SSG닷컴 개인정보 유출, API 취약점으로 고객정보가 노출된 이유

온라인 쇼핑몰에서 상품을 주문하고 배송지를 입력하는 일은 이제 일상적입니다.

그런데 평소 이용하던 쇼핑몰에서 개인정보가 유출됐다는 소식을 듣는다면 어떨까요?

2026년 11월 6일, SSG닷컴에서 외부인이 일부 고객의 개인정보를 무단으로 조회한 사실이 알려졌습니다.

이번 사고는 쇼핑몰의 API(응용프로그램 인터페이스)에서 발생한 보안 취약점이 악용된 것으로 파악됐습니다.

유출된 정보는 대부분 고객 이름과 내부 식별용 고객번호이며, 일부 고객의 전화번호와 주소도 포함된 것으로 보도됐습니다.

다만 정확한 피해 인원은 공개되지 않았고, 11월 6일 보도 시점까지 추가 피해 사례는 확인되지 않았습니다. 뉴스핌+1

API란 무엇이고, 쇼핑몰에서는 왜 이런 일이 발생할 수 있는 걸까요?

SSG닷컴 개인정보 유출, 무슨 일이 발생했을까?

SSG닷컴은 2026년 11월 4일 일부 고객의 개인정보가 외부에 노출된 사실을 파악했습니다.

이후 보안 조치를 강화하고 관계기관에 신고했습니다.

11월 6일에는 개인정보 유출이 확인된 고객에게 개별적으로 사고 사실을 알렸습니다.

주요 내용을 정리하면 다음과 같습니다.

구분	확인된 내용
사고 인지	2026년 11월 4일
KISA 신고	11월 5일
개인정보보호위원회 신고	11월 6일
고객 통지	11월 6일
침해 경로	API 취약점을 이용한 비인가 접근
주요 유출 정보	고객 이름, 내부 식별용 고객번호
일부 추가 유출 정보	전화번호, 주소
정확한 유출 인원	공개되지 않음
추가 피해	보도 시점까지 확인되지 않음

SSG닷컴은 외부인이 API의 보안 취약점을 이용해 권한 없이 고객정보를 조회한 것으로 파악했다고 밝혔습니다.

사고 인지 이후 추가적인 보안 강화 조치를 진행했으며, 피해 예방과 재발 방지를 위해 대응하고 있다고 설명했습니다. 조선비즈+1

정확히 몇 명의 정보가 유출됐을까?

11월 6일 기준 정확한 유출 인원은 공개되지 않았습니다.

일부 보도에서는 SSG닷컴 측이 유출 규모가 크지 않다고 설명했지만, 구체적인 숫자는 제시되지 않았습니다.

따라서 전체 회원의 정보가 유출됐다고 단정하거나, 반대로 피해가 극히 제한적이라고 판단하는 것은 적절하지 않습니다.

실제 유출 규모와 세부 경위는 후속 조사 결과를 확인할 필요가 있습니다.

API란 무엇이고 쇼핑몰에서 어떤 역할을 할까?

이번 사고를 이해하려면 먼저 API가 무엇인지 알아야 합니다.

API는 Application Programming Interface의 약자로, 서로 다른 소프트웨어가 정해진 방식으로 기능이나 데이터를 주고받을 수 있도록 하는 연결 수단입니다.

이름은 어렵지만 일상에서 사용하는 대부분의 앱과 웹사이트에 활용되는 기술입니다.

온라인 쇼핑몰을 예로 들어보겠습니다.

사용자가 스마트폰에서 상품을 검색하면 쇼핑몰 앱은 서버에 상품 목록을 요청합니다.

서버는 검색 조건에 맞는 상품 정보를 조회하고 앱에 전달합니다.

앱은 전달받은 데이터를 화면에 표시합니다.

이 과정에서 앱과 서버가 정보를 주고받는 데 API가 사용될 수 있습니다.

쇼핑몰에서는 어떤 API를 사용할까?

대표적인 예시는 다음과 같습니다.

상품 목록이나 상세 정보를 불러오는 API
장바구니에 상품을 추가하는 API
주문 내역을 조회하는 API
배송지를 등록하거나 수정하는 API
회원정보를 확인하는 API

예를 들어 사용자가 주문 내역 화면을 열면 앱은 서버에 해당 사용자의 주문정보를 요청할 수 있습니다.

