[기프티엘(스푼)] 롯데 계열 모바일 상품권 발행사 해킹…고객 이름·휴대전화번호·이메일·환불 계좌번호 유출_2026년 10월
롯데그룹 계열 모바일 상품권 발행사 기프티엘을 운영하는 스푼 주식회사가 2026년 10월 22일 외부의 비인가 접근(해킹)으로 일부 고객의 이름·휴대폰번호·이메일·환불 계좌번호가 유출된 사실을 확인했습니다. 회사는 공격 IP를 차단하고 관계 부처에 신고해 공조 수사를 진행 중이며, 대상 고객에게 문자(MMS)로 개별 통지하고 있습니다.
□ 개요
스푼 주식회사는 기프티엘 홈페이지 팝업 '개인정보 유출 사실 안내 및 사과문'을 통해 2026년 10월 22일 외부의 비인가 접근(해킹)으로 일부 고객의 개인정보가 유출된 사실을 확인했다고 밝혔습니다.
기프티엘은 롯데리아·엔제리너스 등 롯데 외식 브랜드 교환권을 주로 발행하는 롯데그룹 계열 모바일 상품권 발행사로, 기업 대상 선물 플랫폼 '기프티엘비즈'도 운영합니다. 유출 항목은 이름, 휴대폰번호, 이메일, 환불 계좌번호이며, 구체적인 유출 규모는 공개되지 않았습니다.
스푼은 인지 즉시 공격 IP를 차단하고 시스템 접근 통제를 강화했으며, 보안 전문 기관과 관계 부처에 신고하고 수사를 요청해 공조 수사를 진행하고 있습니다. 데이터베이스(DB) 접속 모니터링을 강화하고 재발 방지 대책을 세우는 한편, 유출 대상자에게 문자(MMS)로 개별 통지하고 있습니다. 환불 계좌번호와 연락처가 함께 유출된 만큼 상품권 환불·계좌 확인을 빙자한 금융 사기에 주의해야 합니다.
□ 사고내용 요약
1. 회사명 : 스푼 주식회사(롯데그룹 계열 모바일 상품권 '기프티엘' 운영)
2. 사고유형
- 외부 비인가 접근(해킹)에 의한 고객 개인정보 유출
3. 유출규모
- 일부 고객(정확한 규모 미공개)
4. 유출항목
- 이름, 휴대폰번호, 이메일, 환불 계좌번호
5. 특이사항
- 연락처와 함께 환불 계좌번호가 유출돼, 환불·계좌 확인을 빙자한 금융 사기에 악용될 우려
- 롯데 외식 브랜드 교환권 발행사로, 상품권 환불·교환권 재발송을 사칭한 스미싱 가능성
- 회사가 DB 접속 모니터링 강화를 후속 조치로 밝혀, 데이터베이스 접근이 침해 경로와 관련됐을 가능성(추정)
- 회사는 계좌 악용이 의심되면 계좌정보 통합관리서비스나 금융감독원 명의도용 방지서비스로 지급정지·점검을 권고
- 기업 선물 플랫폼(기프티엘비즈) 이용 기업·고객 포함 여부는 미확인
- 침입 시점·경로, 유출 규모, 신고 기관명은 미공개
□ 사고대응 타임라인
- 침입 시점
. 미공개
- 2026년 10월 22일(목)
. 스푼, 외부 비인가 접근(해킹)으로 일부 고객 개인정보 유출 사실 확인
. 인지 즉시 공격 IP 차단, 시스템 접근 통제 강화
- 일자 미공개
. 보안 전문 기관·관계 부처 신고, 수사 요청 및 공조 수사
. 유출 대상자 문자(MMS) 개별 통지, 기프티엘 홈페이지 팝업 사과문 게시
- 2026년 10월 25일(일)
. 전자신문 보도
- 진행 중
. DB 접속 모니터링 강화, 재발 방지 보안 대책 수립, 공조 수사
□ 개인정보 유출 관련 홈페이지 안내
개인정보 유출 사실 안내 및 사과문
안녕하세요, 스푼 주식회사입니다.
기프티엘 서비스를 이용해 주시는 고객님께 심려를 끼쳐드려 깊이 사과드립니다.
당사는 2026년 10월 22일 외부의 비인가 접근(해킹)으로 인해 일부 고객님의 개인정보가 유출된 사실을 확인하였습니다.
