G마켓 개인정보 유출 고객에 스마일캐시 1만원 지급 핀번호 무단 사용 피해 전액 보상도

G마켓 개인정보 유출 사고가 보상 국면으로 접어들었다. G마켓은 10월 30일 일부 고객의 e쿠폰 핀번호가 제3자에 의해 무단으로 등록·사용된 정황을 확인했다고 밝혔다. 이번 G마켓 개인정보 유출 사태로 이름과 전화번호, 이메일, 주소 등 고객 정보가 외부에 노출됐다. 11월 1일 G마켓은 피해 고객 전원에게 스마일캐시 1만원을 지급한다고 발표했다.

10월 27일 오후부터 비인가 접근… 핀번호 무단 사용 포착

G마켓에 따르면 10월 27일 오후 2시 11분부터 외부 서비스의 API 취약점을 악용한 비인가 접근이 시도됐다. 공격자는 일부 고객이 구매한 모바일 상품권의 핀번호를 무단으로 등록하고 사용했다. 이번 G마켓 개인정보 유출 사고의 시작점으로 지목되는 대목이다. G마켓은 사고를 인지하자마자 비인가 접근 경로를 차단했다.

관련 시스템에 대한 긴급 보안 조치도 함께 완료했다고 밝혔다. 고객 피해 신고는 G마켓 고객센터와 온라인 커뮤니티를 통해 잇따라 접수됐다. 선물함에 보관하던 백화점 상품권과 컬쳐랜드 상품권이 본인도 모르는 사이 사용됐다는 내용이 주를 이뤘다. 초기에는 한 자릿수에 그쳤던 피해 사례가 이후 더 늘어나는 양상을 보였다.

일부 이용자는 본인 인증 없이 e쿠폰함에 접근할 수 있었다고 주장하기도 했다. 정확한 유출 규모는 아직 확인되지 않은 상태다. 커뮤니티에 올라온 개별 피해 주장과 G마켓이 파악한 유출 정황 사이의 연관성도 추가 확인이 필요한 단계다. G마켓은 홈페이지를 통해 고객 안내 공지를 이어가고 있다.

보안 업계에서는 API를 노린 공격이 유통 업계의 공통된 취약점이라고 지적한다. 상품권 핀번호처럼 현금 가치가 직접 연결된 정보는 공격자들의 주요 표적이 된다. 이번 G마켓 개인정보 유출 사고도 그런 구조적 취약점을 파고든 사례로 분석된다. 근본적인 API 보안 강화가 과제라는 목소리가 나온다.

어떤 정보가 새어 나갔나… 피해 확인 방법

G마켓이 밝힌 유출 정보는 고객 이름과 아이디, e쿠폰 핀번호다. 전화번호와 이메일, 주소도 포함된 것으로 파악됐다. G마켓 개인정보 유출 사고에서 그나마 다행인 대목은 로그인 비밀번호가 유출되지 않았다는 점이다. 계정 탈취로 이어질 직접적인 경로는 차단된 셈이다.

피해 여부는 G마켓의 e쿠폰 선물함에서 직접 확인할 수 있다. 보관 중이던 상품권이 사라졌거나 낯선 사용 기록이 있는지 살펴보는 것이 우선이다. 최근에 선물함에서 상품권을 꺼내 쓰지 않았는데 잔액이 줄었다면 피해 가능성을 의심해봐야 한다.

사고 인지 직후 G마켓은 10월 30일 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 11월 1일에는 개인정보보호위원회에 대한 신고도 완료했다. 수사기관에 대한 수사 의뢰도 조만간 진행할 예정이다. G마켓 개인정보 유출 사고는 이제 공식 수사 절차로 넘어간 상태다.

개인정보 침해가 의심되면 KISA 개인정보침해신고센터에 신고할 수 있다. 신고 접수 후 사실관계 확인과 피해 구제 절차가 진행된다. G마켓 고객센터를 통한 피해 접수와는 별도로, 공적 신고 채널을 활용하는 것이 2차 피해 예방에도 도움이 된다. 같은 유형의 신고가 쌓이면 업계 전체의 보안 수준을 끌어올리는 근거가 된다.

보상 내용… 피해 전액 보상과 스마일캐시 1만원

G마켓은 11월 1일 보상안을 발표했다. e쿠폰 무단 사용으로 금전적 피해가 확인된 고객에게는 피해 금액 전액을 액면가 기준으로 보상했다. 보상은 현금처럼 쓸 수 있는 스마일머니로 지급됐고, 조치는 발표 당일 완료됐다. 피해 고객의 금전적 손실을 우선 메운 셈이다.

금전적 피해 발생 여부와 관계없이 정보가 유출된 고객 전원에게는 스마일캐시 1만원을 일괄 지급했다. 별도 사용 조건 없이 쓸 수 있는 캐시다. G마켓 개인정보 유출 피해 고객이라면 누구나 받는 위로 성격의 보상이다.

G마켓은 관계 기관의 조사에 성실히 협조하겠다는 입장도 밝혔다. 고객 정보 보호를 위한 보안 관리 체계를 강화하겠다는 약속도 덧붙였다. 정확한 원인과 영향 범위는 아직 추가 분석 중이다. 향후 추가 피해가 확인되면 보상 범위도 넓어질 가능성이 있다.

한화시스템·현대이지웰까지… 산업계 연쇄 유출 비상

G마켓 사고가 터진 10월 30일, 산업계 곳곳에서 유출 사고가 잇따랐다. 한화시스템은 ICT 부문에서 외부 계정을 통한 내부망 비인가 접근 정황을 확인했다고 밝혔다. 최대 1700명분 임직원의 이름과 연락처, 회사 이메일 등 기본 인사정보가 유출된 것으로 파악됐다.

현대이지웰도 같은 날 고객사 개인정보 유출 사고를 냈다. 회원정보 조회용 API에 외부의 비정상적인 접근이 발생했다. 이름과 생년월일, 성별, 휴대전화번호, 이메일 등이 새어 나갔다. 두 회사 모두 KISA에 신고하고 피해 확인 시 전액 보상 방침을 밝혔다.

모바일 상품권을 둘러싼 보안 비상은 이번이 처음이 아니다. SK플래닛이 운영하는 기프티콘에서도 고객 개인정보와 쿠폰 정보 유출 정황이 포착된 바 있다. 대홍기획 자회사 스푼이 운영하는 기프티엘에서는 1만 8359명의 개인정보가 유출됐다. G마켓 개인정보 유출 사고는 이 연쇄 사고의 최신 사례로 기록됐다.

자주 묻는 질문