이때 서버는 요청한 사용자가 실제로 해당 주문정보를 볼 권한이 있는지 확인해야 합니다.

API는 데이터를 전달하는 통로이면서 동시에 어떤 사용자가 어떤 정보에 접근할 수 있는지 통제해야 하는 지점이기도 합니다.

API 취약점이 있으면 개인정보가 어떻게 유출될까?

API가 정상적으로 작동한다면 사용자는 자신에게 허용된 정보만 조회할 수 있어야 합니다.

예를 들어 A라는 고객이 로그인해 주문 내역을 확인했다면 A 고객의 주문만 보여야 합니다.

그런데 API의 보안 설정이나 접근 권한 검사에 문제가 있다면 다른 고객의 정보에 접근할 수 있는 위험이 생깁니다.

이는 API에서 발생할 수 있는 대표적인 보안 문제 중 하나입니다.

인증과 인가는 무엇이 다를까?

API 보안을 이해할 때 중요한 개념이 인증(Authentication)과 인가(Authorization)입니다.

인증은 사용자가 누구인지 확인하는 과정입니다.

예를 들어 로그인할 때 비밀번호나 패스키를 확인하는 것이 인증에 해당합니다.

인가는 인증된 사용자가 특정 데이터나 기능에 접근할 권한이 있는지 확인하는 과정입니다.

로그인한 사용자가 자신의 주문 내역을 조회하는 것은 허용되지만, 다른 고객의 주문 내역을 마음대로 조회해서는 안 됩니다.

구분	확인하는 내용
인증	이 요청을 보낸 사용자는 누구인가?
인가	이 사용자가 해당 정보에 접근해도 되는가?

개발 과정에서 인증이나 인가가 올바르게 적용되지 않으면 개인정보가 노출될 수 있습니다.

실제로 이런 공격이 가능할까?

예를 들어 쇼핑몰의 고객정보 조회 API가 있다고 가정해 보겠습니다.

정상적인 시스템이라면 고객 A가 고객 B의 정보를 요청하더라도 서버가 이를 거부해야 합니다.

하지만 접근 권한을 제대로 확인하지 않으면 의도하지 않은 고객정보가 반환될 수 있습니다.

이와 같은 문제는 보안 분야에서 ‘객체 수준 인가 취약점(BOLA)’이라고 불리기도 합니다.

OWASP API Security Top 10에서도 객체 수준 인가 문제를 주요 API 보안 위험으로 분류하고 있습니다.

다만 여기서 주의해야 할 점이 있습니다.

SSG닷컴 사고에서 실제로 어떤 API에 어떤 기술적 결함이 존재했는지는 공개되지 않았습니다.

따라서 이번 사고가 반드시 BOLA 취약점 때문에 발생했다고 단정할 수는 없습니다.

앞서 설명한 내용은 API에서 개인정보가 노출될 수 있는 일반적인 원리를 이해하기 위한 예시입니다.

고객 이름과 고객번호만 유출돼도 위험할까?

이번 사고에서 대부분 유출된 정보는 고객 이름과 내부 식별용 고객번호로 알려졌습니다.

고객번호는 쇼핑몰이 회원이나 고객을 구분하기 위해 내부적으로 부여하는 식별값입니다.

예를 들어 같은 이름을 가진 고객이 여러 명이라도 내부 고객번호를 이용하면 서로 다른 계정을 구분할 수 있습니다.

고객번호가 노출됐다고 해서 반드시 계정에 로그인하거나 결제할 수 있는 것은 아닙니다.

하지만 고객번호도 다른 정보와 결합되면 개인을 식별하거나 특정 고객을 대상으로 접근하는 데 활용될 수 있습니다.

이름과 고객번호가 유출된 경우

이름과 내부 고객번호만으로 곧바로 금융 피해가 발생한다고 단정할 수는 없습니다.

그러나 공격자가 해당 정보를 다른 경로에서 확보한 정보와 결합할 가능성은 있습니다.

특히 고객번호를 이용해 추가 정보를 조회할 수 있는 취약점이 다른 곳에도 존재한다면 위험이 커질 수 있습니다.

이런 이유로 기업은 전화번호나 주민등록번호뿐 아니라 내부에서 사용하는 식별값도 적절하게 보호해야 합니다.

전화번호와 주소까지 유출된 경우

일부 고객의 전화번호와 주소도 노출됐다는 보도가 있었습니다.

