티빙·GS리테일 API 해킹, 166만 명 정보 유출…수십억 과징금 예고

국내 대형 플랫폼 2곳이 동시다발적 API 공격을 받아 166만 명의 개인정보가 유출되는 초유의 사태가 발생했다. 개인정보보호위원회는 전면 조사에 착수했으며, 업계에서는 각 기업에 수십억 원대 과징금이 부과될 것으로 전망하고 있다.

---

사건 개요

OTT 플랫폼 티빙과 유통 대기업 GS리테일이 API(응용프로그래밍인터페이스) 취약점을 노린 해커의 공격을 받아 대규모 개인정보 유출 사고가 발생했다. 유출된 정보는 이름, 연락처 등 총 166만 명에 달하는 것으로 파악됐다.

공격자들은 크리덴셜 스터핑(Credential Stuffing)과 파라미터 변조(Parameter Tampering) 기법을 복합적으로 활용했다. 크리덴셜 스터핑은 다크웹 등에서 확보한 유출 계정 정보를 무차별 대입하는 방식이며, 파라미터 변조는 API 요청값을 임의로 변경해 타인의 정보에 접근하는 수법이다.

---

사례별 분석

티빙

OTT 서비스 특성상 간편 로그인과 소셜 연동 기능이 활성화돼 있어 크리덴셜 스터핑 공격에 취약했던 것으로 분석된다. 특히 로그인 시도 횟수 제한이나 이상 징후 탐지 체계가 미흡했다는 지적이 나온다.

GS리테일

편의점 GS25, 슈퍼마켓 GS더프레시 등 다양한 채널의 통합 멤버십을 운영하는 과정에서 API 보안 점검이 소홀했던 것으로 보인다. 회원 조회 API에서 파라미터 변조를 통한 타 회원 정보 열람이 가능했던 정황이 포착됐다.

---

공통 패턴: API 보안의 구조적 허점

두 사건은 API 보안 관리 체계의 구조적 부실이라는 공통점을 드러낸다.

첫째, 인증·인가 체계 미비다. API 호출 시 사용자 권한을 철저히 검증하지 않아 타인 정보 접근이 가능했다.

둘째, 이상 행위 탐지 부재다. 단시간 내 수천 건의 로그인 시도나 비정상적 API 호출 패턴을 실시간으로 감지하지 못했다.

셋째, 제3자 보안 점검 미실시다. 정기적인 모의해킹이나 취약점 진단이 이뤄지지 않았다.

---

향후 전망 및 기업 대응 방안

개인정보보호위원회는 개인정보보호법 제29조(안전조치의무) 위반 여부를 중점 조사할 예정이다. 유출 규모와 기업 매출을 고려할 때 기업당 수십억 원대 과징금 부과가 유력하다.

전문가들은 기업들에게 다음과 같은 대응 방안을 권고한다.

• API 게이트웨이 도입 및 호출량·패턴 모니터링 강화
• 다중인증(MFA) 및 CAPTCHA 적용으로 크리덴셜 스터핑 차단
• 제로 트러스트(Zero Trust) 관점의 API 접근 권한 재설계
• 연 1회 이상 외부 모의침투 테스트 의무화

개인정보보호 업계 관계자는 "디지털 전환이 가속화될수록 API는 해커들의 주요 공격 표면이 된다"며 "사후 대응이 아닌 설계 단계부터 보안을 내재화하는 'Security by Design' 접근이 필수"라고 강조했다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제29조(안전조치의무)와 개인정보의 안전성 확보조치 기준(고시) 제5조~제7조가 핵심이다. 특히 ▲접근 권한 관리 ▲접근 통제 ▲접속기록 보관 및 점검 항목에서 API 보안 통제가 어떻게 적용되는지 숙지해야 한다. ISMS-P 인증 기준 중 2.6.2 정보시스템 접근 및 2.9.4 로그 및 접속기록 관리 통제항목과 연계하여 학습하면 실무형 문제 대응에 유리하다.

---

백남정 기자 privacywatch@example.com