G마켓 외부 서비스 API 취약점 악용, e쿠폰 무단 사용과 개인정보 유출

10월 30일유통·서비스

쉽게 말하면 쇼핑몰의 외부 연동 통로가 뚫려 e쿠폰 번호가 무단 사용됐고, 이름·전화번호·주소 등이 샜습니다.

일부 고객이 구매한 e쿠폰 핀번호가 제3자에게 무단 사용된 정황으로 사고가 드러났습니다. 회사는 외부 서비스 API 취약점을 악용한 비인가 접근이 원인이라고 설명했고, e쿠폰 피해액 전액과 추가 보상을 마쳤다고 밝혔습니다.

규모 피해 고객 수 미공개현황 피해 고객 보상 완료 · 원인과 피해 범위 조사 중(11/2 기준)

유출 고객 수와 피해액은 공개되지 않았습니다. 접근 기간은 보도마다 달라(10/27~30 vs 10/28~29) 경향신문 보도를 따랐습니다. 유출 항목은 회사 공지가 아니라 보도에서 확인했습니다.

G마켓 이용자(특히 e쿠폰을 구매한 사람). 유출 고객 수는 공개되지 않음

엠세이퍼 msafer.or.kr 또는 이동통신사 지점내 이름으로 가입된 통신서비스를 조회하고, 새 휴대폰 개통을 미리 막습니다. 새 폰을 직접 개통할 때는 제한을 풀어야 합니다.
피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
사칭 문자·전화가 늘 수 있으니 아래 ‘사칭 문자·전화 유형’을 함께 보세요.
G마켓을 사칭한 문자·이메일의 링크는 누르지 마세요(회사 안내).

원인(회사 설명): 외부 서비스의 응용프로그램 인터페이스(API) 취약점을 악용한 내부 서비스 비인가 접근
유출 항목: 고객 이름, 아이디, e쿠폰 핀번호, 전화번호, 이메일, 주소. 로그인 비밀번호는 포함되지 않았다고 보도됨
접근 구간: 10/27 오후 2시 11분~10/30 오후 8시 58분으로 보도됨(경향신문). 28~29일이라는 보도도 있어 엇갈림
규모: 유출 고객 수, 무단 사용 총 피해액, 보상 총액은 공개되지 않음
보상: e쿠폰 무단 사용 피해는 액면가 기준 전액 보상, 피해가 없는 유출 고객에게도 스마일캐시 1만 원 지급. 상품권 보유 고객의 e쿠폰 핀번호 교체 진행

이 사고는 고객의 e쿠폰이 무단 사용된 뒤에야 드러났습니다. 피해 신고보다 먼저 비정상 호출과 이상 사용을 잡아낼 수 있는지 점검해 볼 만합니다.
외부 서비스와 연동되는 API는 인증·호출 한도·접근 범위를 별도로 관리하는 대상으로 볼 만합니다.

‘오늘도 무사히’는 민간 기업 Sprout Security가 운영하는 정보 제공 사이트이며 정부 기관이 아닙니다.