회사에서 받는 복지포인트, 다들 한 번쯤 써 보셨죠? 연초에 수십만 원어치 포인트가 들어오면 회사 전용 쇼핑몰에 들어가서 영양제도 사고, 여행 상품도 결제하고, 헬스장 등록비로도 씁니다. 그런데 이 복지몰 시장의 절반가량을 운영하는 회사에서 회원 개인정보가 새어 나갔다는 소식이 나왔어요.
주인공은 현대백화점그룹 계열사 현대이지웰입니다. 회사 발표에 따르면 10월 29일 밤 9시쯤 회원정보 조회용 API에 외부의 비정상적인 접근이 있었고, 조사해 보니 실제로 회원정보가 유출됐다고 해요. 이지웰은 고객사가 약 2,700곳, 이용 임직원이 약 340만 명에 이르는 서비스라 “혹시 나도?” 하는 분이 많을 수밖에 없습니다.
오늘은 무슨 일이 있었는지, 뉴스에 자꾸 나오는 API가 대체 뭔지, 무엇이 샜고 무엇은 (발표 기준) 안 샜는지, 그리고 이용자가 오늘 당장 할 일까지 차근차근 풀어 볼게요. 어려운 용어는 전부 생활 속 비유로 바꿔 설명하겠습니다.
1. 한눈에 보는 이번 사고
| 항목 | 내용 |
|---|---|
| 회사 | 현대이지웰 (현대백화점그룹 계열, 복지포인트·선택적 복지제도 위탁 운영) |
| 서비스 규모 | 고객사 약 2,700곳, 이용 임직원 약 340만 명 (시장 점유율 약 50% 수준으로 알려짐) |
| 어디가 뚫렸나 | 회원정보 조회용 API에 외부의 비정상적인 접근 |
| 언제 알았나 | 2026년 10월 29일 오후 9시께 |
| 유출 확인 항목 | 이름, 생년월일, 성별, 휴대전화번호, 이메일 (회사 사과문 기준 5개) |
| 유출 규모 | 아직 조사 중 (사과문에 인원 미공개) |
| 회사 조치 | 공격 IP 차단, 해당 시스템 외부 접근 전면 차단, 금융감독원·KISA 신고 |
| 이용자 지원 | 유출 확인자 개별 안내, 10월 31일 오전 9시 30분부터 24시간 전담 상담센터, 피해 확인 시 전액 보상 방침 |
정리하면 “창고 문이 부서진 것”이라기보다는, 정보를 꺼내 주는 창구가 이상한 손님에게 너무 많이 대답해 준 사고에 가깝습니다. 이 차이를 이해하려면 API부터 알아야 해요.
2. API가 뭐길래? 식당 주문 창구로 이해하기
API(Application Programming Interface)는 프로그램끼리 정보를 주고받는 약속된 창구예요. 식당으로 비유하면 손님(앱·웹사이트)이 주방(데이터베이스)에 직접 들어가지 않고, 주문 창구에 “2번 테이블 주문 내역 보여 주세요”라고 요청하면 창구 직원이 필요한 것만 꺼내 주는 구조죠.
복지몰 앱을 열면 화면 위에 “○○○님, 남은 포인트 23만 원”이 뜨잖아요? 그때 앱이 뒤에서 “이 사람 회원정보 주세요”라고 API에 묻고 답을 받아 화면에 그리는 겁니다. 문제는 이 창구 직원이 “정말 본인이세요?”, “왜 이렇게 많이 물어보세요?”를 제대로 따지지 않으면, 남이 다른 사람 정보를 줄줄이 물어봐도 대답해 버린다는 데 있어요.
