[섹타나인] 가맹점 관리자 계정 탈취로 PG 결제 고객 이름·연락처·계좌번호·마스킹 카드번호 유출…SPC 계열, 과징금 후 재발_2026년 11월

SPC그룹 IT 계열사로 해피포인트와 전자결제 사업을 운영하는 섹타나인의 전자결제대행(PG) 서비스에서 2026년 11월 6일 가맹점 관리자 계정이 침해됐다. 이 사고로 결제 고객의 이름·휴대폰번호·계좌번호에 이어 구매자명·마스킹된 카드번호·카드사 정보까지 추가 유출이 확인됐다. 섹타나인은 2025년 해피포인트 유출로 약 15억 원의 제재를 받은 뒤 다시 사고를 냈다.

□  개요 

   섹타나인은 2026년 11월 8일 ‘개인정보 유출 가능성 안내’를 게시해 결제대행(PG) 서비스 이용 고객의 정보 유출 가능성을 알렸다. 이어 11월 11일 ‘개인정보 유출 관련 추가 안내’로 추가 유출 사실을 공지했다.
    섹타나인은 11월 6일 오전 10시경 PG 서비스에서 비정상적인 외부 접근을 탐지했다. 공격자는 일반 사용자가 아닌 가맹점 관리자 계정을 침해해 접근했다. 1차 공지에서는 휴대폰번호, 이름, 계좌번호의 유출 가능성을 알렸다. 이후 조사와 후속 조치 과정에서 구매자명, 마스킹된 카드번호, 카드사 정보가 추가로 유출된 것을 확인했다. 카드 비밀번호와 CVC 등 카드 결제 인증정보가 유출된 것으로 확인되지는 않았고, 부정결제도 확인되지 않았다. 해피포인트 멤버십 서비스의 유출도 확인되지 않았다. 피해 규모는 공개되지 않았다.
    회사는 유출 가능성을 인지한 즉시 접근을 차단하고 해킹 의심 장비를 격리했다. 아울러 전체 시스템을 전수 조사하고, 비정상 지급 요청·계좌 변경 시도에 대한 모니터링과 차단을 강화했다. 피해 의심 징후가 보이면 즉시 거래를 차단하고 고객에게 알리는 조치도 강화했다. 섹타나인은 상미당홀딩스(허영인 회장 일가 지배)의 100% 자회사로, 2021년 SPC네트웍스에서 이름을 바꿨다. 섹타나인은 2022~2023년 해피포인트 앱 크리덴셜 스터핑 공격으로 1만 7천여 명의 정보가 유출돼, 2025년 2월 과징금·과태료 약 14억 8천만 원을 받았다. 이번 사고는 당시와 다른 시스템을 겨냥한 것이지만, 제재 이후 그룹 차원의 보안 투자와 관리가 실효성이 있었는지 의문이 제기된다. 탈취된 관리자 계정의 권한 범위와 계정 탈취 경위는 공개되지 않았다. 공지가 ‘정산금 지급’과 ‘계좌 변경’을 따로 언급하고 있어, 가맹점 정산 계좌를 바꿔치기하려는 시도까지 경계하는 것으로 보인다(추정).

 

□  사고내용 요약  

    1. 회사명 : ㈜섹타나인(SPC그룹 계열)
    2. 사고유형
        - 해킹 : PG 서비스 가맹점 관리자 계정 침해, 결제 고객 정보 조회·유출
    3. 유출규모
        - 미공개

    4. 유출항목
        - 1차 공지(11월 8일) : 휴대폰번호, 이름, 계좌번호(유출 가능성)
        - 추가 안내(11월 11일) : 구매자명, 마스킹된 카드번호, 카드사
        ※ 카드 비밀번호·CVC 등 카드 결제 인증정보는 유출 미확인, 해피포인트 서비스 유출 미확인

    5. 특이사항
        - 일반 사용자가 아닌 가맹점 관리자 계정 침해로 침입
        - 1차 공지 후 조사 과정에서 추가 유출 항목 확인
        - 2025년 2월 과징금·과태료 약 14억 8천만 원 처분 이후 재발(다른 시스템)
        - 부정결제는 현재까지 확인되지 않음
        - 정산금 지급·계좌 확인·환불 사칭 피싱 주의 안내

□  사고대응 타임라인  

    - 2025년 02월
        . (참고) 개인정보위, 해피포인트 유출(2022~2023년)로 과징금·과태료 약 14억 8천만 원 부과
    - 2026년 11월 06일(금)
        . PG 서비스 가맹점 관리자 계정 침해
        . 10:00경 비정상 외부 접근 탐지, 접근 차단·해킹 의심 장비 격리
    - 2026년 11월 08일(일)
        . ‘개인정보 유출 가능성 안내’ 공지(휴대폰번호·이름·계좌번호)
    - 2026년 11월 11일(수)
        . ‘개인정보 유출 관련 추가 안내’ 공지(구매자명·마스킹된 카드번호·카드사)
    - 2026년 11월 12일(목)
        . 추가 유출 사실 보도
    - 진행 중
        . 전체 시스템 전수 조사, 비정상 지급 요청·계좌 변경 시도 차단 강화, 관계기관 조사 협조

□  개인정보 유출 관련 홈페이지 안내  

< 개인정보 유출 관련 추가 안내 > (2026-11-11)

섹타나인 PG서비스를 이용해 주시는 고객님께 다시 한번 깊이 사과드립니다.
섹타나인은 앞서 2026년 11월 6일 발생한 가맹점 관리자 계정 침해 사고와 관련하여 조사 및 후속 조치를 진행하던 중,
추가적인 개인정보 유출 사실을 확인하여 아래와 같이 안내드립니다.