이러한 정보가 유출됐다면 스팸이나 피싱, 개인정보를 이용한 사칭 등에 주의할 필요가 있습니다.

예를 들어 공격자가 고객의 이름과 전화번호, 쇼핑몰 이용 사실을 알고 있다면 실제 쇼핑몰에서 보낸 것처럼 보이는 메시지를 만들 수 있습니다.

하지만 이번 사고로 실제 피싱이나 금전 피해가 발생했다는 사실은 11월 6일 보도 시점까지 확인되지 않았습니다.

가능한 위험과 이미 발생한 피해는 구분해서 이해하는 것이 중요합니다.

개인정보 유출 이후 택배·환불 사기를 조심해야 하는 이유

온라인 쇼핑몰에서 개인정보 유출 사고가 발생하면 특히 주의해야 할 것이 쇼핑몰을 사칭한 연락입니다.

공격자는 개인정보를 활용하거나 최근 사고 뉴스를 악용해 이용자에게 접근할 수 있습니다.

대표적으로 다음과 같은 유형을 생각해 볼 수 있습니다.

1. 배송 오류를 사칭하는 메시지

“배송지 주소에 문제가 있어 상품을 전달할 수 없습니다.”

이러한 내용의 문자를 보내고 가짜 배송정보 수정 페이지로 이동하도록 유도할 수 있습니다.

실제 주소와 이름이 포함되어 있다면 사용자가 정상적인 안내라고 믿기 쉬워집니다.

2. 환불을 사칭하는 메시지

“개인정보 유출 피해 보상을 위해 환불을 진행합니다.”

사고 관련 보상을 안내한다면서 카드번호나 계좌 비밀번호 등을 요구하는 방식입니다.

실제 기업이 보상 절차를 진행하더라도 문자로 받은 출처 불명의 링크에 금융정보를 입력해서는 안 됩니다.

3. 계정 보안 점검을 사칭하는 메시지

“계정이 위험하니 비밀번호를 다시 등록하세요.”

이런 메시지는 정상적인 보안 안내처럼 보일 수 있습니다.

하지만 공격자가 만든 가짜 로그인 페이지라면 입력한 계정정보가 탈취될 수 있습니다.

이러한 수법은 개인정보 유출 사고 이후 발생할 수 있는 일반적인 2차 피해 유형입니다.

SSG닷컴 사고로 실제 위와 같은 사기가 발생했다고 확인된 것은 아닙니다.

SSG닷컴 이용자는 지금 무엇을 확인해야 할까?

SSG닷컴을 이용하고 있다면 우선 개인정보 유출 안내를 받았는지 확인하는 것이 좋습니다.

회사는 11월 6일 개인정보 유출이 확인된 고객에게 개별 통지를 진행했다고 밝혔습니다.

다만 안내를 받지 않았다는 사실만으로 자신의 정보가 절대 유출되지 않았다고 단정할 필요는 없습니다.

추가 확인이 필요하다면 공식 고객센터를 이용하세요.

1. 개인정보 유출 안내 확인하기

SSG닷컴에서 받은 문자나 이메일 중 개인정보 유출과 관련된 안내가 있는지 확인합니다.

단, 메시지에 포함된 링크를 무조건 열기보다는 공식 앱이나 웹사이트에서 안내 내용을 확인하는 것이 안전합니다.

특히 개인정보를 다시 입력하라는 안내가 있다면 공식 고객센터를 통해 진위를 확인하세요.

2. 공식 고객센터에 문의하기

SSG닷컴 공식 홈페이지는 다음 주소에서 접속할 수 있습니다.SSG닷컴 공식 홈페이지

공식 고객센터에서는 계정이나 개인정보 처리에 관한 문의를 진행할 수 있습니다.SSG닷컴 고객센터

SSG닷컴 고객센터의 안내 전화번호는 1577-3419입니다. SSG.COM

유출 대상 여부나 본인에게 해당하는 유출 정보가 무엇인지 확인하고 싶다면 공식 경로를 이용하는 것이 좋습니다.

3. 최근 로그인과 주문 내역 확인하기

본인이 하지 않은 주문이나 계정정보 변경이 있는지 확인해 보세요.

특히 등록된 배송지나 연락처가 의도하지 않게 변경되었다면 추가 점검이 필요합니다.

