[SSG닷컴] 中 해커 자처 제보자, 노출된 연동키로 결제내역 조회… "PG망 침입 아닌 프론트 API 접근"_2026년 09월
스스로를 '중국 해커'라 밝힌 제보자가 SSG닷컴 결제망에 침입했다고 주장했으나, SSG닷컴 측은 PG사 내부 시스템 침해가 아닌 가맹점 연동키 노출을 통한 '프론트 API' 접근이었다고 해명했다. 해커는 노출된 정상 인증키로 API를 호출해 구매자 이름·마스킹 카드번호 등 영수증 수준의 결제내역 수천 건을 조회했으며, 카드번호 전체나 CVC 등 직접 결제에 쓰이는 정보는 포함되지 않았다.
□ 개요
IT조선은 2026년 09월 09일경 '中 해커, "SSG 결제망 침입"…SSG닷컴 "프론트 API 접근"' 제하의 단독 보도를 통해, 자신을 중국 해커라 밝힌 제보자가 SSG닷컴의 결제망에 침입했다고 주장한 사실과, 이에 대한 SSG닷컴 측의 반박 입장을 보도했다.
같은 날 데일리시큐의 후속 취재에 따르면, 이번 사고는 앞서 8일 보도된 대형 PG(전자결제대행)사 관련 사고와 연관된 사안으로, 실제로는 PG사 내부 시스템이 직접 해킹된 것이 아닌 것으로 파악됐다. 사고의 핵심은 특정 가맹점(SSG닷컴)에서 외부로 노출된 결제 연동 인증키를 제3자가 확보한 뒤, 이 키를 이용해 정상적인 API 호출 방식으로 결제내역을 조회한 데 있었다. 즉 방화벽을 뚫거나 PG사 내부 서버의 취약점을 공격해 침입한 전형적인 해킹과는 성격이 다르며, 공격자가 이미 유효한 인증키를 확보했기 때문에 시스템 입장에서는 일정 부분 정상 가맹점의 요청처럼 보일 수 있었다.
해당 기업 관계자는 "가맹점 한 곳에서 인증키가 노출됐고, 해당 키를 가진 사람이 API를 호출하면서 결제정보가 조회된 것으로 파악하고 있다"며 "PG사 자체 시스템에 직접 침입한 사고와는 구분할 필요가 있다"고 설명했다. 조회된 정보는 구매자 이름과 마스킹된 카드번호, 승인번호, 결제 일시, 구매 물품과 결제금액 등 이른바 '영수증 수준'의 거래정보였으며, 전체 규모는 수천 건 수준으로 알려졌다. 마스킹된 카드번호만으로 실제 결제를 하거나 취소하는 것은 어렵고, 카드번호 전체나 카드 비밀번호, CVC 등 직접적인 결제에 필요한 정보가 조회된 사고도 아닌 것으로 확인됐다. 다만 이름과 일부 카드 식별정보, 구매 장소와 상품, 결제금액, 결제 시각 등이 결합되면 특정 개인의 소비내역을 파악할 수 있어 단순한 비민감 정보로 볼 수는 없다는 지적도 나온다.
PG사 측은 접속기록을 분석한 결과 자체 시스템에 대한 침입이나 취약점 공격 정황은 확인되지 않았으며, 다른 가맹점이나 다른 계열 서비스 이용자의 정보와도 관련이 없다고 밝혔다. 회사는 사고 확인 후 해당 접근 경로를 차단하고 관련 로그를 분석했으며, 금융위원회와 금융감독원에 사고 내용을 보고하고 피해 대상에 대해 개별 통지를 진행했다. 한편 이번 사건은 제보 방식에서도 이례적이라는 평가가 나온다. 해당 PG사는 상시 버그바운티 프로그램을 운영 중이었음에도 제보자는 이 공식 절차를 이용하지 않고 여러 관계기관에 직접 침해 사실을 알렸으며, 스스로 '중국 해커'라고 특정한 점도 통상적인 취약점 제보와는 다른 모습으로 지목된다. 금융당국은 오는 11일 침해사고조사심의위원회를 열어 실제 침해 경로와 인증정보 노출 과정, 조회된 개인정보의 범위, PG사와 가맹점·연동업체의 보안조치 적정성 등을 살펴볼 예정이다.
