[애피어(마케팅 대행사)·펀샵(CJ ENM 자회사)] 폐업 쇼핑몰 고객 이메일 유출, 3만여건 피싱메일 발송_2026년 08월

CJ ENM 자회사가 운영하다 지난해 폐업한 온라인 쇼핑몰 '펀샵'의 광고메일 발송을 대행했던 마케팅 대행사 애피어(Appier) 담당자의 이메일 계정이 해킹돼, 계약 종료 2년이 지나도록 남아있던 고객 이메일 배포목록이 탈취됐다. 해커는 이를 이용해 넷플릭스를 사칭한 피싱 이메일 3만여 건을 발송했으며, 애피어는 기자 문의 전까지 이를 탐지하지 못했다.

□  개요 

   2026년 08월 17일 SBS 보도에 따르면 서울 도봉구에 거주하는 한 이용자가 지난달 19일 넷플릭스 멤버십을 재활성화하라는 이메일을 받았으나, 실제 발신 주소는 넷플릭스가 아닌 CJ ENM의 자회사가 운영하다 지난해 3월 영업을 종료한 온라인 쇼핑몰 '펀샵'인 것으로 확인됐다.
    CJ 측 자체 조사 결과, 펀샵의 광고 이메일 발송을 맡았던 마케팅 대행사 애피어의 담당자 이메일 계정이 해커에게 탈취된 것으로 파악됐다. 마케팅 계약이 종료된 지 2년이 지났고 담당자도 퇴사했지만, 해당 계정에는 고객 이메일 배포 목록 2개가 그대로 남아 있었다. 해커는 이 목록을 이용해 넷플릭스 결제 문제를 사칭한 피싱 이메일을 3만 건 넘게 발송했다.
    애피어는 SBS 취재진이 처음 문의할 때까지 피싱메일 발송 사실을 탐지하지 못했고, 수신 고객들에게 위험성도 알리지 않았다. 취재진의 확인 요청에 애피어 한국지사 측은 "담당자가 재택근무 중이라 자리에 없다"며 "본사는 대만에 있다"고 답한 것으로 전해졌다.
    애피어는 해커가 고객정보를 내려받은 흔적 등은 없다며 개인정보 유출이 아닌 침해 사고로 한국인터넷진흥원(KISA)에 신고했다. 하지만 추가 조사에서 해커가 고객 20여 명의 이름과 이메일 주소, IP 주소를 직접 조회한 사실이 드러났고, CJ ENM은 침해 인지 나흘 만에 개인정보보호위원회에 신고했다. CJ ENM은 "해당 사고의 일차적 책임은 대행사에 있다"면서도 "우리 고객의 피해인 만큼 도의적 책임을 느껴 직접 신고했다"고 설명했다. 개인정보보호위원회는 개인정보보호법상 업무 대행사는 고객정보를 안전하게 처리해야 하고, 위탁 업체에도 관리·감독할 의무가 있다며 정식 조사에 착수했다.

 

□  사고내용 요약  

    1. 회사명 : 애피어(Appier, 마케팅 대행사) / 펀샵(CJ ENM 자회사 운영, 폐업 쇼핑몰) / CJ ENM
    2. 사고유형
        - 마케팅 대행사 담당자 이메일 계정 해킹 사고
        -  폐업 쇼핑몰 고객 이메일 목록 유출을 통한 대량 피싱메일 발송 사고
        -  위탁업체(대행사) 개인정보 관리 소홀에 따른 유출 사고
    3. 유출규모 : 피싱메일 발송 3만여 건 / 해커가 직접 조회한 고객정보 20여명
    4. 유출항목
        - 고객 이메일 주소(배포목록 2개, 약 3만여 건)
        - (해커가 직접 조회한 20여명) 이름, 이메일 주소, IP 주소

