29CM 고객정보 유출｜주문조회 API 경위와 확인된 영향

사건 개요

패션·라이프스타일 플랫폼 29CM에서 주문정보 조회 연동 기능을 통해 고객 개인정보가 외부에 노출되는 사고가 발생했습니다. 29CM은 2026년 8월 27일 해당 API에 대한 비정상적인 접근을 확인했고, 문제가 된 접근 경로를 차단한 뒤 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다고 밝혔습니다. 공개된 수치를 합치면 영향을 받은 개인정보는 모두 15만9,852건입니다.

이번 사고는 온라인 쇼핑에서 주문 처리에 쓰이는 정보가 어떤 방식으로 연결되고, 조회 기능의 비정상 이용이 고객에게 어떤 위험으로 이어질 수 있는지를 보여줍니다. 계정 전체가 탈취됐다는 의미로 넓혀 해석하기보다, 회사가 확인한 주문정보 API와 유출 항목을 기준으로 범위를 나누어 보는 것이 중요합니다. 29CM은 결제정보와 아이디·비밀번호는 유출 항목에 포함되지 않았다고 안내했습니다.

확인된 시간 흐름

29CM의 안내에 따르면 출발점은 8월 27일 주문정보를 조회하는 연동 기능에 발생한 외부의 비정상 접근입니다. 회사는 이를 확인한 직후 해당 접근 경로를 차단했습니다. 이후 KISA와 개인정보보호위원회에 자진 신고하고, 유출 대상 고객에게 개인별로 노출 항목과 대응 방법을 알렸습니다. 고객이 유출 여부를 직접 확인하는 조회 기능도 공지 게시일부터 30일 동안 운영합니다.

이 시간 흐름에서 이용자가 구분해야 할 것은 사고 발생 시점과 안내를 받은 시점입니다. 안내 문자를 늦게 확인했더라도 우선 29CM 앱이나 주소를 직접 입력해 연 공식 홈페이지에서 공지를 찾아야 합니다. 메시지에 포함된 링크를 출발점으로 삼으면 실제 공지를 흉내 낸 피싱 화면과 구별하기 어려워질 수 있습니다. 회사가 공개한 경로에서 본인 확인을 거쳐 자신의 유출 항목을 확인하는 순서가 안전합니다.

유출 범위의 두 갈래

공개된 유출 항목은 두 집단으로 나뉩니다. 첫 번째는 이름만 포함된 13만8,841건입니다. 두 번째는 이름과 이메일 주소, 휴대전화번호, 배송정보가 함께 포함된 2만1,011건입니다. 두 수치를 더하면 총 15만9,852건이 됩니다. 같은 사고에 포함됐더라도 개인별 노출 항목이 다르기 때문에 주변 사람의 안내 내용만 보고 자신의 범위를 판단해서는 안 됩니다.

이름만 노출된 경우와 연락처·배송정보까지 함께 노출된 경우는 이후 경계할 상황이 다릅니다. 이름은 상대가 실제 고객을 아는 듯한 인상을 만드는 재료가 될 수 있습니다. 이메일 주소와 휴대전화번호가 결합되면 주문 확인, 결제 오류, 환불 처리, 배송 지연을 가장한 연락이 더 그럴듯해질 수 있습니다. 배송정보에는 상품을 보내기 위해 사용한 주소나 배송 관련 정보가 포함될 수 있으므로, 회사가 보낸 개인별 안내에서 자신에게 해당하는 항목을 직접 확인해야 합니다.

주문조회 API가 사건의 중심인 이유

API는 앱과 웹, 주문 처리 시스템이 필요한 데이터를 정해진 방식으로 주고받게 하는 연결 지점입니다. 온라인 쇼핑에서는 주문 상태, 배송 처리, 고객 문의처럼 여러 기능이 이 연결을 이용합니다. 이번 사건에서 확정된 연결고리는 주문정보를 조회하는 연동 기능과 그 기능에 대한 외부의 비정상 접근입니다. 따라서 대응의 초점도 조회 요청을 누가, 어떤 조건에서, 얼마나 반복했는지 추적하고 허용되지 않은 접근 경로의 차단에 맞춰집니다.

API라는 단어만으로 특정 취약점이나 인증 우회 방식을 단정할 수는 없습니다. 이번 원고에서는 회사가 공개한 ‘비정상 접근’, ‘주문정보 조회 연동 기능’, ‘접근 경로 차단’이라는 사실을 기준으로 사건을 설명합니다. 기술 담당자는 이 범위에서 인증과 권한 확인, 요청량 제한, 비정상 조회 탐지, 응답 데이터 최소화, 조회 로그 보존이 제대로 작동했는지를 점검할 수 있습니다. 이는 공격 재현이 아니라 동일한 유형의 과도한 조회와 권한 밖 접근을 발견하기 위한 방어 점검입니다.

고객 안내와 회사 조치

29CM은 비정상 접근을 인지한 뒤 해당 경로를 차단하고 관계 기관에 신고했습니다. 개인정보가 유출된 고객에게는 구체적인 유출 항목과 2차 피해 예방 방법을 별도로 안내했습니다. 홈페이지에는 본인 인증을 거쳐 유출 여부와 세부 항목을 확인하는 기능을 마련했고, 운영 기간을 공지 게시일부터 30일로 정했습니다. 이 확인 절차는 자신이 어느 집단에 속하는지 판단하는 기준이 됩니다.