다만 이번 사고에서 비밀번호가 유출됐다는 사실은 공개적으로 확인되지 않았습니다.

따라서 개인정보 유출 사실만으로 계정 로그인 정보가 모두 탈취됐다고 판단할 필요는 없습니다.

4. 필요하다면 비밀번호 변경하기

SSG닷컴 계정에 의심스러운 접근이 있었거나 다른 서비스와 동일한 비밀번호를 사용하고 있다면 비밀번호 변경을 고려할 수 있습니다.

서로 다른 사이트에서 같은 비밀번호를 반복해서 사용하면 한 곳에서 유출된 비밀번호가 다른 계정의 침해로 이어질 수 있기 때문입니다.

가능하다면 계정마다 고유한 비밀번호를 사용하는 것이 좋습니다.

5. 쇼핑몰을 사칭한 연락 주의하기

SSG닷컴 직원이나 배송 담당자를 사칭하면서 인증번호, 카드 비밀번호 또는 계좌정보를 요구한다면 응하지 마세요.

특히 개인정보 유출 사고를 해결해 주겠다며 원격제어 앱을 설치하라고 요구하는 경우 주의해야 합니다.

공식 앱과 고객센터를 통해 사실 여부를 확인하는 것이 안전합니다.

‘털린 내 정보 찾기’ 서비스로 확인할 수 있을까?

개인정보 유출 뉴스를 접하면 ‘털린 내 정보 찾기’ 서비스를 이용하는 사람도 있습니다.

이 서비스는 개인정보보호위원회와 한국인터넷진흥원이 제공하는 계정정보 유출 확인 서비스입니다.

다크웹 등에서 유통되는 계정정보가 유출되었는지 확인하는 데 활용할 수 있습니다.털린 내 정보 찾기 서비스

다만 이 서비스에는 중요한 한계가 있습니다.

이번 SSG닷컴 사고의 피해 대상인지 직접 조회하거나, 내부 고객번호가 유출됐는지 확인하는 서비스는 아닙니다.

따라서 이 서비스에서 유출된 계정정보가 발견되지 않았더라도 이번 사고와 무관하다고 단정할 수는 없습니다.

SSG닷컴 사고의 유출 대상 여부는 회사의 공식 안내를 통해 확인해야 합니다.

쇼핑몰은 API 보안을 어떻게 강화해야 할까?

API는 온라인 쇼핑몰에서 중요한 역할을 합니다.

상품을 조회하고, 주문 내역을 확인하고, 결제를 처리하는 등 다양한 기능이 API를 통해 제공될 수 있기 때문입니다.

따라서 API 보안은 단순히 외부 해커를 막는 문제를 넘어 고객정보에 접근할 수 있는 범위를 정확하게 통제하는 문제이기도 합니다.

기업이 고려해야 할 주요 보호 조치는 다음과 같습니다.

사용자별 접근 권한 확인

API가 요청받은 데이터를 반환하기 전에 요청한 사용자에게 접근 권한이 있는지 확인해야 합니다.

로그인되어 있다는 이유만으로 다른 사람의 정보를 조회할 수 있어서는 안 됩니다.

불필요한 개인정보 반환 제한

앱 화면에 고객 이름만 필요하다면 해당 요청에 불필요한 주소나 연락처까지 포함할 이유가 없습니다.

API는 기능을 수행하는 데 필요한 정보만 반환하도록 설계하는 것이 좋습니다.

비정상적인 조회 탐지

짧은 시간에 비정상적으로 많은 고객정보 조회 요청이 발생한다면 이를 탐지하고 대응할 수 있어야 합니다.

다만 요청 횟수를 제한하는 것만으로 접근 권한 검사의 문제를 해결할 수는 없습니다.

보안 테스트와 취약점 점검

서비스를 출시하기 전뿐 아니라 운영 중에도 API의 인증 및 인가 정책을 점검해야 합니다.

예를 들어 일반 사용자 권한으로 다른 고객의 데이터에 접근할 수 없는지, 민감한 API가 적절하게 보호되고 있는지 확인하는 과정이 필요합니다.

이러한 조치는 특정 기업만의 문제가 아니라 고객정보를 처리하는 대부분의 온라인 서비스에 중요합니다.

API 취약점은 왜 발견하기 어려울까?

API는 겉으로 보이는 웹사이트 화면과 달리 사용자가 직접 확인하기 어려운 부분에서 동작합니다.