    5. 특이사항
        - 쇼핑몰 폐업(2025년 3월) 및 마케팅 계약 종료 2년 후에도 대행사 담당자 계정에 고객 이메일 목록이 그대로 방치
        - 담당자가 퇴사했음에도 계정·데이터가 정리되지 않은 관리 공백
        - 애피어는 언론 문의 전까지 사고 자체를 인지하지 못함
        - 애피어는 자체적으로 "개인정보 유출 아닌 단순 침해 사고"로 KISA에 신고했으나, 추가 조사에서 실제 고객정보 조회 사실이 드러남
        - 원청사인 CJ ENM이 대행사보다 먼저 개인정보보호위원회에 직접 신고(도의적 책임)
        - 넷플릭스를 사칭한 피싱 이메일로 실제 결제·구독 관련 2차 피해 우려
        - 개인정보보호위원회, 위탁업체 관리·감독 의무 위반 여부 등 정식 조사 착수

□  사고대응 타임라인  

    - 2025년 03월
        . 펀샵(CJ ENM 자회사 운영 쇼핑몰) 영업 종료
    - 2026년 07월 19일
        . 넷플릭스 사칭 피싱 이메일이 펀샵 명의로 고객에게 발송(피해 사례 확인 시점)
    - (이전 시점, 정확한 시점 미확인)
        . 애피어 담당자 이메일 계정 해킹, 고객 이메일 배포목록 2개 탈취
        . 해커, 탈취한 목록으로 피싱 이메일 3만여 건 발송
    - SBS 취재진 최초 문의 시점
        . 애피어, 취재진 문의를 받고서야 사고 인지(자체 탐지 실패)
        . 애피어, "개인정보 유출 아닌 침해 사고"로 KISA 신고
    - 추가 조사 이후
        . 해커의 고객 20여명 정보(이름·이메일·IP) 직접 조회 사실 확인
        . CJ ENM, 침해 인지 나흘 만에 개인정보보호위원회 신고
    - 2026년 08월 17일
        . SBS 단독 보도로 사고 사실 공개
        . 개인정보보호위원회, 정식 조사 착수

□  대응내역  

    - 애피어, 한국인터넷진흥원(KISA)에 침해 사고 신고(당초 "개인정보 유출 아님"으로 신고)
    - CJ ENM, 침해 인지 나흘 만에 개인정보보호위원회에 자체 신고
    - CJ ENM, "일차적 책임은 대행사에 있으나 고객 피해에 대한 도의적 책임"이라는 공식 입장 표명
    - 개인정보보호위원회, 위탁업체 관리·감독 의무 위반 여부 등 정식 조사 착수
     ※ 수신 고객 대상 개별 통지·주의 안내는 보도 시점까지 확인되지 않음

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 계약 종료·담당자 퇴사 시 관련 계정 및 보유 고객정보 즉시 삭제·비활성화
       - 마케팅 대행사 등 위탁업체 이메일 계정에 대한 다중인증(MFA) 의무화
       - 발신 도메인 위변조 검증(SPF, DKIM, DMARC) 등 피싱메일 대응 체계 강화
       - 이상 대량 발송·조회에 대한 실시간 탐지 체계 구축
       - 서비스 폐업 시 고객 데이터의 위탁업체 잔존 여부 전수 점검

    2. 관리적 조치
       - 위탁업체(대행사)에 대한 개인정보 처리 위탁계약 종료 시 데이터 파기 확인 절차 의무화
       - 원청사의 위탁업체 개인정보 관리·감독 체계 강화(정기 점검)
       - 침해사고 자체 탐지 역량 강화(외부 제보·언론 문의 의존 탈피)
       - 서비스 폐업 시에도 고객정보 잔존 여부와 관련한 사후 관리 체계 마련
       - 피해 고객 대상 신속한 통지 및 피싱 주의 안내

□  관련기사(출처)  

• 폐업 쇼핑몰의 수상한 메일…뒤늦게 '유출' 신고 - SBS 뉴스

 

감사합니다.