유출 확인 된 정보는 구매자명, 마스킹된 카드번호, 카드사로 확인되었습니다.
섹타나인은 유출 가능성을 인지한 즉시 접근 차단 조치를 이행하였으며, 해킹 의심 장비도 격리 조치하였습니다.

섹타나인은 추가적인 개인정보 접근을 방지하고 고객님의 피해를 최소화하기 위해 다음과 같은 조치를 진행하고 있습니다.
· 전체 시스템 전수 조사
· 모니터링 및 비정상 지급 요청, 계좌 변경 시도 차단 강화
· 피해 의심 징후 발견 시 즉각적인 거래 차단 및 안내 조치 강화

현재까지 확인된 유출 정보에는 마스킹된 카드번호가 포함되어 있으며, 카드 비밀번호, CVC 등 카드 결제 인증정보가 유출된 것으로 확인된 것은 아닙니다.
다만, 고객님의 금융정보가 악용될 가능성에 대비하여 다음 사항을 유의해 주시기 바랍니다.
· 정산금 지급, 계좌 확인, 환불 등을 사칭한 문자·전화·이메일에 포함된 링크는 클릭하지 마시기 바랍니다.
· 당사는 계좌 비밀번호, OTP, 인증번호를 문자나 전화로 요구하지 않습니다.
· 보이스피싱이 의심되면 금융감독원(1332) 또는 경찰청(112)에 신고하여 주시기 바랍니다.

이번 사고와 관련한 문의와 피해 신고는 섹타나인 고객센터 02-2040-1004 연결 후 #2로 해주시기 바랍니다.
피해가 확인될 경우 관련 법령에 따라 성실히 구제해 드리겠습니다.
(외부 상담 : 개인정보침해신고센터 118, 개인정보분쟁조정위원회 1833-6972)

섹타나인은 고객님의 개인정보를 안전하게 보호해야 할 책임을 무겁게 인식하고 있습니다.
이번 사고로 고객님께 심려와 불편을 끼쳐드린 점 진심으로 사과드립니다.
앞으로도 관계기관의 조사에 성실히 협조하고, 추가적인 피해가 발생하지 않도록 보안 점검과 보호조치를 강화하겠습니다.
감사합니다.

섹타나인 드림

< 개인정보 유출 가능성 안내 > (2026-11-08, 요약)
· 11월 6일 결제대행(PG) 서비스에 비정상적인 외부 접근을 탐지함
· 유출 가능 항목 : 휴대폰번호, 이름, 계좌번호
※ 1차 공지는 원문 확인 전 주요 내용을 요약함

 

□  대응내역  

    - (섹타나인) 접근 차단, 해킹 의심 장비 격리, 전체 시스템 전수 조사
    - (섹타나인) 비정상 지급 요청·계좌 변경 시도 모니터링·차단 강화, 피해 의심 시 즉각 거래 차단·안내
    - (섹타나인) 유출 가능성 안내(11월 8일), 추가 안내(11월 11일) 공지, 고객센터(02-2040-1004, #2) 피해 신고 접수
     ※ 유출 인원, 관리자 계정 침해 경위, 탈취 계정 권한 범위, 신고 기관은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 가맹점 관리자 페이지 MFA 필수 적용과 접속 IP·기기 제한
        - 가맹점 관리자 계정의 조회 범위 최소화(자기 가맹점 거래로 한정)와 대량 조회 차단
        - 관리자 계정 이상 로그인(해외 IP·비정상 시간대) 탐지
        - 정산 계좌 변경 시 추가 인증과 지연 처리(대기시간) 적용

    2. 관리적 조치
        - 가맹점 대상 계정 보안 수칙 안내와 비밀번호 일괄 변경 유도
        - 과징금 처분 이후 재발방지 이행 점검을 그룹 차원에서 실시
        - 고객 대상 결제 오류·환불 사칭 피싱 주의 안내

□  관련기사(출처)  

• 개인정보 유출 관련 추가 안내 - 섹타나인
• ‘해피포인트 운영사’ SPC그룹 산하 섹타나인 개인정보 유출 - 보안뉴스
• 섹타나인, PG 서비스 이용 고객 개인정보 추가 유출…구매자명·마스킹된 카드번호 포함 - 서울경제
• 15억 과징금에도 또 뚫린 SPC…섹타나인, 이번엔 결제정보 유출 - 지이코노미
• 15억 제재에도 또 개인정보 유출…SPC그룹 계열, 섹타나인 ‘보안관리’ 도마 - 비즈중앙

감사합니다.