인증 무색한 보안사고, 토스페이먼츠·29CM 잇단 침해로 '관리체계 실효성' 도마 위

---

결제 플랫폼과 패션 이커머스에서 연이어 대규모 개인정보 유출 사고가 발생하면서, 기업의 정보보호 관리체계와 인증제도의 실효성에 대한 근본적인 의문이 제기되고 있다. 특히 ISMS-P 인증 획득 불과 2개월 만에 터진 29CM 사고는 '인증이 보안을 담보하는가'라는 뜨거운 논쟁을 촉발시켰다.

---

사례 1: 토스페이먼츠, 제3자 플랫폼發 연동키 유출

2026년 9월, 토스페이먼츠 가맹점에서 결제연동 플랫폼의 API 인증정보인 '연동키(Secret Key)'가 외부로 유출되어 결제정보가 노출되는 사고가 발생했다.

주목할 점은 토스페이먼츠 내부 시스템이 해킹당한 것이 아니라는 사실이다. 가맹점이 이용하는 제3자 플랫폼의 보안 취약점이 원인으로 확인됐다. 연동키가 유출되면 공격자는 해당 가맹점의 결제 내역 조회, 환불 처리, 심지어 부정 결제까지 시도할 수 있어 피해 범위가 광범위해질 수 있다.

이번 사고는 공급망(Supply Chain) 보안의 중요성을 다시 한번 환기시켰다. 본사의 보안 수준이 아무리 높아도, 협력사·가맹점·제3자 플랫폼 중 한 곳이라도 취약하면 전체 생태계가 위험에 노출된다.

---

사례 2: 29CM, ISMS-P 인증의 민낯

무신사 계열 패션 플랫폼 29CM에서는 고객 이름 13만 8,841건, 이름과 이메일 주소 포함 총 16만여 건의 개인정보가 유출됐다.

문제는 타이밍이다. 29CM는 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)을 획득한 지 불과 2개월 만에 이 사고를 겪었다. 업계에서는 "인증 심사 시점의 보안 수준과 실제 운영 환경 간 괴리가 크다"는 비판이 쏟아지고 있다.

전문가들은 ISMS-P 인증이 '특정 시점의 스냅샷'에 불과하며, 인증 획득 이후 지속적인 모니터링과 개선 활동이 뒷받침되지 않으면 무용지물이라고 지적한다.

---

공통 패턴: 외부 접점과 사후 관리의 허점

두 사고에서 발견되는 공통점은 명확하다.

구분	토스페이먼츠	29CM
침해 경로	제3자 플랫폼(외부)	자사 시스템(내부 추정)
핵심 원인	공급망 보안 미흡	인증 후 관리 소홀
공통점	외부 접점 관리 실패, 지속적 보안 모니터링 부재

기업들이 내부 시스템 보안에만 집중하고, API 연동 파트너·외주 개발사 등 외부 접점에 대한 통제권을 확보하지 못한 것이 근본 원인이다.

---

기업·기관 대응 방안

1. 제3자 위험 관리(TPRM) 체계 구축
- 협력사·가맹점 대상 정기 보안 점검 의무화
- API 키 주기적 갱신 및 접근 권한 최소화 원칙 적용

2. 인증 이후 상시 점검 체계 운영
- ISMS-P 인증을 '끝'이 아닌 '시작'으로 인식
- 실시간 이상 탐지 시스템(SIEM) 및 침해사고 대응 훈련 강화

3. 유출 대응 프로세스 고도화
- 72시간 내 개인정보보호위원회 신고, 정보주체 통지 절차 숙지
- 피해 확산 방지를 위한 즉각적 키 폐기·재발급 체계 마련

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

「개인정보의 안전성 확보조치 기준」 제6조(접근통제)

개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여해야 하며, 제3자 제공 시에도 접근통제 조치를 요구해야 한다. API 연동키 관리 소홀은 본 조항 위반에 해당할 수 있으며, ISMS-P 인증심사 시 '외부자 보안(2.6)' 통제항목에서 중점 점검 대상이다.

---

백남정 기자 | 개인정보보호 전문 데스크