[에이치앤엠헤네스모리츠코리아(H&M코리아)] 업무용 솔루션 해킹으로 고객 개인정보 유출_2026년 08월
스웨덴에 본사를 둔 H&M코리아가 회사 내부 업무용 솔루션에 대한 불법적인 공격으로 고객 정보 일부가 유출됐다고 밝혔다. 유출 항목은 이메일 주소, 전화번호, 주문·반품 참조번호이며, 회사는 공격 발생(8월 5일경)과 고객 통지(8월 14일) 사이 9일간의 인지 시점을 공개하지 않아 72시간 신고 의무 준수 여부에 의문이 제기된다.
□ 개요
에이치앤엠헤네스모리츠코리아(H&M코리아)는 지난 8월 5일경 업무용 솔루션이 불법적인 공격을 받아 고객 정보 일부가 유출됐다고 14일 고객들에게 통지문을 발송했다.
이번 침해 경로는 고객이 이용하는 서비스가 아닌 회사 내부 업무용 솔루션으로, 유출 규모는 공개되지 않았다. 유출된 항목은 전자우편 주소와 전화번호, 주문·반품 참조번호다. 주민등록번호와 신용카드 정보, 결제 정보, 패스워드는 영향을 받지 않았다는 것이 회사 설명이다.
회사는 공격을 인지한 직후 추가 공격을 차단하기 위한 보안 강화 조치를 취하고 관계 정부기관에 사고 사실을 신고했으며, 경위와 원인을 파악하기 위한 조사도 진행 중이라고 밝혔다. 전화번호와 이메일에 주문·반품 번호까지 함께 유출되면서 배송·반품 안내를 가장한 스미싱에 활용될 소지가 있어 2차 피해 우려가 남아있다. 회사는 통지문을 통해 "발신자 신원을 확인하기 어려운 연락이나 스팸 메시지에 주의하고, 안전성이 검증되지 않은 URL 접속은 삼가 달라"고 당부했다.
아직까지 고객이 확인할 수 있는 정보는 제한적이다. 회사는 유출 건수도, 자신이 대상에 포함되는지 조회하는 절차도 안내하지 않았다. 침해 경로가 업무용 솔루션이라는 대목은 최근 유출 사고 흐름과 겹치는데, 방어가 두터운 서비스 인프라 대신 협력사나 업무 도구, 관리자 계정을 경유해 우회 진입하는 방식이다.
유출된 전자우편 주소와 전화번호는 개인정보보호법상 개인정보에 해당하며, 주문·반품 참조번호도 회사가 보유한 주문 정보와 결합하면 개인을 특정할 수 있어 같은 법의 적용을 받는다. 법은 유출 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지하도록 하고, 해킹 등 외부의 불법적인 접근으로 유출이 발생하면 건수와 무관하게 개인정보보호위원회 또는 KISA 신고 의무도 지운다. 두 기한 모두 사고 발생일이 아닌 인지일부터 계산되는데, 회사는 인지 시점을 밝히지 않았다. 공격이 이뤄진 것으로 파악된 5일과 고객 통지가 이뤄진 14일 사이에는 9일의 간격이 남아있는 상황이다.
□ 사고내용 요약
1. 회사명 : 에이치앤엠헤네스모리츠코리아(H&M코리아)
2. 사고유형
- 업무용 솔루션(내부 시스템) 해킹 사고
- 고객 개인정보 유출 사고
- 인지 시점 미공개로 인한 신고·통지 기한 준수 여부 불투명 사고
3. 유출규모
- 미공개(정확한 유출 건수, 대상자 조회 절차 모두 미안내)
4. 유출항목
- 전자우편(이메일) 주소
- 전화번호
- 주문·반품 참조번호
※ 주민등록번호, 신용카드 정보, 결제 정보, 패스워드는 영향 없음
5. 특이사항
- 고객용 서비스가 아닌 회사 내부 업무용 솔루션이 침해 경로(최근 유출 사고의 공통 패턴)
- 공격 발생(8월 5일경)과 고객 통지(8월 14일) 사이 9일 간격, 회사는 정확한 인지 시점을 공개하지 않아 72시간 신고 의무 준수 여부 불투명
- 유출 건수·대상자 조회 절차 미안내로 고객이 자신의 피해 여부를 직접 확인할 방법이 없음
- 전화번호·이메일에 주문·반품 참조번호까지 결합돼 배송·반품 사칭 스미싱 악용 우려
- 유출 항목(이메일·전화번호·주문번호)도 결합 시 개인 식별이 가능해 개인정보보호법 적용 대상
□ 사고대응 타임라인
- 2026년 08월 05일경
. 업무용 솔루션에 대한 불법적 공격 발생(추정)
- 인지 시점(미공개)
. 공격 인지 후 추가 공격 차단을 위한 보안 강화 조치
. 관계 정부기관 신고
. 경위·원인 파악을 위한 조사 착수
- 2026년 08월 14일
. 고객 대상 개인정보 유출 통지문 발송
. 언론(디지털데일리) 단독 보도로 사고 사실 공개
- 조사 진행 중
. 정확한 침해 경위·원인 규명
. 유출 건수 및 인지 시점 공개 여부
□ 대응내역
- 공격 인지 후 추가 공격 차단을 위한 보안 강화 조치
- 관계 정부기관(개인정보보호위원회·KISA 등)에 사고 사실 신고
- 침해 경위·원인 파악을 위한 조사 진행
- 고객 대상 개인정보 유출 통지문 발송
- 스미싱·의심 메시지 주의 안내
□ 재발방지대책(권고사항)
1. 기술적 조치
- 업무용 솔루션·관리자 계정에 대한 다중인증(MFA) 및 접근통제 강화
- 협력사·내부 업무 도구 등 우회 침투 경로에 대한 정기 보안 점검
- 업무 시스템과 고객 서비스 인프라 간 망분리 강화
- 침입탐지·침입방지시스템(IDS/IPS) 및 이상행위 모니터링
- 정기 취약점 점검 및 모의해킹 수행
2. 관리적 조치
- 개인정보보호법상 72시간 신고·통지 의무 준수를 위한 인지 시점 투명 공개
- 유출 건수 및 대상자 조회 절차 명확히 안내
- 협력사·업무도구 위탁 관리 체계 및 보안 요구사항 강화
- 침해사고 대응 매뉴얼 정례화 및 신속 공지 체계 마련
- 고객 대상 2차 피해(스미싱) 예방 안내 지속 강화
□ 관련기사(출처)
감사합니다.