| 식당 비유 | 실제 IT 용어 | 이번 사고에서의 의미 |
|---|---|---|
| 주방·창고 | 데이터베이스(DB) | 회원 이름·연락처 등이 저장된 곳 |
| 주문 창구 | API | 앱이 회원정보를 요청하는 통로 |
| 손님 확인(번호표) | 인증·권한 확인 | 요청한 사람이 그 정보를 볼 자격이 있는지 |
| 한 사람이 너무 많이 주문 | 비정상 대량 호출 | 짧은 시간에 수많은 회원정보 조회 |
| 수상한 손님 출입 금지 | IP 차단·외부 접근 차단 | 이지웰이 사고 직후 취한 조치 |
3. API 사고는 보통 어떻게 일어날까? (일반적인 유형)
이번 사고의 정확한 침투 방법은 아직 발표되지 않았어요. 그래서 “이게 원인이다”라고 단정할 수는 없습니다. 다만 보안 업계에서 API 유출이 자주 일어나는 대표적인 패턴은 정해져 있어서, 이해를 돕기 위해 일반론으로 소개할게요.
| 유형 | 쉽게 말하면 | 생활 비유 |
|---|---|---|
| 번호 바꿔 찌르기(BOLA/IDOR) | 주소 끝의 회원번호만 1001→1002로 바꿔도 남의 정보가 나옴 | 사물함 번호만 바꿔 말하면 남의 사물함을 열어 주는 직원 |
| 인증 없는 창구 | 로그인 확인 없이 조회가 되는 내부용 API가 밖에 노출 | 직원 전용 뒷문이 길가에 열려 있음 |
| 과다 응답 | 화면엔 이름만 필요한데 API가 생일·연락처까지 통째로 보내 줌 | 메뉴 하나 물었는데 장부 전체를 보여 줌 |
| 호출 횟수 제한 없음 | 1초에 수천 번 물어봐도 막지 않음 | 한 손님이 주문서를 1만 장 내도 다 받아 줌 |
| 열쇠(토큰) 유출 | 외부 협력사·개발 환경에서 API 키가 새어 나감 | 마스터키 복사본을 누가 들고 감 |
요즘 공격자들은 AI 도구로 이런 창구를 자동으로 찾아내고 대량으로 두드리는 경우가 늘고 있어요. 그래서 국내외에서 “API 보안”이 큰 숙제로 떠오르고 있습니다.
4. 시간 순서로 다시 보기
| 시점(한국 시간) | 일어난 일 |
|---|---|
| 10월 29일(목) 오후 9시께 | 회원정보 조회 API에 비정상 접근 시도를 인지 |
| 인지 직후 | 공격에 쓰인 IP 차단, 해당 시스템 외부 접근 전면 차단 |
| 이후 | 금융감독원·한국인터넷진흥원(KISA)에 신고, 관계기관과 경위·범위 조사 |
| 10월 30일(금) | 박종선 대표이사 명의 사과문 홈페이지 게시, 유출 항목 공개 |
| 10월 31일(토) 오전 9시 30분 | 24시간 전담 상담센터 운영 시작 |
| 앞으로 | 유출 확인 고객 개별 통지, 유출 규모·원인 조사 결과 발표 예정 |
눈여겨볼 점은 “유출 규모를 아직 모른다”는 부분이에요. 이런 사고는 조사가 진행되면서 대상자나 항목이 늘어나는 일이 흔합니다. 최근 금융권 해킹에서도 처음 발표보다 유출 인원이 크게 늘어난 사례가 있었죠. 그러니 “나는 아직 문자 안 왔으니 괜찮아”라고 안심하기보다는, 기본 수칙을 미리 챙겨 두는 게 좋아요.
5. 무엇이 샜고, 무엇은 (발표 기준) 안 샜나
| 구분 | 항목 | 의미 |
|---|---|---|
| 유출 확인 | 이름·생년월일·성별 | “누구인지” 특정 가능. 사칭 문자에 내 이름과 생일을 넣어 그럴듯하게 만들 수 있음 |
| 유출 확인 | 휴대전화번호 | 스미싱·보이스피싱 연락이 올 수 있는 직접 경로 |
| 유출 확인 | 이메일 | 가짜 ‘포인트 소멸 안내’ 같은 피싱 메일 대상이 될 수 있음 |
| 발표 항목에 없음 | 비밀번호 | 사과문 기준 유출 항목에 포함되지 않음 |
| 발표 항목에 없음 | 주민등록번호·카드·계좌번호 | 사과문 기준 유출 항목에 포함되지 않음 |
참고로 일부 보도(보안뉴스)에서는 주소도 유출 항목으로 언급했는데, 회사 사과문에는 5개 항목만 적혀 있어요. 조사 결과에 따라 달라질 수 있으니 개별 통지에 적힌 항목을 최종 기준으로 보시면 됩니다.
