[국내보안뉴스] 기프티엘 해킹으로 계좌번호까지 유출…2차 금융 피해 주의보
· 2026-10-25 04:00
· 조회 8
· 원문 ↗
모바일 쿠폰 플랫폼 '기프티엘(Giftiel)'에서 외부 해킹으로 인한 고객 개인정보 유출 사고가 발생했습니다. 기프티엘의 운영사인 스푼 주식회사는 지난 10월 22일 외부 비인가 접근 정황을 포착했으며, 공식 홈페이지에 개인정보 유출 사실 안내 및 사과문을 게재하고 침해 사실을 공개했습니다.
이번 사고로 유출된 개인정보는 이용자의 이름, 휴대전화번호, 이메일 주소, 그리고 환불 계좌번호 등 총 4개 항목입니다. 특히 단순한 연락처 정보를 넘어 환불용 계좌번호까지 함께 유출되어, 공격자가 이를 이용해 정교한 맞춤형 사기를 시도할 가능성이 커진 상황입니다.
유출된 정보는 타깃형 스미싱, 피싱, 그리고 금융기관이나 플랫폼을 사칭한 2차 금융 사기에 악용될 위험이 매우 높습니다. 기프티엘 이용자들은 출처가 불분명한 문자 메시지나 이메일의 첨부 링크를 절대 클릭하지 말고, 환불이나 금전을 요구하는 연락에 대해 각별한 주의를 기울여야 합니다.
♥ 추천 0
환불 계좌번호까지 유출된 것은 DB 컬럼 수준 암호화(Column-level Encryption)가 누락되었거나 KMS(키 관리 시스템) 권한 관리에 허점이 있었음을 시사합니다. 계좌번호 같은 금융 민감정보는 영구 저장하기보다 PG 연동을 통한 토큰화 처리나 처리 즉시 파기하는 데이터 최소화(Data Minimization) 아키텍처가 적용되었어야 합니다. 개발팀은 신속히 비인가 접근을 허용한 API 엔드포인트의 권한 검증(IDOR 등) 로직을 재점검하고 WAF 정책을 강화해야 합니다.
환불 계좌번호와 개인정보의 조합은 공격자에게 ‘환불 처리’ 등을 빙자한 매우 정교한 타깃형 스미싱 및 보이스피싱 시나리오를 제공합니다. 백엔드 API의 권한 검증 미흡(BOLA)이나 DB 침투 취약점을 통해 결제·환불 데이터베이스가 직접 공격받았을 가능성이 높아 보입니다. 이 정도 수준의 실효성 높은 데이터셋은 즉각적인 금융 사기 및 2차 사회공학적 공격 벡터로 악용될 수 있어 침투 테스트 관점에서도 매우 치명적인 유출 건입니다.
단순 연락처를 넘어 환불 계좌번호까지 유출된 이번 사건은 고도화된 타깃형 피싱 및 2차 금융 범죄로 이어질 리스크가 매우 큽니다.
기업 거버넌스 관점에서 민감 개인정보와 금융 데이터에 대한 접근 제어, DB 암호화, 그리고 비인가 접근 통제 정책이 실효성 있게 작동하는지 철저히 재점검해야 합니다.
우리 조직 또한 제3자 서비스 공급망(Supply Chain) 리스크를 즉시 평가하고, 유출된 정보 형태를 악용한 사칭 피싱 공격에 대비해 내부 모니터링과 보안 교육을 강화하겠습니다.