용자 정보가 포함되어 있다고 주장했습니다. 2026년 7월, 거의 전체 11GB에 달하는 데이터베이스가 온라인에 공개되었습니다.[5][6]

어떻게 세상에 알려지게 되었는가

해당 보안 사고는 공격자들이 탈취한 데이터베이스를 온라인에 게시하면서 알려지게 되었습니다. 2026년 7월 19일, 데이터 유출 알림 서비스인 Have I Been Pwned는 유출된 데이터 세트를 분석한 후 해당 침해 사건을 공식적으로 목록에 추가했습니다.

유출된 파일 분석 결과, 이번 데이터 유출에 연루된 이메일 주소는 총 23,272,765개인 것으로 확인되었습니다. 데이터 유출 및 이후 데이터베이스 색인화 작업이 진행되기 전까지, Paidwork는 데이터 유출 사실을 공개적으로 발표하거나 인정하지 않았습니다.

드러난 것은 무엇이었는가?

이번 데이터 유출로 2,300만 개 이상의 계정에 대한 운영 플랫폼 데이터와 개인 및 금융 기록이 노출되었습니다. 유출된 정보에는 사용자 이름, 이메일 주소, 전화번호, 실제 주소, 생년월일, 성별, 학력, 관심사, 프로필 사진, 기기 정보 및 IP 주소가 포함됩니다.

유출된 재무 및 운영 데이터에는 은행 계좌 번호, 금융 거래 기록, 근로자 임금 지급 내역 등이 포함되었습니다.[3][5][6] 사용자 비밀번호도 데이터베이스에 포함되어 있었지만, 평문이 아닌 bcrypt 해시값으로 저장되어 있었습니다.

근본 원인

Paidwork의 운영 데이터베이스에 무단으로 접근하기 위해 사용된 구체적인 침입 경로 또는 시스템 취약점은 공개되지 않았습니다.

피해를 입으셨다면 어떻게 해야 할까요?

해당 사용자는 즉시 Paidwork 계정 비밀번호를 변경하고 동일한 비밀번호를 재사용했던 다른 서비스의 비밀번호도 업데이트해야 합니다.

은행 계좌 번호와 근로자 급여 지급 기록이 노출되었으므로, 피해를 입은 개인은 은행 명세서와 금융 계좌를 면밀히 모니터링하여 승인되지 않은 거래나 의심스러운 활동이 있는지 확인해야 합니다.

사용자는 노출된 개인 정보, 실제 주소 또는 지불 내역을 악용하는 표적 피싱, SMS 사기 및 전화 사회 공학적 시도에 대해 경계해야 합니다. 중요한 계정에는 다단계 인증을 활성화하는 것이 강력히 권장됩니다.

그 밖의 출처가 있는 서술

이 서술들에는 자체 출처가 있지만 위의 어느 문단과도 연결하지 못했습니다.

• 2026년 4월, 해당 공격자는 사이버 범죄 포럼에 훔친 데이터 세트를 판매한다는 광고를 올리며, 그 데이터 세트에 약 2200만 명의 사용자 정보가 포함되어 있다고 주장했습니다.[2][5]
• 2026년 7월 19일, 데이터 유출 알림 서비스인 Have I Been Pwned는 유출된 데이터 세트를 분석한 후 해당 침해 사건을 공식적으로 목록에 올렸습니다.[3][4]
• 유출된 파일 분석 결과, 이번 해킹에 연루된 이메일 주소는 총 23,272,765개인 것으로 확인됐다.[3][5]
• 정보 유출 및 이후 데이터베이스 색인화 이전까지 Paidwork는 정보 유출 사실을 공개적으로 밝히거나 인정하지 않았습니다.[3][5]
• 유출된 특정 정보에는 사용자 이름, 이메일 주소, 전화번호, 실제 집 주소, 생년월일, 성별, 학력, 개인적인 관심사, 프로필 사진, 기기 정보 및 IP 주소가 포함됩니다.[1][3][5]
• 사용자 비밀번호는 데이터베이스에 포함되었지만 평문이 아닌 bcrypt 해시값으로 저장되었습니다.[3][5]
• 은행 계좌 번호와 근로자 급여 지급 기록이 노출되었으므로, 피해를 입은 개인은 은행 명세서와 금융 계좌에서 승인되지 않은 거래나 의심스러운 활동이 있는지 면밀히 모니터링해야 합니다.[1][7]
• 사용자들은 노출된 개인 정보, 실제 주소 또는 지불 내역을 악용하는 표적 피싱, SMS 사기 및 전화 사회 공학적 시도에 대해서도 경계해야 합니다.[1]
• 중요 계정 전반에 걸쳐 다단계 인증을 활성화하는 것이 강력히 권장됩니다.[3]