온라인 쇼핑 플랫폼 29CM가 주문정보 API에 대한 외부의 비정상 접근으로 개인정보 15만9,852건이 유출됐다고 홈페이지 공지를 통해 밝혔다. 이 가운데 13만8,841건은 이름만, 2만1,011건은 이름과 이메일·휴대전화번호·배송정보가 함께 포함됐다는 것이 회사 설명이다. 결제정보와 아이디·비밀번호는 유출 항목에 포함되지 않았다고 회사는 밝혔다.
8월 27일 주문정보 API 비정상 접근
전자신문과 뉴시스 보도에 따르면 29CM는 8월 27일 주문정보 API에서 비정상 외부 접근을 확인했다. 회사는 해당 접근 경로를 차단하고 한국인터넷진흥원(KISA)에 자진 신고했으며, 대상 고객에게 개별 안내를 진행했다고 밝혔다. 유출 여부를 본인이 확인할 수 있는 조회 기능도 30일 동안 제공한다고 설명했다.
현재 공개된 수량과 유출 범위는 29CM의 홈페이지 공지를 바탕으로 한 회사 발표다. 관계기관의 별도 조사 결과가 나오면 사고 원인과 범위가 달라질 수 있다. 피해 여부는 문자에 포함된 링크가 아니라 29CM 앱이나 공식 홈페이지에 직접 접속해 확인하는 편이 안전하다.
주문·환불·배송 사칭을 특히 조심해야 한다
이름과 배송정보가 함께 노출된 경우 공격자는 실제 주문을 아는 것처럼 꾸며 “배송 오류”, “결제 취소”, “환불 확인”을 내세울 수 있다. 정교한 사칭일수록 개인정보를 알고 있다는 사실 자체가 신뢰의 근거처럼 보인다. 하지만 공식 고객센터는 문자 링크에서 원격제어 앱 설치나 금융정보 입력을 요구하지 않는다.
- 주문·배송 관련 문자가 와도 링크를 누르지 말고 앱의 주문내역을 직접 확인한다.
- 같은 비밀번호를 다른 서비스에서도 썼다면 즉시 서로 다른 비밀번호로 바꾼다.
- 배송 요청사항에 공동현관 비밀번호나 과도한 개인정보를 남기지 않는다.
- 수상한 앱을 설치했거나 금융정보를 입력했다면 112, 거래 금융회사, KISA 118에 즉시 상담한다.
이번 사고의 핵심은 ‘결제정보가 포함되지 않았다’는 설명만으로 위험을 작게 봐서는 안 된다는 점이다. 주문과 배송 맥락을 아는 공격은 피해자의 경계심을 낮출 수 있다. 회사는 기술적 차단뿐 아니라 조사 경과, 재발 방지 조치, 추가 확인된 피해 범위를 시차 없이 공개해야 한다.
관련 기사
독자 질문: 주문 내역을 알고 접근한 배송·환불 사칭 연락을 받은 적이 있나요?
무료회원 가입하고 관심 뉴스 알림 받기 — 오전 주요 뉴스 브리핑·관심 분야 알림·보이스피싱·리콜 등 중요 알림을 받을 수 있습니다.
의견을 남겨주세요