[이토마토] 계열사(뉴스토마토·토마토TV) 로그인 취약점 악용 회원정보 조회·유출, 9월 회원정보 변조까지…사고 후 수개월 뒤 인지

[이토마토] 계열사(뉴스토마토·토마토TV) 로그인 취약점 악용 회원정보 조회·유출, 9월 회원정보 변조까지…사고 후 수개월 뒤 인지_2026년 11월

경험한사람 2026. 11. 7. 08:01

토마토그룹 계열 증권정보업체 이토마토가 2026년 11월 3일 외부 해커가 홈페이지 보안 취약점으로 개인정보 저장 DB에 접근해 회원정보를 유출한 사실을 확인했다. 해커는 7월과 9월 계열사 뉴스토마토·토마토TV 로그인 화면의 취약점을 이용해 회원정보를 조회했다. 유출 항목은 이름(닉네임), 아이디(휴대폰번호), 이메일, 주소다. 9월 15일에는 로그인 시스템 침입으로 회원정보 변조 사고도 있었다.

□ 개요

이토마토는 2026년 11월 6일 홈페이지에 ‘[긴급] 이토마토 회원 정보 유출 안내’를 게시했다. 11월 3일 외부 해커가 홈페이지 보안 취약점을 이용해 개인정보 저장 DB에 접근했고, 이로 인해 개인정보가 유출된 사실을 확인했다는 내용이다.
사과문에 따르면 외부 해커는 2026년 7월 13~20일과 9월 6일, 계열사인 뉴스토마토와 토마토TV 홈페이지 로그인 화면의 보안 취약점을 이용해 이토마토 회원정보를 조회했다. 유출 항목은 이름(닉네임), 아이디(휴대폰번호), 이메일(회원가입 때 자동 발급), 주소·우편번호(입력한 경우)다. 회사는 침투 경로를 차단하고 변조된 로그인 정보를 복구했다. KISA에 침해사고를, 개인정보보호위원회에 유출 의심을 신고했고, 보안 취약점 개선과 수사기관 신고, 내부 조사를 진행하고 있다. 유출 인원은 공개되지 않았다. 사고 발생부터 인지까지 짧게는 약 두 달, 길게는 약 넉 달이 걸렸다.
공개된 사고 정보는 자료마다 다르다. 8월 21~22일 이토마토 모바일 웹의 보안 취약점으로 DB에 접근해 고객 휴대전화번호와 일부 이름이 유출됐다는 내용도 알려졌다. 이와 별도로 9월 15일 오전 10~11시쯤 로그인 시스템에 외부 침입이 있어 회원정보가 변조됐다. 이때 접근될 수 있었던 정보는 아이디(휴대전화번호), 닉네임, 암호화된 비밀번호, 자동 발급 이메일이며, 회사는 9월 17일 문자로 안내했다. 같은 그룹 계열사 홈페이지를 통해 이토마토 회원정보에 접근한 것으로 보아, 계열사들이 회원 DB나 로그인 시스템을 함께 쓰고 있었던 것으로 보인다(추정).

□ 사고내용 요약

1. 회사명 : 이토마토(토마토그룹 계열 증권정보업체)
2. 사고유형
- 해킹 : 계열사(뉴스토마토·토마토TV) 홈페이지 로그인 화면 취약점으로 회원정보 조회·유출
- 별건 : 9월 15일 로그인 시스템 침입으로 회원정보 변조
3. 유출규모
- 미공개
- 유출 시점 : 2026년 7월 13~20일, 9월 6일(사과문 기준)

4. 유출항목
- 이름(닉네임), 아이디(휴대폰번호), 이메일(회원가입 시 자동 발급)
- 주소·우편번호(회원가입 시 입력한 경우)
- 9월 변조 사고 접근 가능 정보 : 아이디(휴대전화번호), 닉네임, 암호화된 비밀번호, 자동 발급 이메일

5. 특이사항
- 계열사 홈페이지 로그인 취약점을 통해 이토마토 회원 DB에 접근. 그룹 공통 회원·로그인 체계 위험(추정)
- 사고 발생부터 인지(11월 3일)까지 약 2~4개월 걸림
- 7월, (8월), 9월에 걸쳐 반복 침해. 9월 변조 사고 때 근본 원인을 없애지 못한 것으로 보임(추정)
- 자료마다 유출 시점·경로가 다름(아래 표 참고)
- 안내 문자에 외부 링크(URL)를 넣지 않았다고 명시해 사칭 문자와 구분

구분	시점	경로	항목
사과문(공지 no.4686)	2026.7.13~20, 9.6	계열사(뉴스토마토·토마토TV) 로그인 화면 취약점	이름(닉네임), 아이디(휴대폰번호), 이메일, 주소·우편번호
보도 내용	2026.8.21~22	이토마토 모바일 웹 취약점	휴대전화번호, 일부 이름
9월 변조 사고(9.17 문자 안내)	2026.9.15 10~11시	로그인 시스템 외부 침입	아이디, 닉네임, 암호화된 비밀번호, 자동 발급 이메일(접근 가능)

