폴란드 국가CERT, 데이포스 응답 못 받자 페이롤 취약점 3건 공개

폴란드 국가CERT는 2026년 9월 28일 데이포스 페이롤(급여관리 시스템)의 인증 없이 악용할 수 있는 취약점 3건에 대한 보안 권고문↗을 공개했다⁵. 센터는 이에 앞서 업체 측과 접촉을 시도했지만 실패했다고 설명했다.

제때 들어오지 않는 임금

7월부터 이 제품군이 깔린 시드니워터(호주 시드니의 상수도 공기업)에서는 직원 임금이 밀리거나 수백 명이 월세와 양육비를 기대해 온 가산수당과 초과근무수당이 빠졌다¹. 이 공기업 직원 3000명 가운데 최소 절반은 업무거부와 연이은 부분파업에 가담했고, 노조는 분쟁을 호주 공정노동위원회(Fair Work Commission)와 뉴사우스웨일스주 산업관계위원회에 회부했다↗¹. 호주서비스노조(ASU)의 앵거스 맥팔랜드 사무총장은 "이제 10월을 앞두고 있는데도 아직 고쳐지지 않았다"고 말했다¹. 이 시스템에는 4000만호주달러가 들었고 이미 법적 분쟁 4건을 낳았다↗⁸.

등에 빚을 짊어진 요금소

토마브라보는 주주들이 승인한 123억달러 규모의 인수 거래↗로 데이포스↗를 인수해 비상장 기업으로 전환했다. 주주들은 주당 70달러에 지분을 현금화했다↗²³. 그 뒤를 받치는 것은 B+ 등급을 받은 55억달러 규모의 선순위 담보부 텀론↗이다. 반복매출이 매출의 85%를 차지하고 총 고객유지율은 90%대 후반에 달한다는 게 그 기반이다⁴. 피치는 올 회계연도 레버리지가 EBITDA 대비 7.6배에 이르고, 12~18개월 안에 7.0배 미만으로 내려올 것으로 전망했다⁴. The Inference는 9월 26일 이번 파업을 이 부채와 연결 지었다. 그 후 일주일 사이 이야기는 두 겹 더 쌓였다.

세 개의 열쇠, 답은 없다

권고문이 다루는 버전은 R2026.2.0이다. 비밀번호 찾기 기능을 통해 악용할 수 있는 시간 기반 블라인드 SQL 인젝션, 여러 엔드포인트에서 발견되는 크로스사이트 스크립팅(XSS), 인증 없이 공격자가 어떤 로컬 파일이든 가져올 수 있게 하는 경로 트래버설(path traversal) 취약점이 그 내용이다⁵. 영향이 확인된 버전은 이것뿐이지만 다른 버전에도 같은 결함이 있을 수 있다고 권고문은 전했다⁵.

일주일 앞서 통과한 워싱턴 관문

데이포스는 9월 21일 미국 연방 클라우드보안 인증인 FedRAMP 마켓플레이스에서 '초기 구현(Initial Implementation)' 지위 획득을 발표했다↗. 이로써 이 회사의 페이롤 플랫폼은 별도의 정부 전용 클라우드에 자리를 잡으며 미국 연방기관들이 조달할 수 있는 목록에 올라섰다⁶⁷. 피치는 등급 산정 근거에서 이 해자를 정면으로 거론한다. 감사 가능성 요건과 급여 오류에 따른 법적 리스크가 AI 도구의 교란을 제한할 것이라는 것이다⁴. 그 법적 리스크를 실제로 짊어지고 있는 쪽은 시드니워터 근로자들이다.

반대편의 이야기

시드니워터는 사과했고 급여 처리 인력을 보강했으며 구제 조치와 신뢰 기반 긴급 선지급도 진행하고 있다¹. 데이포스는 보안 통제에 대한 지속적 투자와 규제 대상 공공부문 기관들과 쌓아온 이력을 내세운다⁶. 피치가 제시한 고객유지율 수치는 요지부동이다⁴.

무엇이 먼저 깨지나

세 개의 문이 남았다. 호주 공정노동위원회가 시드니워터 분쟁을 어떻게 다루는지¹, 데이포스가 CERT Polska에 답하고 R2026.2.0 패치를 내놓는지⁵, 이번 사태로 고객 이탈이 나오더라도 레버리지 하락 추세가 유지되는지⁴다. 해자와 장애는 같은 기계다. 급여 시스템을 갈아타는 고통이 너무 큰 한, 대출금 상환은 근로자 급여보다 먼저 이뤄진다.