“비밀번호도 안 샜는데 뭐가 문제야?”라고 생각할 수 있지만, 이름+생일+전화번호+직장 복지몰 이용자라는 사실이 합쳐지면 사기꾼에게는 꽤 쓸 만한 재료가 됩니다. 예를 들어 이런 문자가 올 수 있어요.
[복지포인트 안내] 김○○님(1988.03.15) 미사용 복지포인트 187,000P가 11월 5일 소멸 예정입니다. 연장 신청: http://(수상한 주소)
내 이름과 생일이 정확히 들어 있으니 깜빡 속기 쉽죠. 이게 바로 2차 피해의 전형적인 모습입니다.
6. 복지몰 이용자가 특히 조심할 사기 유형
| 사기 유형 | 이런 식으로 와요 | 대처 |
|---|---|---|
| 포인트 소멸·연장 문자 | “포인트 곧 소멸, 링크에서 연장” | 링크 누르지 말고 회사 복지몰 앱·공식 주소로 직접 확인 |
| 유출 보상 안내 사칭 | “개인정보 유출 보상금 신청하세요” | 보상 안내는 공식 공지·개별 통지로 확인. 계좌·카드번호 요구는 의심 |
| 상담센터 사칭 전화 | “이지웰 보안팀입니다, 본인확인 위해 인증번호를…” | 인증번호·비밀번호는 누구에게도 알려 주지 않기 |
| 회사 인사팀 사칭 메일 | “복지제도 변경 안내.xlsx 첨부” | 첨부파일 열기 전 사내 메신저·전화로 인사팀에 확인 |
| 택배·상품 배송 문자 | “복지몰 주문 상품 주소 불명” | 주문 내역은 앱에서 직접 확인 |
7. 오늘 바로 할 일 체크리스트
| 순서 | 할 일 | 소요 시간 |
|---|---|---|
| 1 | 현대이지웰에서 온 개별 안내(문자·메일)가 있는지 확인. 단, 안내문 속 링크보다 공식 홈페이지·앱으로 직접 들어가기 | 5분 |
| 2 | 복지몰 비밀번호를 다른 사이트와 똑같이 쓰고 있다면 그쪽 비밀번호부터 바꾸기 (비밀번호는 유출 항목이 아니지만 예방 차원) | 10분 |
| 3 | 복지몰 포인트 사용 내역을 훑어보고 모르는 결제가 있으면 바로 상담센터에 문의 | 5분 |
| 4 | 휴대폰 통신사 스팸·스미싱 차단 기능 켜기, 모르는 번호의 인증번호 요청은 무시 | 5분 |
| 5 | 가족(특히 부모님)에게 “복지포인트·보상금 문자는 링크 누르지 말기” 한 줄 공유 | 1분 |
혹시 실제 피해가 생겼다면 회사 상담센터에 먼저 알리고, 필요하면 개인정보 침해 신고센터(국번 없이 118)에도 상담할 수 있어요. 회사는 피해 고객이 법에 따라 손해배상을 청구하거나 개인정보분쟁조정위원회에 분쟁조정을 신청할 수 있다고 안내했습니다.
