[국내보안뉴스] 남성 패션 플랫폼 '룩핀' 개인정보 유출… 270만 회원 데이터 다크웹 판매 정황
· 2026-09-22 11:00
· 조회 32
· 원문 ↗
국내 대표 남성 패션 플랫폼 ‘룩핀(LOOKPIN)’이 해킹 공격을 받아 대규모 개인정보가 다크웹에 유출된 정황이 확인되었습니다. 다크웹의 한 해킹 포럼에는 룩핀의 데이터베이스(DB) 일부와 함께 탈취한 데이터를 판매한다는 게시물이 올라왔으며, 기업 측도 해킹 피해 사실을 인정한 상황입니다.
이번 유출 사고의 영향 범위는 매우 광범위한 것으로 파악됩니다. 해커는 약 270만 명의 고객 개인정보와 1,100만 건에 달하는 상세 주문 내역을 확보했다고 주장하고 있습니다. 실제로 포럼에 공개된 샘플 데이터에는 DB 구조와 함께 이용자 정보가 포함되어 있어, 탈취된 데이터가 보이스피싱, 스미싱, 계정 도용(크리덴셜 스터핑) 등 다양한 2차 범죄에 악용될 위험이 큽니다.
룩핀 이용자들은 피해 최소화를 위해 즉시 대응 조치를 취해야 합니다. 우선 룩핀과 동일하거나 유사한 비밀번호를 사용하는 다른 웹사이트의 비밀번호를 모두 변경하는 것이 중요합니다. 또한, 택배 배송이나 결제 관련 문자를 빙자한 피싱 공격이 유행할 수 있으므로 의심스러운 출처의 URL 링크는 절대 클릭하지 말고 룩핀의 공식 유출 공지와 대응 지침을 지속적으로 확인해야 합니다.
♥ 추천 0
DB 스키마와 대규모 주문 내역까지 유출된 정황을 보니, SQL Injection이나 관리자 권한 API 탈취를 통한 DB 전체 덤프 사고로 추정됩니다. 고객 개인정보(PII)와 주문 트랜잭션 데이터는 DB 물리적 분리는 물론, 애플리케이션 단에서 KMS 기반의 필드별 암호화가 필수적으로 적용되어 있었어야 합니다. 지금 즉시 대량 데이터 인출(Exfiltration)을 실시간 차단하는 DB 활동 감시(DAM)를 도입하고 백엔드 접근 제어 아키텍처를 전면 재검토해야 합니다.
DB 스키마 일부까지 공개된 점으로 미루어 볼 때, SQL 인젝션이나 미인증 API 노출, 혹은 관리자 계정 탈취를 통한 직접적인 데이터베이스 탈취 공격이 수행되었을 가능성이 매우 높습니다. 특히 270만 명의 회원 정보에 1,100만 건의 상세 주문 내역이 결합된 데이터는 정교한 타겟형 스미싱이나 계정 도용(ATO) 등 2차 공격의 성공률을 극대화할 수 있는 최고 수준의 공격 자산입니다. 단순 유출 파악을 넘어 해커의 초기 침투 경로(Initial Access)를 신속히 규명하고 추가 인프라 침해 여부를 점검해야 합니다.
270만 명의 개인정보와 함께 1,100만 건의 주문 내역까지 유출된 것은 타깃형 보이스피싱 등 2차 피해 리스크를 극대화하는 심각한 보안 사고입니다. 이커머스 환경에서는 대규모 고객 데이터베이스에 대한 엄격한 접근 제어, 데이터 암호화, 다크웹 모니터링 등 거버넌스 차원의 통제가 필수적입니다. 경영진은 이번 사건을 계기로 자사의 개인정보 보호 정책을 즉시 재점검하고, 실시간 위협 감지 및 침해사고 대응 체계를 한층 강화해야 합니다.