예를 들어 쇼핑몰에서 ‘주문 내역’ 버튼을 누르면 화면에는 주문 목록이 나타납니다.

하지만 그 뒤에서는 서버가 요청을 받고, 로그인 상태와 접근 권한을 확인하고, 필요한 데이터를 조회하는 과정이 진행됩니다.

이 과정 중 일부가 잘못 구현되어도 화면은 정상적으로 작동하는 것처럼 보일 수 있습니다.

특히 문제가 특정 계정이나 특정 요청 조건에서만 나타난다면 일반적인 기능 테스트만으로는 발견하기 어려울 수 있습니다.

따라서 기업은 사용자가 정상적인 절차로 기능을 사용할 수 있는지만 테스트할 것이 아니라, 권한이 없는 접근이 차단되는지도 함께 검증해야 합니다.

이번 SSG닷컴 사고 역시 API 보안의 중요성을 보여주는 사례입니다.

다만 공개된 정보만으로는 실제로 어떤 취약점이 존재했고, 공격자가 어떤 기술적 방법으로 이를 악용했는지 확정할 수 없습니다.

개인정보 유출로 실제 피해가 발생했다면?

개인정보 유출 이후 명의도용이나 계정 탈취 등 구체적인 피해가 발생했다면 관련 기록을 보관하는 것이 중요합니다.

의심스러운 메시지와 계정 변경 내역, 거래 기록 등을 보관하고 해당 서비스에 신고하세요.

개인정보 침해에 관한 상담이나 신고는 한국인터넷진흥원의 개인정보침해 신고센터를 이용할 수 있습니다.개인정보침해 신고센터

개인정보보호위원회도 개인정보에 관한 권리나 이익이 침해된 경우 해당 신고센터를 통해 상담과 신고를 진행할 수 있다고 안내합니다. 한국인터넷진흥원+1

금전 피해나 명의도용 등 범죄 피해가 확인된다면 관련 금융회사와 경찰에 신속하게 신고하는 것이 좋습니다.

SSG닷컴 개인정보 유출 사고에서 확인된 사실

이번 사고는 아직 모든 조사 결과가 공개된 상황은 아닙니다.

따라서 확인된 사실과 추가 확인이 필요한 내용을 구분할 필요가 있습니다.

항목	2026년 11월 6일 기준
개인정보 무단 조회	확인됨
API 취약점 악용	회사 설명 및 보도에서 확인
고객 이름·고객번호 노출	확인됨
일부 전화번호·주소 노출	보도됨
정확한 피해 인원	미공개
구체적인 API 취약점 유형	미공개
비밀번호·결제정보 유출	공개 자료에서 확인되지 않음
추가 피해	회사 측은 현재까지 확인되지 않았다고 설명
관계기관 신고	완료 발표
고객 개별 통지	진행 발표

향후 조사에 따라 사고의 상세 경위나 유출 범위가 추가로 확인될 수 있습니다.

온라인 쇼핑몰의 개인정보, 어떻게 보호해야 할까?

SSG닷컴 개인정보 유출 사고는 우리가 매일 이용하는 온라인 쇼핑몰에서도 API 보안 문제가 발생할 수 있다는 사실을 보여줍니다.

API는 사용자와 서버가 정보를 주고받도록 돕는 중요한 기술입니다. 하지만 접근 권한과 개인정보 보호가 제대로 적용되지 않으면 의도하지 않은 정보 노출로 이어질 수 있습니다.

이용자가 모든 기술적 보안 문제를 직접 막을 수는 없습니다. API 취약점의 발견과 수정은 서비스를 운영하는 기업의 책임입니다.

다만 사고 이후에는 개인정보 유출 안내를 확인하고, 계정의 이상 활동을 점검하며, 쇼핑몰을 사칭한 의심스러운 연락에 주의하는 것이 도움이 됩니다.

이번 사고에서 가장 중요한 것은 API 취약점으로 일부 고객정보가 무단 조회됐다는 사실과, 정확한 유출 규모 및 구체적인 기술적 원인은 아직 모두 공개되지 않았다는 점입니다.

개인정보 유출 뉴스를 접했을 때는 확인되지 않은 피해를 추측하기보다 공식 발표와 후속 조사 결과를 바탕으로 필요한 조치를 취하는 것이 좋겠습니다.