GS 그룹 API 해킹, 166만 명 개인정보 유출… 대규모 2차 피해 우려

GS SHOP과 GS25가 동시에 해킹 공격을 받아 총 166만 명의 개인정보가 유출되는 초유의 사태가 발생했다. 주문정보 API 취약점을 악용한 이번 공격으로 이름 등 개인식별정보가 대량 노출되면서 2차 피해에 대한 우려가 커지고 있다.

---

사고 개요

2026년 GS 그룹 계열사인 GS SHOP과 GS25에서 대규모 해킹 사고가 발생했다. 공격자는 양사의 주문정보 API(Application Programming Interface) 취약점을 악용해 GS SHOP에서 158만여 명, GS25에서 7만여 명 등 총 166만 명의 개인정보를 탈취한 것으로 확인됐다.

유출된 정보에는 이름을 포함한 개인식별정보가 포함되어 있으며, 추가적인 유출 항목에 대해서는 현재 조사가 진행 중이다. 전문가들은 유출된 정보가 스미싱, 피싱, 명의도용 등 2차 범죄에 악용될 가능성이 높다고 경고하고 있다.

---

사례 분석: API 취약점의 치명적 위험성

이번 사고의 핵심은 API 보안 취약점이다. API는 서로 다른 시스템 간 데이터를 주고받는 인터페이스로, 최근 디지털 전환 가속화와 함께 그 중요성이 급증하고 있다. 그러나 API는 대량의 데이터에 직접 접근할 수 있어, 한 번 뚫리면 피해 규모가 기하급수적으로 확대되는 특성이 있다.

특히 주문정보 API는 고객의 이름, 연락처, 배송지 등 민감한 개인정보를 처리하는 만큼 철저한 보안이 요구된다. 이번 사고는 인증 우회, 권한 검증 미흡, 비정상 호출 탐지 실패 등 복합적인 보안 허점이 작용한 것으로 추정된다.

---

공통 패턴 및 시사점

최근 발생한 개인정보 유출 사고들은 공통적인 패턴을 보인다.

구분	주요 특징
공격 대상	대량 데이터 처리 API
취약점	인증·인가 체계 미흡
피해 규모	수십만~수백만 명 단위
2차 위험	스미싱, 피싱, 명의도용

기업들이 서비스 확장에 집중하면서 보안 점검이 후순위로 밀리는 현상이 반복되고 있다. 특히 계열사 간 시스템 연동 시 보안 표준이 통일되지 않아 취약점이 발생하는 사례가 늘고 있다.

---

기업·기관 대응 방안

이번 사고를 계기로 기업들은 다음과 같은 보안 강화 조치를 시급히 이행해야 한다.

• API 보안 점검 강화: 모든 API에 대한 인증·인가 체계 재점검 및 취약점 진단 실시
• 이상 탐지 시스템 고도화: 비정상적인 대량 호출, 권한 외 접근 시도 실시간 탐지
• 침해사고 대응체계 정비: 사고 인지 즉시 유관기관 신고 및 이용자 통지 절차 확립
• 정기적 모의해킹 수행: 외부 전문기관을 통한 주기적 보안 점검 의무화

개인정보보호위원회는 사고 경위를 조사 중이며, 개인정보보호법 위반 여부에 따라 과징금 등 행정처분이 예상된다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.9.4 전자거래 및 핀테크 보안]

>

API를 통한 전자거래 시 접근통제, 인증, 암호화, 로깅 등 보안대책을 수립·이행해야 한다. 특히 외부 연동 API는 ①API 게이트웨이를 통한 중앙 관리, ②OAuth 2.0 등 표준 인증 프로토콜 적용, ③호출 빈도 제한(Rate Limiting), ④민감정보 마스킹 처리가 필수 점검 항목이다. 개인정보보호법 제29조(안전조치의무)와 연계하여 기술적·관리적 보호조치 이행 여부가 평가된다.

---

백남정 기자 (개인정보보호 전문)