전담인력 17.6명·투자액 46억원…양적 성장과 실제 보안 수준 사이 간극
29CM·G마켓 이어 이커머스 잇단 사고…사후 대응 넘어 예방 체계 강화 시급
[메가경제=심영범 기자]SSG닷컴이 고객 개인정보 유출 사고로 보안 관리 역량에 대한 시험대에 올랐다. 정보보호 투자와 전담인력을 꾸준히 늘려왔지만 외부 비인가자가 응용프로그램 인터페이스(API) 취약점을 악용해 고객정보에 접근한 사실이 확인되면서다.
9일 업계에 따르면 SSG닷컴은 지난 4일 일부 고객의 개인정보가 외부에 노출된 정황을 확인했다. 이번 사고는 외부 비인가자가 API 취약점을 이용해 시스템에 접근하면서 발생한 것으로 파악됐다.
 |
| ▲ [사진=SSG닷컴] |
API는 서로 다른 소프트웨어와 시스템이 데이터를 주고받을 수 있도록 연결하는 기술이다. 온라인 쇼핑몰에서는 주문과 배송, 결제, 회원정보 조회 등 다양한 기능을 연결하는 데 활용된다. 다만 접근 권한이나 인증 절차가 제대로 관리되지 않으면 외부 공격자가 정상적인 서비스 통로를 악용해 개인정보에 접근할 수 있다.
유출된 정보는 대부분 고객 성명과 내부 식별용 고객번호인 것으로 알려졌다. 사고 정보 데이터베이스 리크덱스(LeakDex)에 따르면일부 고객의 경우 전화번호와 주소도 유출 항목에 포함됐따.
이번 사고에서 주목되는 부분은 구체적인 피해 규모가 공개되지 않았다는 점이다. SSG닷컴은 개인정보 유출 대상 고객 수를 밝히지 않았다.
SSG닷컴은 사고 정황을 파악한 지난 4일 이후 추가 보안 조치를 시행하고 5일 한국인터넷진흥원(KISA)에 신고했다. 6일에는 개인정보보호위원회에도 관련 사실을 알리고 유출 대상 고객에게 개별 통지했다.
SSG닷컴의 정보보호 투자 규모를 고려하면 이번 사고는 아쉬움이 남는다. 리크덱스가 한국인터넷진흥원 정보보호 공시 자료를 기반으로 정리한 내용에 따르면 SSG닷컴의 정보보호 투자액은 2024년 20억8000만원에서 2025년 40억4000만원으로 증가했다. 올해는 46억4000만원까지 확대됐다.
정보보호 전담인력도 2024년 9.1명에서 2025년 15.2명, 올해 17.6명으로 늘었다. 정보기술(IT) 투자액 대비 정보보호 투자 비율은 5.2%로 집계됐다. 동일 업종 61개 기업 가운데 정보보호 투자액과 전담인력 규모는 각각 7위를 기록했다.
투자와 인력만 놓고 보면 업계 내에서도 비교적 높은 수준이다. 그럼에도 API 취약점이 실제 개인정보 유출로 이어졌다는 점에서 단순한 투자 확대만으로 보안 수준을 담보하기 어렵다는 사실이 드러났다.
보안업계에서는 정보보호 투자의 실효성을 판단하려면 투자액과 인력 규모뿐 아니라 취약점 점검 주기, 접근 권한 관리, 이상 트래픽 탐지 역량 등을 함께 살펴봐야 한다고 지적한다. 외부에 개방된 API의 인증 절차를 강화하고 비정상적인 정보 조회와 반복 호출을 실시간으로 탐지하는 시스템이 뒷받침돼야 한다는 것이다.
특히 고객번호 등 내부 식별정보를 활용한 비정상적인 조회 시도를 차단하고 개인정보에 접근할 수 있는 권한을 최소화하는 조치가 중요하다. 보안 솔루션을 도입했더라도 실제 운영 과정에서 취약점이 방치되거나 접근 권한 관리가 허술하면 유사한 사고가 반복될 수 있기 때문이다.
최근 국내 이커머스 업계에서는 API와 멤버십 시스템 등 외부와 연결된 서비스의 취약점을 악용한 개인정보 유출 사고가 잇따르고 있다.
앞서 패션 플랫폼 29CM에서는 지난 8월 주문정보 조회 연동 기능인 API에 대한 비정상적인 접근으로 약 16만건의 개인정보가 유출됐다. 지난달에는 G마켓에서도 외부 서비스 API 취약점을 악용한 고객정보 유출 사고가 발생했다.
G마켓은 지난달 28~29일 발생한 사고와 관련해 고객 이름과 아이디, e쿠폰 핀번호, 전화번호, 이메일, 주소 등이 유출됐다고 밝혔다. 로그인 비밀번호는 유출되지 않은 것으로 확인됐다는 게 회사 측 설명이다.
G마켓은 피해 고객에 대한 보상 조치도 진행했다. e쿠폰 무단 사용으로 금전적 피해를 본 고객에게는 피해 금액 전액을 액면가 기준으로 지급했으며, 직접적인 e쿠폰 피해가 없는 개인정보 유출 고객에게도 스마일캐시 1만원을 일괄 지급했다.
G마켓의 정보보호 투자 규모는 SSG닷컴과 다른 흐름을 보였다. 리크덱스에 따르면 G마켓의 정보보호 투자액은 2024년 143억3000만원, 2025년 150억원으로 증가했지만 올해는 123억7000만원으로 감소했다. 전담인력 역시 2024년 56.3명, 2025년 61명에서 올해 42.8명으로 줄었다.
동일 업종 158개 기업 가운데 G마켓의 정보보호 투자액과 전담인력 규모는 각각 16위와 18위였다. 전체 821개 기업 기준으로는 각각 47위와 41위를 기록했다.
이커머스 플랫폼의 보안 위험은 사업 구조와도 맞닿아 있다. 온라인 플랫폼은 고객 이름과 연락처뿐 아니라 배송지 주소, 주문 내역, 구매 패턴 등 다양한 개인정보를 보유하고 있다. 여러 서비스와 외부 시스템이 연동될수록 개인정보에 접근할 수 있는 경로도 늘어난다. 특정 시스템의 취약점이 플랫폼 전체의 신뢰도 하락으로 이어질 수 있다.
SSG닷컴 관계자는 "관계 기관에 신고를 완료했으며 관련 고객에게 유출 사실을 개별 안내했다"며 "고객 피해 예방과 재발 방지를 위해 최선을 다하겠다"고 밝혔다.
한 보안업계 관계자는 "보안관련 투자액과 전담인력 확보와 더불어 외부 공격을 사전에 차단할 수 있는 탐지 시스템 등을 구축해야 할 것"이라고 전했다.
[저작권자ⓒ 메가경제. 무단전재-재배포 금지]