당사는 유출 사실을 인지한 즉시 공격 IP를 차단하고 시스템 접근 통제를 강화하는 등 보안조치를 시행하였습니다. 당사는 이번 사안을 엄중하게 인식하고, 추가 피해 예방과 재발 방지를 위한 후속 조치를 진행하고 있습니다. 개인정보 유출 관련 주요 내용과 대응 현황은 아래와 같습니다.
■ 유출 항목
이름, 휴대폰번호, 이메일, 환불 계좌번호
■ 대응 현황 및 보안 강화 계획
- 사고 인지 즉시 공격 IP 차단 및 시스템 접근 통제 강화 완료
- 보안 전문 기관 및 관계 부처 신고, 수사 요청 및 공조 수사 진행
- 데이터베이스(DB) 접속 모니터링 강화 및 재발 방지를 위한 보안 대책 수립
- 개인정보 유출 대상자에게 문자 메시지(MMS)를 통한 개별 통지 진행
■ 고객님께 드리는 권고 사항 (2차 피해 예방)
- 2차 피해 예방을 위해 출처가 불분명한 문자(스미싱), 이메일, 전화(피싱) 수신 시 각별히 주의하시고, 출처가 불분명한 링크는 클릭하지 마시기 바랍니다.
- 유출된 계좌정보를 악용한 금융사기가 의심되는 경우, ‘계좌정보 통합관리서비스(payinfo.or.kr)’ 또는 금융감독원 ‘명의도용 방지서비스’를 통한 일시 지급정지 및 점검을 권장드립니다.
※ 이번 유출 사고로 인해 부정사용 피해가 의심되거나 발생한 경우 아래의 당사 접수 창구로 신고해 주시기 바랍니다. 접수된 내용은 피해 경위조사 및 검토 후 관련 법령과 기준에 따라 적절한 조치를 안내해 드리겠습니다.
■ 피해 접수 및 문의처
- 담당 부서 : 디지털금융기획팀 (02-3671-6793)
- 접수 이메일 : privacy@spoond.co.kr
- 상담 가능 시간 : 평일 09:00 ~ 18:00
■ 법적 권리에 관한 안내
본 사건으로 인해 피해가 발생하였거나 분쟁조정이 필요하신 경우, 개인정보분쟁조정위원회(https://kopico.go.kr/)에 분쟁조정을 신청하시거나 개인정보보호법에 따른 손해배상을 청구하실 수 있습니다.
고객님의 소중한 정보를 안전하게 보호하지 못한 점 다시 한번 깊이 사과드립니다.
당사는 추가 피해 예방과 재발 방지를 위해 최선을 다하겠습니다.
□ 대응내역
- (스푼) 인지 즉시 공격 IP 차단, 시스템 접근 통제 강화
- (스푼) 보안 전문 기관·관계 부처 신고, 수사 요청 및 공조 수사
- (스푼) 데이터베이스(DB) 접속 모니터링 강화, 재발 방지 보안 대책 수립
- (스푼) 유출 대상자 문자(MMS) 개별 통지, 홈페이지 팝업 사과문 게시
- (스푼) 디지털금융기획팀 피해 접수 창구 운영(02-3671-6793, privacy@spoond.co.kr), 부정사용 피해 경위조사 후 조치 안내
※ 유출 규모, 침입 시점·경로, 신고 기관명·일자는 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 환불 계좌번호 등 금융정보는 별도 암호화하고, 화면·API 응답에서 마스킹
- 환불 처리가 끝난 계좌 정보는 보관 기간을 최소화해 즉시 파기
- DB 접근은 접근통제 솔루션을 거치게 하고, 대량 조회·비인가 접속 실시간 탐지
- 외부 노출 서비스(웹·API·B2B 플랫폼) 취약점 전수 점검
2. 관리적 조치
- 유출 규모와 침입 경로를 신속히 확정해 고객에게 구체적으로 다시 안내
- 금융정보를 다루는 서비스로서 금융정보 보호 기준에 맞춘 내부 통제 점검
- 그룹 계열사 공통 보안 기준 적용 여부 점검
- 고객 피해 예방 : 상품권 환불·교환권 재발송·계좌 확인을 요구하는 연락은 기프티엘 공식 채널로 다시 확인, 계좌정보 통합관리서비스로 본인 계좌 점검
□ 관련기사(출처)
감사합니다.