무신사 29CM 고객정보 15만9852건 유출 사고

무신사가 운영하는 패션 플랫폼 29CM는 주문 정보를 조회하는 연동 기능(API)에서 외부의 비정상적인 접근이 발생한 사실을 8월 27일 인지했다. 회사 측은 문제를 확인한 즉시 해당 접근 경로를 차단했다고 밝혔다. 이 접근을 통해 이름, 이메일 주소, 휴대전화번호, 배송 정보 등 고객 개인정보가 외부로 유출된 것으로 확인됐다. 다행히 결제정보와 아이디·비밀번호 등 계정 정보는 유출 대상에 포함되지 않았다. 이번 사고는 API 연동 구간의 접근 통제가 뚫리면서 발생했다는 점에서 이커머스 업계의 시스템 간 연동 보안 문제를 다시 부각시켰다.

29CM는 사고를 인지한 당일 한국인터넷진흥원(KISA)에 개인정보 유출 사실을 자진 신고했다. 법적 의무 신고 시한을 기다리지 않고 즉시 신고한 점은 초기 대응으로는 긍정적으로 평가됐다. 신고와 함께 회사는 내부적으로 유출 경로와 규모를 파악하기 위한 전수 조사에 착수했다. 이 과정에서 최종적으로 총 15만9852건의 개인정보가 유출된 것으로 집계됐다. 세부적으로는 이름만 유출된 경우가 13만8841건, 이름·이메일·휴대전화번호·배송정보가 함께 유출된 경우가 2만1011건으로 나뉘었다.

29CM는 유출이 확인된 고객들에게 개별적으로 유출 사실과 구체적인 항목을 안내하기 시작했다. 아울러 이용자가 자신의 유출 여부와 항목을 직접 확인할 수 있도록 30일간 별도의 유출 내역 확인 페이지를 운영하기로 했다. 회사는 피싱 등 2차 피해 가능성에 각별히 주의해달라고 당부하며, 다른 사이트에서 사용 중인 비밀번호 변경과 등록된 배송정보 재확인을 권고했다. 계정정보나 결제정보는 유출되지 않았다는 점을 재차 강조하며 이용자 불안을 줄이려 했다. 그러나 이름과 연락처만으로도 스미싱이나 사칭 범죄에 악용될 수 있다는 우려는 계속 제기됐다.

8월 30일 각 언론이 29CM 개인정보 유출 사고의 전모를 상세히 보도하면서 사건이 공론화됐다. 보도를 통해 총 15만9852건의 개인정보가 유출됐다는 사실과 구체적인 유출 항목별 규모가 대중에 알려졌다. 무신사와 29CM은 결제정보 및 계정 비밀번호 등 핵심 민감정보는 이번 유출에서 제외됐다는 점을 재차 확인했다. 그럼에도 대형 패션 플랫폼에서 또다시 발생한 개인정보 유출이라는 점에서 이커머스 업계 전반의 보안 관리 실태에 대한 우려가 커졌다. 소비자단체는 유사 사고 재발 방지를 위한 근본적인 시스템 점검을 요구했다.

무신사와 29CM은 이번 사고를 계기로 보안 시스템과 관리 체계를 전면 재점검해 재발 방지에 최선을 다하겠다는 입장을 발표했다. 특히 외부 시스템과 연동되는 API 구간에 대한 접근 통제와 모니터링 체계를 강화하겠다고 밝혔다. 다만 구체적인 기술적 보완 조치나 일정에 대해서는 상세히 공개하지 않아 실효성에 대한 의문이 남았다. 업계에서는 대형 플랫폼일수록 다수의 외부 연동 시스템을 운영하는 만큼, 이번 사고가 유사 구조를 가진 다른 이커머스 업체들에도 경고 신호가 될 것이라는 분석이 나왔다. 개인정보보호위원회의 후속 조사 결과와 제재 여부에도 관심이 쏠리고 있다.

9월 7일 29CM의 개인정보 유출 사고가 고객 정보에 그치지 않았다는 사실이 추가로 확인됐다. 무신사와 29CM에 입점한 브랜드 관계자들이 상품과 주문을 관리하기 위해 쓰는 전용 관리 페이지 관련 정보 가운데 아이디와 이름 등 담당자 개인정보까지 유출 항목에 포함된 것으로 드러났다. 회사 측은 앞서 8월 27일 주문내역 조회 API에 대한 비정상 접근을 인지한 직후 해당 경로를 차단하고 24시간 내에 한국인터넷진흥원(KISA)과 개인정보보호위원회에 자진 신고했다고 밝힌 바 있다. 고객 유출분은 이름만 유출된 경우가 13만8841건, 이름·휴대전화번호·이메일·배송정보가 함께 유출된 경우가 2만1011건으로 집계됐다. 유통업계에서는 연이은 플랫폼 해킹 사고와 맞물려 관계기관 조사 결과에 따라 책임 소재와 제재 수위가 정해질 것이라는 전망이 나왔다.