[현대이지웰] 복지솔루션 회원정보 조회 API 외부 비정상 접근…회원 이름·생년월일·성별·휴대폰번호·이메일 유출, 금감원·KISA 신고_2026년 10월

현대백화점그룹 계열 복지솔루션 기업 현대이지웰의 회원정보 조회 API가 외부에서 비정상적인 접근을 받아 회원의 이름·생년월일·성별·휴대폰번호·이메일이 유출됐다. 회사는 2026년 10월 29일 21시경 이상 접근을 인지한 즉시 공격 IP와 해당 시스템의 외부 접근을 차단했다. 10월 30일에는 대표이사 명의로 사과문을 게시하고 금융감독원과 한국인터넷진흥원(KISA)에 신고했다. 유출 규모는 조사 중이다.

□  개요 

   현대이지웰은 2026년 10월 30일 홈페이지에 ‘고객 여러분께 깊이 사과드립니다’를 게시하고, 회원정보 조회 API에 대한 외부의 비정상적인 접근으로 회원정보가 유출된 사실을 확인했다고 밝혔다.
    현대이지웰은 기업 임직원 복지몰·선택적 복지 등 복지솔루션을 제공하는 현대백화점그룹 계열사다(중앙신문). 회사는 10월 29일 21시경 비정상적인 접근 시도를 인지한 즉시 공격 IP를 차단하고 해당 시스템에 대한 외부 접근을 전면 차단했다. 이후 조사에서 회원정보 유출이 확인됐다. 유출 항목은 이름, 생년월일, 성별, 휴대폰번호, 이메일 5개이며, 정확한 유출 규모는 관계기관과 함께 조사하고 있다.
    금융감독원과 한국인터넷진흥원(KISA)에는 신고를 마쳤다. 현재까지 2차 피해나 정보의 부정 악용 사례는 확인되지 않았다. 회사는 유출이 확인된 고객에게 개별적으로 관련 사실과 피해 예방 조치를 안내하고, 피해가 확인되면 책임지고 전액 보상하겠다고 밝혔다. 10월 31일 오전 9시 30분부터는 24시간 전담 상담센터(02-3282-0505)를 운영한다. 또 전사 보안 시스템과 취약점을 원점에서 전면 재점검하고, 실시간 모니터링 체계를 최상위 단계로 올려 24시간 가동하고 있다. 하루 전(10월 29일) 진에어도 같은 ‘회원정보 조회 API’ 공격으로 회원정보 유출을 공지해, API를 노린 대량 조회형 공격이 업종을 넘어 이어지고 있다.

 

□  사고내용 요약  

    1. 회사명 : 현대이지웰(현대백화점그룹 계열 복지솔루션 기업)
    2. 사고유형
        - 회원정보 조회 API에 대한 외부의 비정상 접근으로 회원정보 유출
        - 구체적인 공격 기법은 미공개(API 권한 검증 미흡이나 파라미터 조작을 이용한 대량 조회 가능성, 추정)
    3. 유출규모
        - 미공개(관계기관과 조사 중)

    4. 유출항목(5개)
        - 이름, 생년월일, 성별, 휴대폰번호, 이메일

    5. 특이사항
        - 진에어(10월 29일 공지)와 같은 ‘회원정보 조회 API’ 공격. 공지 문구(IP 차단, 시스템 외부 접근 전면 차단, 24시간 모니터링)도 비슷해 같은 유형의 자동화 공격이 이어지고 있을 가능성(추정, 동일 공격자 여부는 미확인)
        - 회원이 대부분 고객사 임직원(복지몰 이용자)이라 회사·복지포인트를 사칭한 피싱이나 업무 메일 사칭에 쓰일 수 있음(추정)
        - 신고 기관에 금융감독원이 포함됨. 복지포인트 등 전자금융 관련 사업을 하기 때문으로 보임(추정)
        - 인지(29일 21시) 다음 날 대표이사 명의로 공지하고, 24시간 전담 상담센터를 열고, 전액 보상 방침을 밝힘
        - 9~10월 금융권 사고에서도 API 취약점이 공격 경로로 지목되는 등 API 보안이 업종을 가리지 않고 핵심 약점으로 드러남

□  사고대응 타임라인  

    - 2026년 10월 29일(목) 21:00경
        . 회원정보 조회 API에 대한 비정상적인 접근 시도 인지
        . 공격 IP 차단, 해당 시스템 외부 접근 전면 차단
    - 2026년 10월 29일~30일
        . 조사 결과 회원정보 유출 확인, 금융감독원·한국인터넷진흥원(KISA) 신고
    - 2026년 10월 30일(금)
        . 홈페이지에 ‘고객 여러분께 깊이 사과드립니다’ 게시(대표이사 박종선 명의), 언론 보도
    - 2026년 10월 31일(토) 09:30~
        . 24시간 전담 상담센터 운영(02-3282-0505)
    - 진행 중
        . 관계기관과 사고 경위·유출 범위 조사, 유출 확인 고객 개별 안내 예정

□  개인정보 유출 관련 홈페이지 안내  

<고객 여러분께 깊이 사과드립니다>
2026-10-30

현대이지웰을 믿고 이용해 주시는 고객 여러분께 진심으로 사과드립니다.

