카카오스타일 '지그재그' 해킹 정황과 KISA 신고 사태

패션 커머스 플랫폼 '지그재그'를 운영하는 카카오스타일은 2026년 6월 3일 외부 공격으로 인한 자사 소스코드 유출 사실을 인지했다. 회사 측은 내부 점검 과정에서 침해 정황을 포착했으며, 곧바로 대응 체계를 가동했다. 지그재그는 수백만 이용자가 쓰는 패션 쇼핑 플랫폼으로, 소스코드 유출은 서비스 전반의 보안에 위협이 될 수 있는 사안이었다. 회사는 사고 인지 직후 내부적으로 침해 범위를 파악하는 조사에 착수했다. 이 사건은 이후 카카오그룹 전반의 정보보안 신뢰도 문제로까지 번졌다.

카카오스타일은 소스코드 유출을 인지한 다음 날인 2026년 6월 4일 오후 6시경 한국인터넷진흥원(KISA)에 침해 사실을 신고했다. 정보통신망법상 해킹 등 침해사고를 인지한 사업자는 지체 없이 관계 기관에 신고할 의무가 있으며, 카카오스타일은 인지 하루 만에 이 절차를 이행했다. KISA는 신고 접수 이후 카카오스타일과 공조해 침해 범위와 원인 조사에 들어갔다. 회사 측은 신고와 별개로 자체적으로도 시스템 점검과 취약점 보완 작업을 병행했다고 밝혔다. 이 시점까지는 외부에 사건이 알려지지 않은 상태였다.

2026년 7월 초 다크웹 포럼에는 'ExtortionLord'라는 이름의 게시자가 카카오톡 개인정보와 소스코드 등을 판매한다는 글을 올렸다. 게시자는 카카오톡 전체 소스코드와 내부 네트워크 접근권, 데이터베이스 접근권까지 보유하고 있다고 주장하며 구매자를 모집했다. 그가 공개한 저장소 목록에는 'zigzag', 'KS' 등 카카오스타일과 지그재그를 연상시키는 명칭이 다수 포함돼 있어 실제 유출 가능성에 무게가 실렸다. 이 게시물은 곧 국내 보안 업계와 언론의 주목을 받으며 6월 3일 사고와의 연관성이 제기됐다. 다만 게시자의 주장이 과장됐을 가능성도 함께 제기되며 진위 확인이 필요한 상황이었다.

2026년 7월 9일 언론 보도로 지그재그 해킹 정황과 카카오스타일의 KISA 신고 사실이 외부에 처음 알려졌다. 카카오스타일은 자체 조사 결과 외부 공격으로 인한 소스코드 일부 유출은 사실로 확인했으나, 이용자 개인정보 유출 여부는 아직 확인되지 않았다는 공식 입장을 냈다. 회사는 고유 식별 데이터 등 핵심 보안 요소는 유지되고 있다고 설명하며 이용자 불안을 진화하려 했다. 그러나 다크웹에 카카오톡 관련 정보까지 언급된 정황이 있어 카카오그룹 전반의 '정보유출 악몽 재현' 우려가 다시 불거졌다. 카카오스타일은 KISA와 협력해 정밀 조사를 이어가겠다고 밝혔다.

카카오스타일은 이번 침해가 지그재그와 일부 내부 시스템에 국한된 사안이며, 카카오가 운영하는 카카오톡 등 공식 서비스에서는 정보 유출이나 해킹으로 의심되는 정황이 확인되지 않았다고 2026년 7월 9일 밝혔다. 이는 다크웹 게시자가 카카오톡 소스코드까지 보유하고 있다고 주장한 데 따른 이용자 불안을 해소하기 위한 조치였다. 회사는 KISA와 함께 침해 범위와 시스템에 미칠 영향을 정밀 조사 중이며, 조사 결과에 따라 필요한 후속 조치를 취하겠다고 설명했다. 보안 업계에서는 소스코드 유출만으로도 향후 2차 공격의 발판이 될 수 있다며 지속적인 모니터링이 필요하다고 지적했다. 카카오스타일 측은 이용자 피해가 확인될 경우 즉각 고지하겠다는 방침도 함께 전했다.

대형 해킹 정황 조사가 진행되면서 카카오그룹 내부적으로는 신사업인 '브랜드 메시지' 관련 결론이 예정보다 미뤄지는 등 여파가 다른 사업 부문으로도 번졌다. 2026년 7월 7일 보도에 따르면 카카오 내부에서는 지그재그발 해킹 이슈 대응에 자원이 집중되면서 브랜드 메시지 사업의 세부 방향 확정이 지연된 것으로 전해졌다. 이는 계열사 한 곳의 보안 사고가 그룹 전체의 사업 일정에까지 영향을 미칠 수 있음을 보여준 사례로 평가됐다. 카카오 안팎에서는 반복되는 계열사발 보안 이슈에 대한 근본적 대응 체계 마련이 필요하다는 목소리가 나왔다. 회사는 이번 사고를 계기로 그룹 차원의 보안 점검을 강화하겠다는 방침을 시사했다.