□ 사고내용 요약
1. 회사명 : SSG닷컴(가맹점) / PG사(대형 전자결제대행사, 연동 서비스 제공)
2. 사고유형
- 가맹점 결제 연동 인증키(API 키) 외부 노출 사고
- 정상 API 경로를 이용한 결제내역 무단 조회 사고
- ※ PG사 내부 시스템 직접 침해가 아닌 '프론트 API' 접근 사고
3. 유출규모 : 수천 건(별도 확인된 관련 사고 기준 결제 4,131건, 2,671명)
4. 유출항목
- 구매자 이름
- 마스킹된 카드번호
- 승인번호, 결제 일시, 구매 물품, 결제금액
※ 카드번호 전체, 카드 비밀번호, CVC 등 직접 결제 가능 정보는 미포함
5. 특이사항
- PG사 내부 서버 침해가 아닌, 가맹점(SSG닷컴)에서 노출된 정상 인증키를 이용한 API 악용 사고
- 유효한 정상 키를 이용했기 때문에 시스템상 정상 요청처럼 보여 탐지가 어려웠던 구조적 문제
- 제보자가 공식 버그바운티 절차를 이용하지 않고 여러 관계기관에 직접 제보한 이례적 방식
- 제보자가 스스로 '중국 해커'임을 특정해 강조한 점도 통상적인 취약점 공개와 다른 대목으로 지목
- 취약점 확인 범위를 넘어 실제 고객 거래정보를 대량 조회한 점에 대한 적절성 논란 제기
- 앞서 보도된 코엠페이먼츠 사고와는 별개 사안(코엠페이먼츠는 카드번호·유효기간 등 직접 결제정보 포함 가능성이 제기된 더 심각한 사안)
- 금융당국, 9월 11일 침해사고조사심의위원회 개최 예정, PG사의 비정상 API 요청 탐지·차단 책임 범위가 주요 쟁점
□ 사고대응 타임라인
- (시점 미상)
. SSG닷컴 결제 연동 인증키 외부 노출, 제3자가 확보해 정상 API 호출로 결제내역 조회(침해 발생)
- (사실 확인 직후)
. PG사, 접속기록 분석 및 해당 접근 경로 차단
. 금융위원회·금융감독원 보고
. 피해 대상 개별 통지
- 2026년 09월 07일
. 금융감독원, 관련 PG사 대상 현장점검 개시
- 2026년 09월 08일
. 데일리시큐, 코엠페이먼츠 및 대형 PG사 연계 의혹 최초 단독 보도
- 2026년 09월 09일
. IT조선, "SSG닷컴 결제망 침입" 주장 및 회사 측 "프론트 API 접근" 해명 보도
. 데일리시큐, 대형 PG사 내부 시스템 직접 침해가 아니라는 팩트체크 후속 보도
. 금융감독원, 현장점검을 현장검사로 전환
- 2026년 09월 11일(예정)
. 침해사고조사심의위원회 개최 예정
□ 대응내역
- PG사, 해당 접근 경로 즉시 차단
- 접속기록 분석을 통한 PG사 자체 시스템 침해 여부 확인(미발견 확인)
- 금융위원회·금융감독원 보고
- 피해 대상 개별 통지
- 금융감독원 현장검사 협조 진행 중
※ SSG닷컴 자체의 연동키 재발급·관리 강화 등 세부 조치는 추가 확인 필요
□ 재발방지대책(권고사항)
1. 기술적 조치
- 가맹점 결제 연동 인증키(API 키) 노출 여부 전수 점검 및 안전한 발급·저장·순환(rotation) 정책 마련
- '유효한 키'만이 아닌 IP·호출 시간대·조회량·호출 주기 등 행위 기반 이상탐지 체계 도입(전문가 권고)
- 평소 대비 급증한 단시간 대량 조회 시 자동 추가 인증 또는 차단 적용
- 가맹점-2차 PG-대형 PG사로 이어지는 연동 구간 전반의 API 보안 점검
2. 관리적 조치
- API 키 유출을 전제로 한 방어체계 설계('정상 키=정상 사용자'라는 전제 탈피)
- 가맹점 대상 인증키 관리 책임·보안수칙 안내 강화
- 버그바운티 등 공식 제보 채널의 실효성 제고 및 제보자 범위(취약점 확인 최소 원칙) 가이드라인 정비
- 금융당국 침해사고조사심의위원회 결과에 따른 후속 개선조치 이행
□ 관련기사(출처)
- [단독] 中 해커 "SSG 결제망 침입"…SSG닷컴 "프론트 API 접근" - IT조선
- [단독] 해커는 왜 버그바운티 대신 기관 제보 택했나…대형 PG 사고 둘러싼 의문과 팩트 체크 내용 - 데일리시큐
- [단독] 전자결제망 해킹 정황…코엠페이먼츠 카드정보 유출 공지, 대형 PG 연계망도 조사중 - 데일리시큐
감사합니다.