티빙·GS리테일 API 해킹, 166만 명 정보 유출…플랫폼 보안 총체적 부실

---

국내 대표 OTT 플랫폼 티빙과 유통 대기업 GS리테일이 동시다발적 API 취약점 공격을 받아 166만 명의 개인정보가 유출되는 초유의 사태가 발생했다. 개인정보보호위원회는 전면 조사에 착수했으며, 대규모 과징금 부과가 예상된다.

---

사건 개요

CJ ENM 산하 OTT 서비스 티빙과 GS리테일 계열사(GS SHOP, GS25)에서 API(응용프로그램 인터페이스) 보안 취약점을 노린 해킹 공격이 발생했다. 이번 공격으로 이름, 연락처 등 총 166만 명의 개인정보가 외부로 유출된 것으로 확인됐다.

보안 전문가들에 따르면 이번 공격은 '크리덴셜 스터핑(Credential Stuffing)'과 API 파라미터 변조 기법이 복합적으로 활용된 것으로 추정된다. 공격자는 인증 절차가 미흡한 API 엔드포인트를 통해 대량의 회원 정보를 무단 조회한 것으로 파악됐다.

---

공통 취약점 분석

두 기업의 침해사고에서 발견된 공통적인 보안 허점은 다음과 같다.

첫째, API 인증·인가 체계의 부실이다. 사용자 식별값만으로 타인의 정보에 접근할 수 있는 BOLA(Broken Object Level Authorization) 취약점이 존재했던 것으로 보인다. 이는 OWASP API Security Top 10에서 1순위로 지목하는 대표적 위협이다.

둘째, 비정상 접근 탐지 시스템의 부재다. 단시간 내 대량의 API 호출이 발생했음에도 이를 실시간으로 감지하고 차단하는 체계가 작동하지 않았다. Rate Limiting, 이상행위 탐지 등 기본적인 방어 메커니즘이 갖춰지지 않은 셈이다.

셋째, 개인정보 암호화 조치 미흡이다. 유출된 정보에 평문 상태의 연락처가 포함된 점은 개인정보보호법 제29조(안전조치의무) 위반 소지가 크다.

---

예상 처분 및 파장

개인정보보호위원회는 이번 사안을 중대 침해사고로 분류하고 전면 조사에 돌입했다. 업계에서는 티빙과 GS리테일 각각에 수십억 원대 과징금이 부과될 가능성을 점치고 있다.

특히 개정 개인정보보호법에 따라 전체 매출액의 3%까지 과징금 부과가 가능해진 만큼, 두 기업의 연간 매출 규모를 고려하면 역대급 제재가 예고된다. 또한 정보 주체들의 집단소송 움직임도 감지되고 있어 기업 측의 부담은 더욱 커질 전망이다.

---

기업·기관 대응 방안

이번 사고를 계기로 플랫폼 기업들은 API 보안 점검을 최우선 과제로 삼아야 한다.

• API 게이트웨이 도입 및 엔드포인트별 접근통제 강화
• 토큰 기반 인증(OAuth 2.0) 및 요청별 권한 검증 체계 구축
• 실시간 모니터링 시스템을 통한 이상 트래픽 즉시 차단
• 연 1회 이상 모의해킹 및 취약점 진단 의무화
• 개인정보 최소 수집 원칙 준수 및 보유 데이터 암호화 재점검

개인정보보호위원회 관계자는 "API 기반 서비스가 확대되는 만큼 관련 보안 기준을 강화하는 방안을 검토 중"이라고 밝혔다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.6.2 정보시스템 접근통제]

>

API를 포함한 정보시스템 접근 시 식별·인증·인가 절차를 적용해야 하며, 특히 개인정보 처리 시스템에는 안전한 인증 및 접근통제 정책을 수립·이행해야 한다. 본 사례는 API 접근통제 미흡으로 인한 침해사고의 전형으로, 시험에서 'BOLA 취약점', 'API 보안 위협 유형', '접근통제 3요소(식별-인증-인가)'와 연계하여 출제될 가능성이 높다.

---

백남정 기자 privacywatch@example.com