레쥬메나인 해킹, 채용 플랫폼 서버 권한 검증 누락이 이력서·개인정보 유출로 이어진 사연

[핵심요약] 채용·헤드헌팅 플랫폼 레쥬메나인에서 로그인·권한 검증이 빠진 서버 기능을 통해 회원정보가 8월과 9월 두 차례 무단 조회됐고, 이력서 파일 다운로드 URL까지 외부에 발급된 사실이 확인됐어요.

2026년 9월 14일, 채용·헤드헌팅 플랫폼 레쥬메나인(Resume9)에서 개인정보가 두 차례에 걸쳐 무단 조회된 사고가 언론 보도로 알려졌어요. 첫 번째는 8월 19일 새벽 02시 14분부터 02시 39분 사이, 두 번째는 9월 7일 새벽 07시 29분부터 07시 55분 사이였고, 두 경우 모두 로그인과 권한 확인 절차가 빠진 일부 서버 기능에 외부에서 직접 접근해 회원 정보를 들여다볼 수 있었던 것으로 확인됐어요. 특히 9월 7일에는 이력서 파일에 접근할 수 있는 다운로드 URL까지 외부 요청만으로 발급된 기록이 발견돼, 실제 이력서 파일이 빠져나갔는지는 여전히 조사 중이에요. 노출된 정보에는 이름, 연락처, 생년월일, 주소, 사진, 학력, 경력 정보가 포함됐고, 비밀번호와 결제·계좌 정보는 유출 범위에 들어가지 않았다고 회사는 밝혔어요.

무슨 일이 있었나?

이번 사고의 핵심은 화려한 해킹 기법이 아니라 아주 기본적인 허점이었어요. 레쥬메나인의 일부 서버 기능은 요청을 보낸 사람이 로그인한 사용자인지, 그리고 그 사용자가 요청한 데이터의 실제 주인인지를 제대로 확인하지 않은 채 요청을 그대로 처리해버렸어요. 그 결과 외부에서 특정 요청만 보내면 다른 회원의 정보를 조회할 수 있는 상태가 만들어졌고, 두 번째 사고 때는 여기서 한 걸음 더 나아가 이력서 원본 파일에 접근하는 다운로드 주소(URL) 자체가 아무 검증 없이 발급되는 상황까지 벌어졌어요. 레쥬메나인은 지원자가 직접 가입해서 이력서를 올리는 구조뿐 아니라, 헤드헌터가 지원자를 대신해 이력서를 등록해두는 경우도 있는 서비스라서, 정작 이 플랫폼에 가입한 적 없는 사람의 정보까지 함께 노출됐을 가능성이 있다는 점도 눈여겨볼 부분이에요. 회사는 사고를 인지한 뒤 문제가 된 서버 기능의 외부 접근을 차단하고 권한 검증 로직을 보완했으며, 이용자가 직접 로그인해 자신의 유출 여부를 확인할 수 있는 페이지를 열어뒀어요.

왜 중요한가? 무엇이 위험한가?

이력서는 이름이나 연락처 같은 일반적인 개인정보를 넘어서, 어느 학교를 나오고 어느 회사에서 무슨 일을 해왔는지까지 담긴 문서예요. 이런 정보가 새어나가면 공격자는 "이 사람이 어느 회사 어느 부서에서 일했는지"까지 알고 접근하는, 훨씬 정교한 사칭 메일이나 피싱 문자를 만들 수 있어요. 실제로 헤드헌팅·채용 정보를 다루는 플랫폼에서 비슷한 사고가 반복되고 있다는 점도 이번 사건을 가볍게 볼 수 없게 만들어요. 2025년 인크루트, 2026년 4월 듀오정보에서도 유사한 개인정보 유출 사고가 있었는데, 세 사례 모두 대량의 민감한 개인정보를 다루면서도 정작 그 데이터에 누가 접근할 수 있는지를 엄격하게 통제하는 설계는 뒷전으로 밀려 있었다는 공통점이 있어요. 로그인 여부만 확인하는 인증(Authentication)과, 로그인한 그 사람이 이 특정 데이터를 볼 자격이 있는지 확인하는 인가(Authorization)는 전혀 다른 문제인데, 이 구분이 느슨한 서비스가 채용 업계에서 계속 발견되고 있는 셈이에요.

우리 회사도 대비하려면?