최근 당사 회원정보 조회 API에 대한 외부의 비정상적인 접근이 발생하였으며, 조사 결과 회원정보가 유출된 사실을 확인하였습니다.
유출된 항목은 이름, 생년월일, 성별, 휴대폰번호, 이메일입니다.

고객님의 소중한 개인정보를 안전하게 보호해야 할 막중한 책임이 있는 기업으로서, 이번 사고로 고객 여러분께 심려와 불안을 끼쳐 드린 점에 대해 깊이 사과드립니다.

당사는 지난 10월 29일 21시경 비정상적인 접근 시도를 인지한 즉시, 공격 IP를 차단하고, 해당 시스템에 대한 외부 접근을 전면 차단하였습니다.
또한 금융감독원 및 한국인터넷진흥원에 신고를 마쳤으며, 현재 관계기관과 긴밀한 공조를 통해 사고 경위와 유출 범위에 대한 면밀한 조사를 진행하고 있습니다.

다행히 현재까지 이번 사고로 인한 2차 피해나 정보의 부정 악용 사례는 확인되지 않았습니다.
개인정보 유출이 확인된 고객님께는 개별적으로 관련 사실과 피해 예방을 위한 조치 사항을 신속히 안내드릴 예정입니다.
특히 유출된 정보를 악용한 2차 피해가 발생하지 않도록 출처가 불분명한 링크 클릭이나 첨부파일 다운로드, 개인정보 입력 요구에 응하지 않도록 각별한 주의를 부탁드립니다.

고객 여러분의 불편과 우려를 최소화하기 위해 관련 전담 상담센터(02-3282-0505)를 10월 31일 오전 9시 30분부로 24시간 운영하고,
이번 사고로 인한 피해가 확인될 경우 당사가 책임을 다해 전액 보상 조치할 예정입니다.

아울러 이번 사고로 손해를 입으신 경우 관련 법령에 따라 손해배상을 청구하실 수 있으며, 개인정보분쟁조정위원회(kopico.go.kr, 1833-6972)를 통해 분쟁조정을 신청하실 수 있습니다.

이번 사고를 계기로 전사 보안 시스템과 취약점을 원점에서 전면 재점검하겠습니다.
또한 최상위 단계로 격상한 24시간 실시간 모니터링 체계를 가동해 보안 수준을 대폭 강화하고, 향후 유사한 사고가 재발하지 않도록 근본적인 방지 대책을 마련하겠습니다.

저희 임직원 모두는 이번 사고를 엄중히 받아들이고, 추가 피해 예방부터 재발 방지 대책 수립에 이르는 모든 과정에서 책임감을 가지고 성실하게 임하겠습니다.

다시 한번 고객 여러분께 머리 숙여 깊이 사과드립니다.

2026년 10월 30일
현대이지웰 대표이사 박종선 배상

 

□  대응내역  

    - (현대이지웰) 공격 IP 차단, 해당 시스템 외부 접근 전면 차단
    - (현대이지웰) 전사 보안 시스템과 취약점 원점 재점검, 최상위 단계 24시간 실시간 모니터링 가동
    - (현대이지웰) 대표이사 명의 사과문, 유출 확인 고객 개별 안내 예정, 피해 확인 시 전액 보상
    - (현대이지웰) 24시간 전담 상담센터(02-3282-0505) 운영
    - (금융감독원·한국인터넷진흥원) 신고 접수, 관계기관 공조 조사
     ※ 유출 인원, 공격 기법, 노출 기간, 개인정보보호위원회 신고 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 회원정보 조회 API에 서버 측 인증·권한 검증 적용(요청자 본인 정보만 반환, IDOR 차단)
        - API 게이트웨이에서 호출 빈도 제한, 봇·자동화 탐지, 순차적 파라미터 조회 탐지
        - API 응답 최소화와 개인정보 마스킹
        - 외부 노출 API 전수 인벤토리화, 미사용·구형 API 폐기(ASM, API 보안 점검)
        - 고객사별 복지몰 테넌트 데이터 분리와 접근통제

    2. 관리적 조치
        - 유출 인원과 대상 고객사를 확정해 개별 통지하고, 개인정보보호위원회 신고 등 법정 절차 이행
        - 고객사(기업) 담당자와 공조해 임직원 대상 사칭 피싱 주의 안내
        - API 개발·변경 시 OWASP API Security Top 10 기반 보안성 검토 의무화
        - 같은 유형 공격(진에어 등)의 IoC를 업계와 공유하고 공동 대응

□  관련기사(출처)  

• <고객 여러분께 깊이 사과드립니다> - 현대이지웰
• 현대이지웰, 개인정보 유출 사고…유출 범위 조사 중 - 중앙신문
• 생년월일·전화번호 털렸다…현대이지웰, 회원정보 유출 - 뉴스핌
• 현대이지웰 고객 개인정보 유출 사고 발생 - 파이낸셜뉴스
• 현대이지웰, 개인정보 유출 사고에 사과문 게시 - 이투데이
• 현대이지웰, 개인정보 유출 사고에 사과문 게시 - 서울경제

감사합니다.