회사는 주문 내역을 언급하며 결제·환불·배송 오류를 안내하는 문자, 전화, 이메일을 특히 경계해 달라고 요청했습니다. 29CM은 문자나 이메일로 비밀번호 또는 인증번호 입력을 요구하지 않는다고 안내했습니다. 따라서 연락 내용이 실제 주문과 맞아 보이더라도 비밀번호, 문자 인증번호, 앱 승인처럼 계정 통제권을 넘기는 행동을 요구한다면 응하지 않고 공식 앱이나 홈페이지의 고객센터 경로에서 다시 확인해야 합니다.

안내를 받은 고객의 점검 순서

1. 29CM 앱이나 주소를 직접 입력해 연 공식 홈페이지에서 개인정보 유출 공지를 찾고, 본인 확인을 거쳐 자신의 유출 항목을 확인합니다.
2. 주문번호나 상품명을 언급하는 문자·전화·이메일이 와도 그 연락 안의 링크나 번호를 사용하지 않고 공식 고객센터 경로에서 내용을 다시 확인합니다.
3. 비밀번호, 문자 인증번호, 일회용 비밀번호, 앱 승인 입력을 요구하면 중단합니다. 29CM의 안내 기준과 다른 요구입니다.
4. 다른 사이트에서 같은 비밀번호를 사용했다면 해당 서비스의 비밀번호를 서로 다르게 변경합니다. 변경은 검색광고나 메시지 링크가 아니라 각 서비스의 공식 앱·사이트에서 진행합니다.
5. 배송 요청사항에 공동현관 비밀번호나 출입 방법처럼 지금도 유효한 정보가 들어 있었다면 관리사무소 또는 출입 시스템의 정상 절차에 따라 바꾸고, 이후 배송 메모에는 꼭 필요한 내용만 남깁니다.

피싱 연락을 가르는 기준

이번 사고 뒤 가장 현실적인 경계 지점은 노출된 정보가 주문 관련 연락의 신뢰도를 높이는 데 쓰이는 상황입니다. 이름, 이메일, 휴대전화번호, 배송정보를 아는 상대가 연락한다고 해서 29CM나 택배사라는 뜻은 아닙니다. 연락의 진위를 가르는 기준은 상대가 이미 제시한 정보가 아니라, 이용자가 독립적으로 찾은 공식 채널에서 같은 내용을 확인할 수 있는지입니다.

‘배송 주소 오류’, ‘환불 계좌 확인’, ‘결제 취소’, ‘추가 배송비’처럼 즉시 행동을 재촉하는 표현이 나오면 대화를 멈추고 주문 내역을 직접 열어 확인하는 편이 좋습니다. 링크를 누르거나 앱을 설치하기 전, 공식 앱의 주문 상세와 고객센터 공지를 먼저 살펴야 합니다. 계정 비밀번호나 인증번호를 전달하지 않았더라도 카드정보를 입력했거나 송금했다면 해당 카드사·금융회사에 즉시 연락해 이용 정지와 거래 확인 절차를 진행해야 합니다.

운영 조직의 방어 점검

쇼핑·배송 서비스를 운영하는 조직은 이번 사건을 주문조회 API의 방어 기준을 재점검하는 계기로 삼을 수 있습니다. 먼저 외부와 연결된 주문 관련 API 목록과 호출 주체를 정리하고, 고객·판매자·배송 파트너·내부 상담 도구가 각각 어떤 항목을 조회할 수 있는지 권한을 분리해야 합니다. 한 계정이나 한 연결에서 짧은 시간에 많은 주문을 조회하거나 순차적으로 식별자를 바꾸는 패턴은 정상 업무와 구분해 탐지할 수 있어야 합니다.

응답 데이터는 화면과 업무에 꼭 필요한 항목으로 줄이고, 목적이 끝난 토큰과 연동 권한은 회수하는 운영이 필요합니다. 차단 뒤에는 같은 요청이 다른 계정, IP 대역, API 키, 사용자 에이전트로 이동하는지 확인해야 합니다. 고객 통지에 쓰는 목록과 실제 로그의 범위도 맞춰 보아야 합니다. 이러한 점검은 피해 규모를 추정하기 위한 일반론이 아니라, 주문조회 연동 기능에서 비정상 접근이 확인된 이번 사건의 구조에 맞춘 방어 항목입니다.

사건의 의미

29CM 사고의 핵심은 주문정보를 조회하는 연결 지점에서 비정상 접근이 발생했고, 그 결과 이름 13만8,841건과 연락처·배송정보가 포함된 2만1,011건이 외부에 노출됐다는 점입니다. 회사는 접근 경로 차단, KISA·개인정보보호위원회 신고, 대상 고객 개별 안내, 30일간의 본인 확인 기능 운영을 대응으로 제시했습니다.

이용자는 결제정보와 계정정보가 유출 항목에 포함되지 않았다는 안내를 ‘아무 조치가 필요 없다’는 뜻으로 받아들이기보다, 자신에게 노출된 항목에 맞춰 대응 범위를 정하면 됩니다. 공식 경로에서 유출 항목을 확인하고, 주문을 언급하는 연락을 독립적으로 검증하며, 재사용 비밀번호와 배송 메모의 공동현관 정보를 정리하는 순서가 실질적인 출발점입니다.