먼저 우리 서비스의 API나 서버 기능이 "로그인했는가"만 확인하고 "이 데이터가 요청한 사람의 것이 맞는가"는 확인하지 않는 곳이 있는지부터 점검해야 해요. 특히 회원번호나 파일 ID를 순서대로 바꿔가며 요청했을 때 다른 사람의 정보가 그대로 조회된다면, 이번 레쥬메나인과 똑같은 구조적 허점을 안고 있는 거예요.

파일 다운로드 URL을 발급하는 방식도 다시 살펴볼 필요가 있어요. 누구나 유추할 수 있는 규칙적인 주소 대신, 정해진 시간이 지나면 만료되고 본인 확인이 끝난 세션에서만 유효한 서명된 URL(signed URL) 방식을 쓰면 이런 종류의 무단 발급을 막을 수 있어요.

또한 정기적으로 진행하는 모의해킹이나 취약점 점검에 "권한 상승 없이 로그인만 된 상태에서 다른 사람의 데이터를 볼 수 있는지"를 반드시 테스트 시나리오로 포함시켜야 해요. 이번 사고처럼 새벽 시간대에 짧게 발생한 이상 접근은 실시간 로그 모니터링 없이는 사고 후 몇 주가 지나서야 뒤늦게 발견되기 쉬워요.

이런 증상이 보이면 이미 위험 신호예요:

• 우리 서비스의 API가 로그인 여부만 확인하고 데이터 소유자 확인은 생략하고 있지 않은지 점검해 보세요.
• 회원번호·파일 ID를 순서대로 바꿔 요청했을 때 다른 사람 정보가 조회되는지 테스트해 보세요.
• 파일 다운로드 URL이 누구나 예측 가능한 규칙적인 패턴으로 발급되고 있진 않은지 확인해 보세요.
• 업무 외 시간대(새벽 등)에 특정 계정·IP에서 대량 조회가 발생한 로그가 없는지 살펴보세요.
• 최근 모의해킹에 "권한 우회를 통한 타인 데이터 접근" 시나리오가 포함돼 있었는지 확인해 보세요.
• 협력업체나 제3자가 대신 등록한 개인정보까지 우리 개인정보처리방침과 보호 범위에 포함돼 있는지 점검해 보세요.

Q. 비밀번호나 결제 정보도 유출됐나요?

회사 발표에 따르면 비밀번호, 결제 및 계좌 정보는 유출 범위에 포함되지 않았어요. 다만 이름, 연락처, 생년월일, 주소, 사진, 학력, 경력 정보는 노출된 것으로 확인됐어요.

Q. 레쥬메나인에 직접 가입하지 않았어도 정보가 유출될 수 있나요?

네, 그럴 수 있어요. 레쥬메나인은 헤드헌터가 지원자를 대신해 이력서를 등록해두는 구조도 있는 서비스라서, 본인이 직접 가입한 적이 없어도 정보가 시스템에 올라가 있었을 가능성이 있어요.

Q. 이런 권한 검증 누락 사고는 왜 채용 플랫폼에서 자꾸 반복되나요?

2025년 인크루트, 2026년 4월 듀오정보에서도 비슷한 사고가 있었어요. 대량의 민감한 개인정보를 다루면서도 개발 편의상 로그인 확인(인증)까지만 신경 쓰고, 그 사람이 이 데이터를 볼 자격이 있는지 확인하는 절차(인가)는 뒤로 미루는 경우가 반복되기 때문으로 보여요.

이번 사고는 랜섬웨어처럼 시스템을 통째로 멈춰 세우진 않았지만, 조용히 방치된 권한 검증 누락 하나가 얼마나 오래, 얼마나 넓게 개인정보를 노출시킬 수 있는지를 보여줬어요. 이력서에는 그 사람의 경력과 커리어 계획이 고스란히 담겨 있어서, 단순한 개인정보 유출보다 더 오래가는 불안을 남길 수 있어요. 두 차례 모두 회사가 스스로 알아챈 게 아니라 뒤늦게 언론 보도로 알려졌다는 점에서, 접근 로그를 실시간으로 지켜보는 체계의 공백이 얼마나 위험한지 다시 한번 확인시켜준 사고예요.

이번처럼 권한 검증 로직 하나가 빠지면 누구나 데이터에 접근할 수 있는 구조가 될 수 있어요. 애초에 백업 데이터를 운영 서버의 권한 체계와 물리적으로 분리해두면, 이런 구멍이 생기더라도 핵심 데이터만큼은 지킬 수 있어요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 권한 체계에 구멍이 나도 왜 백업만큼은 안전할 수 있는지 궁금하다면 여기서 확인해보세요.