※ 사과문과 보도 내용의 유출 시점·경로가 서로 다름. 이토마토 게시판의 별도 공지(no.4685, ‘침해사고 및 개인정보 유출 안내’)와의 관계는 미확인

□ 사고대응 타임라인

- 2026년 07월 13일(월) ~ 20일(월)
. 계열사 로그인 화면 취약점으로 회원정보 조회(사과문)
- 2026년 08월 21일(금) ~ 22일(토)
. 모바일 웹 취약점으로 DB 접근, 휴대전화번호 등 유출(보도 내용)
- 2026년 09월 06일(일)
. 계열사 로그인 화면 취약점으로 회원정보 조회(사과문)
- 2026년 09월 15일(화) 10:00~11:00경
. 로그인 시스템 외부 침입, 회원정보 변조
- 2026년 09월 17일(목)
. 회원정보 변조 사고 문자 안내, 침입 경로 차단·변조 정보 복구·관계기관 신고
- 2026년 11월 03일(화)
. 개인정보 저장 DB 접근·유출 사실 확인
- 2026년 11월 06일(금)
. ‘[긴급] 이토마토 회원 정보 유출 안내’ 게시, 사과문 발표, KISA·개인정보보호위원회 신고
- 진행 중
. 보안 취약점 개선, 수사기관 신고, 내부 조사

□ 개인정보 유출 관련 홈페이지 안내

< [이토마토] 개인정보 유출 사실 통지 및 사과문 >

안녕하세요. 이토마토입니다.
당사는 2026년 11월 3일, 외부 해커가 홈페이지 보안 취약점을 이용해 개인정보 저장 DB에 접근하여 개인정보가 유출된 사실을 확인하였습니다.
회원님의 소중한 정보를 안전하게 보호하지 못한 점 깊이 사과드립니다.

■ 유출 시점 및 경위
2026년 7월 13일~20일, 9월 6일 외부 해커가 계열사(뉴스토마토, 토마토TV) 홈페이지 로그인 화면의 보안 취약점을 이용해 당사 회원정보를 조회하였습니다.

■ 유출된 개인정보 항목
이름(닉네임), 아이디(휴대폰번호), 이메일(회원가입시 자동으로 발급되는 항목), 주소·우편번호(회원가입 시 입력하신 경우)

■ 당사의 대응 조치
침투 경로 차단 및 변조된 로그인 정보 복구를 즉시 완료하였습니다.
또한 한국인터넷진흥원(KISA) 침해사고 신고 및 개인정보보호위원회 유출의심 신고를 완료하였으며, 보안 취약점 개선과 수사기관 신고 및 내부 조사를 진행하고 있습니다.

■ 회원님께 드리는 안내
1. 이토마토 계정의 비밀번호를 변경해 주시기 바랍니다.
2. 이토마토와 동일한 비밀번호를 사용하는 타 사이트가 있다면 도용 방지를 위해 함께 변경해 주시기 바랍니다.
3. 당사를 사칭하여 ‘보상금·환불·본인인증’을 유도하는 문자나 메일에 주의 부탁드립니다. 본 안내 문자에는 어떠한 외부 인터넷 링크(URL)도 포함되어 있지 않습니다.

■ 문의 및 피해 접수
고객센터: 02-2128-3355 / md@etomato.com
분쟁조정: 개인정보분쟁조정위원회 1833-6972
개인정보침해 신고센터: 국번없이 118 / 경찰청: 112

다시 한번 심려를 끼쳐드린점 깊이 사과드립니다.
이토마토 드림

2026년 11월 06일

□ 대응내역

- (이토마토) 침투 경로 차단, 변조된 로그인 정보 복구
- (이토마토) KISA 침해사고 신고, 개인정보보호위원회 유출 의심 신고, 수사기관 신고
- (이토마토) 사과문 게시, 회원 대상 안내 문자, 비밀번호 변경 권고, 보안 취약점 개선과 내부 조사
※ 유출 인원, 취약점 내용, 인지가 늦어진 이유, 계열사(뉴스토마토·토마토TV) 자체 회원 영향 여부는 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 그룹 계열사 공통 로그인·회원 DB 연동 구조 점검, 계열사별 접근 권한 분리
- 로그인 화면 SQL 인젝션 등 웹 취약점 전수 점검과 WAF 적용
- 개인정보 DB 접근 기록 실시간 모니터링(수개월 탐지 지연 해소)
- 비밀번호를 솔트와 강한 해시(bcrypt 등)로 저장, 관리자 MFA

2. 관리적 조치
- 침해 발생 시 근본 원인 분석과 재발 확인 절차(9월 사고 후 재침해 방지)
- 유출 인원과 사고별 시점·경로를 정리해 투명하게 공개
- 증권 리딩방·투자 사기 등 유출 정보 악용 주의 안내

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)