[SSG닷컴] 외부 공개 API 취약점 악용 불법 접근으로 고객 이름·고객식별번호, 일부 연락처·주소 유출…KISA·개인정보위 신고, 개별 통지_2026년 11월

신세계그룹 이커머스 SSG닷컴에서 외부에 공개된 API의 취약점을 악용한 불법 접근이 발생했다. 이 접근으로 일부 고객의 이름과 내부 고객 식별번호, 일부 고객의 연락처·주소가 유출됐다. 회사는 2026년 11월 4일 유출 정황을 확인하고 KISA와 개인정보보호위원회에 신고했으며, 6일 대상 고객에게 개별 통지했다. 유통·플랫폼업계 연쇄 유출 사고의 하나다.

□  개요 

   SSG닷컴은 2026년 11월 6일 일부 고객의 개인정보가 유출됐다며 대상 고객에게 개별 통지했다. 외부의 불법 접근자가 외부에 공개된 API의 취약점을 이용해 시스템에 접근했고, 일부 고객 정보가 조회·유출됐다.
    유출 정보는 주로 고객 이름과 내부 식별용 고객번호이며, 일부 고객은 연락처와 주소도 포함됐다. 회사는 11월 4일 유출 정황을 확인하고 해당 시스템의 외부 접근을 차단하는 등 보안을 강화했다. 5일에는 한국인터넷진흥원(KISA)에 신고했고, 개인정보보호위원회에도 신고했다. 정확한 유출 인원과 불법 접근이 시작된 시점은 공개되지 않았고, 현재까지 추가 피해는 확인되지 않았다. 회사는 출처가 불분명한 인터넷 주소를 클릭하거나 앱을 설치하지 말라고 당부했으며, 실제 피해가 확인되면 관련 절차에 따라 피해 구제를 지원하겠다고 밝혔다.
    유통·플랫폼업계에서는 10월 말부터 보안 사고가 잇따르고 있다. 마이리얼트립(10월 25일), 더본코리아(10월 26일), SK플래닛 기프티콘(10월 28일), G마켓(10월 30일)에 이어 SSG닷컴까지 피해가 이어졌다. 대량의 고객 정보를 가진 플랫폼 기업들의 API 보안 관리에 대한 우려가 커지고 있다.

 

□  사고내용 요약  

    1. 회사명 : SSG닷컴(신세계그룹 이커머스)
    2. 사고유형
        - 해킹 : 외부 공개 API의 취약점을 악용한 불법 접근으로 고객 정보 조회·유출
    3. 유출규모
        - 미공개(일부 고객)

    4. 유출항목
        - 주요 항목 : 이름, 내부 고객 식별번호
        - 일부 고객 : 연락처, 주소

    5. 특이사항
        - 외부에 공개된 API를 통한 침해로, 한패스·페이네스트·대구로 등 최근 API 악용 사고와 같은 흐름
        - 고객 식별번호를 바꿔 넣으며 다른 고객 정보를 조회하는 방식(IDOR)일 가능성(추정)
        - 인지(11월 4일) 다음 날 KISA에 신고하고, 이틀 만에 개별 통지함
        - 10월 말~11월 초 유통·플랫폼업계 연쇄 사고(마이리얼트립, 더본코리아, SK플래닛, G마켓)의 하나

□  사고대응 타임라인  

    - 시점 미공개
        . 외부 공개 API 취약점을 이용한 불법 접근 발생
    - 2026년 11월 04일(수)
        . 유출 정황 확인, 해당 시스템 외부 접근 차단·보안 강화
    - 2026년 11월 05일(목)
        . 한국인터넷진흥원(KISA) 신고, 개인정보보호위원회 신고
    - 2026년 11월 06일(금)
        . 대상 고객 개별 통지, 유출 사실 외부에 알려짐
    - 진행 중
        . 유출 범위 조사, 보안 강화

□  개인정보 유출 관련 회사 안내  

< SSG닷컴 안내 요약 >

· 외부 불법 접근자가 외부에 공개된 API의 취약점을 이용해 일부 고객의 개인정보를 조회함
· 유출 항목 : 이름, 내부 고객 식별번호(일부 고객은 연락처·주소 포함)
· 11월 4일 유출 정황을 확인한 뒤 해당 시스템의 외부 접근을 차단하고 보안을 강화함
· 한국인터넷진흥원과 개인정보보호위원회에 신고를 완료하고, 대상 고객에게 개별 통지함
· 출처가 불분명한 인터넷 주소(URL) 클릭이나 앱 설치를 하지 말 것
· 실제 피해가 확인되면 관련 절차에 따라 피해 구제를 지원할 예정
· “고객 피해 예방과 재발 방지를 위해 최선을 다하겠다.”

※ 회사 공지·통지 원문이 확인되지 않아 안내 내용을 요약함

 

□  대응내역  

    - (SSG닷컴) 해당 시스템 외부 접근 차단, 보안 강화
    - (SSG닷컴) KISA·개인정보보호위원회 신고, 대상 고객 개별 통지, 피싱 주의 안내, 피해 구제 지원 약속
     ※ 유출 인원, 불법 접근 시작 시점·기간, 취약점 내용, 홈페이지 공지 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 외부 공개 API 전수 목록화와 미사용 API 폐기, 인증·권한 검증 점검(IDOR 차단)
        - API 응답에서 불필요한 개인정보 제거와 마스킹
        - API 호출량·순차 조회 패턴 실시간 탐지와 자동 차단(Rate limit)
        - API 게이트웨이·WAAP 도입과 접근 로그 장기 보관

    2. 관리적 조치
        - 신규·변경 API 배포 전 보안 점검 의무화
        - 유출 인원·기간 확인 후 홈페이지 공지로 투명하게 공개
        - 유출된 연락처를 악용한 쇼핑몰 사칭 스미싱 주의 안내

□  관련기사(출처)  

• SSG닷컴, 일부 고객 개인정보 유출…이름·고객식별번호 등 - 시사저널
• SSG닷컴, 고객 개인정보 유출…“개보위에 신고 완료” - 뉴스1
• [단독] SSG닷컴도 개인정보 유출…“개보위에 신고 예정” - 뉴스1(서플 전재)
• SSG닷컴도 뚫렸다…유통업계 개인정보 유출 ‘도미노’ - SBS Biz(서플 전재)
• 김홍극 체제 앞둔 SSG닷컴, 고객정보 유출…이름·식별번호 외부 조회 - 이지경제

감사합니다.