8. 회사 담당자라면? API 점검 기본기
이 글을 읽는 분 중에는 사내 시스템이나 쇼핑몰을 운영하는 분도 계실 거예요. 이번 사고처럼 “조회 창구”가 노려지는 일이 늘고 있으니, 아래 기본기를 한번 점검해 보세요.
| 점검 항목 | 왜 필요한가 | 간단한 확인 방법 |
|---|---|---|
| API 목록(인벤토리) | 모르는 창구는 지킬 수 없음 | 외부에서 접속 가능한 API 주소를 전부 목록으로 정리 |
| 인증·권한 확인 | 남의 회원번호로 조회되는지 막기 | 로그인 사용자 A로 B의 정보를 요청해 보는 테스트 |
| 응답 최소화 | 필요 없는 생일·연락처까지 내보내지 않기 | 화면에 쓰는 필드만 응답하는지 확인 |
| 호출 횟수 제한 | 대량 긁어 가기 차단 | 같은 IP·계정의 분당 요청 수 상한 설정 |
| 이상 징후 알림 | 밤 9시 대량 조회를 바로 알아채기 | 평소 대비 조회량 급증 시 담당자 알림 |
| 협력사·위탁 시스템 | 공급망이 가장 약한 고리 | 외부 업체가 쓰는 API 키·권한 주기적 교체 |
9. 왜 요즘 이런 사고가 잦을까?
요즘 서비스는 앱, 웹, 고객사 인사 시스템, 결제사, 배송사 등이 수많은 API로 거미줄처럼 연결돼 있어요. 이지웰 같은 복지 플랫폼은 특히 2,700곳 고객사의 임직원 정보를 한곳에 모아 두는 구조라, 한 번 뚫리면 여러 회사 직원이 한꺼번에 영향을 받습니다. 여기에 AI 도구로 취약한 창구를 빠르게 찾는 공격까지 늘어나면서 “창구 관리”의 중요성이 커지고 있죠.
| 예전 보안의 초점 | 요즘 보안의 초점 |
|---|---|
| 성벽(방화벽)을 높게 쌓기 | 성 안팎을 오가는 창구(API) 하나하나 지키기 |
| 회사 내부 시스템 위주 | 위탁·협력사까지 포함한 공급망 전체 |
| 사고 후 대응 | 실시간 이상 탐지로 몇 분 안에 차단 |
| 연 1회 점검 | 자동화된 상시 점검 |
10. 자주 묻는 질문
| 질문 | 답변 |
|---|---|
| 저는 이지웰 쓰는 회사 직원인데, 무조건 유출된 건가요? | 아니에요. 규모는 아직 조사 중이고, 유출이 확인된 사람에게 개별 안내가 갈 예정입니다. |
| 비밀번호를 꼭 바꿔야 하나요? | 발표 기준 비밀번호는 유출 항목이 아니에요. 다만 다른 곳과 같은 비밀번호라면 이번 기회에 바꾸는 걸 권해요. |
| 포인트가 사라질 수도 있나요? | 현재까지 부정 사용 사례는 확인되지 않았다고 해요. 사용 내역을 한 번 확인하고, 이상하면 상담센터에 문의하세요. |
| 보상은 받을 수 있나요? | 회사는 피해가 확인되면 전액 보상하겠다고 밝혔어요. 분쟁조정위원회 신청도 가능하다고 안내했습니다. |
| ‘보상금 신청’ 문자가 왔어요 | 링크를 누르지 말고 공식 홈페이지·앱 공지로 직접 확인하세요. 사칭일 가능성이 있어요. |
마무리: 내 정보가 사는 “창구”를 기억하세요
이번 사고는 우리가 매일 쓰는 앱 뒤편에 보이지 않는 창구(API)가 수없이 열려 있고, 그 창구 하나가 느슨하면 수백만 명의 정보가 흔들릴 수 있다는 걸 보여 줬어요. 이용자 입장에서 할 수 있는 건 거창하지 않습니다. 개별 안내 확인, 링크 대신 공식 앱, 비밀번호 재사용 끊기, 사용 내역 훑어보기 이 네 가지면 2차 피해 대부분을 막을 수 있어요.
주말에 복지몰 앱 한 번 열어서 포인트 내역 확인하시고, 부모님께도 “포인트·보상금 문자 링크는 누르지 마세요” 한마디 전해 드리면 오늘 할 일은 끝입니다. 새로운 조사 결과가 나오면 MoricWorld에서 또 쉽게 풀어 드릴게요.