2026년 8월 30일 작성 · 최신 보도 8월 30일 13시 기준
핵심 요약: 2026년 8월 30일, 패션 플랫폼 29CM에서 고객 개인정보 약 16만 건이 외부로 유출된 사실이 확인됐습니다. 유출 경로는 주문정보 조회 API(응용프로그램 인터페이스)로, 회사 측은 확인 즉시 해당 접근 경로를 차단하고 한국인터넷진흥원(KISA)에 자진 신고했습니다. 결제 정보와 계정 비밀번호는 유출되지 않았지만, 이름과 배송 정보가 포함돼 스미싱 등 2차 피해 가능성이 제기되고 있습니다.
무슨 배경에서 나온 이야기인가
29CM는 무신사가 운영하는 온라인 패션 플랫폼으로, 비교적 높은 가격대의 브랜드와 큐레이션으로 인기를 끌어왔습니다. 2026년 8월 30일, 보안뉴스와 여러 매체의 보도에 따르면 외부에서 29CM의 주문정보 조회 API에 비정상적으로 접근해 고객 정보를 빼낸 사실이 드러났습니다. API는 서로 다른 소프트웨어가 데이터를 주고받는 통로인데, 이번에는 이 통로의 보안 설정이 충분하지 않아 정보 유출로 이어진 것으로 보입니다. 최근 국내에서는 따릉이(462만 건), 경남 경찰관 개인정보 유출 사건 등 잇따라 개인정보 사고가 발생하면서, 온라인 플랫폼의 데이터 보호 체계에 대한 우려가 커지고 있는 상황입니다.
확인된 내용
29CM가 공식 확인한 유출 규모는 총 15만 9,852건입니다. 세부 내역을 보면 이름만 노출된 경우가 13만 8,841건, 이름과 이메일 주소, 휴대전화 번호, 배송 정보(주소·연락처)가 함께 포함된 건이 2만 1,011건입니다. 회사 측은 결제 정보(카드 번호 등)와 아이디·비밀번호 등 계정 정보는 이번 유출 항목에 포함되지 않았다고 밝혔습니다. 유출이 확인된 직후 29CM는 해당 API의 외부 접근 경로를 차단했고, 한국인터넷진흥원(KISA)에 자진 신고했습니다. 일부 매체는 개인정보보호위원회에도 신고가 접수됐다고 전했습니다. 아직 외부 해킹인지 내부 소행인지, 특정 집단이 배후인지 등 구체적인 경위는 공식 조사가 진행 중입니다.
누가 어떤 영향을 받나
이번 사건의 직접 영향을 받는 고객은 주문 이력이 있는 29CM 이용자 중 약 16만 명입니다. 특히 2만 1,011명은 이름·전화번호·배송지까지 노출돼 스미싱(문자 사기)이나 피싱(가짜 사이트 유도)에 악용될 가능성이 있습니다. 예를 들어 ’29CM에서 추가 확인이 필요하다’는 문자나 이메일이 올 수 있고, 배송 사칭 택배 문자도 조심해야 합니다. 전체 29CM 가입자(수백만 명)의 계정 정보나 결제 수단이 털린 것은 아니지만, 일부 정보라도 2차 사기에 쓰일 수 있어 주의가 필요합니다. 회사 측은 개별 안내와 함께 피해 예방 수칙을 공지할 예정입니다.
앞으로 볼 지점
29CM와 무신사는 KISA 및 개인정보보호위원회와 협력해 정확한 경로와 추가 피해 여부를 조사 중입니다. 조사 결과에 따라 과징금이나 시정 명령 등 행정 제재가 내려질 가능성이 있습니다. 개인정보보호법상 10만 건 이상의 정보 유출 시 최대 3%의 과징금(매출 기준)이 부과될 수 있습니다. 또한 해당 API의 보안 취약점을 개선하는 조치가 뒤따를 전망입니다. 고객 입장에서는 앞으로 2~4주 이내에 피싱 메일이나 스미싱 시도가 늘어날 수 있으므로, 출처가 불분명한 링크는 함부로 누르지 않는 게 중요합니다.
이 주제와 관련해 미리 알아두면 좋은 정보입니다
함께 보면 좋은 글
자주 묻는 질문
Q. 내 정보가 유출됐는지 어떻게 확인하나요?
A. 29CM에서 이메일이나 앱 푸시로 개별 안내를 보낼 예정입니다. 공지가 오지 않았더라도 2026년 8월 이전에 주문한 이력이 있다면 29CM 고객센터나 공식 채널을 통해 확인할 수 있습니다.
Q. 유출된 정보로 카드 결제 도용이 가능한가요?
A. 회사 측은 결제 정보(카드 번호 등)는 유출되지 않았다고 밝혔습니다. 따라서 이번 유출만으로 직접적인 금전 피해는 어렵지만, 이름과 전화번호를 이용한 사기 문자(스미싱) 가능성은 있으므로 주의해야 합니다.
Q. 29CM 비밀번호를 바꿔야 하나요?
A. 비밀번호 자체는 유출 항목에 포함되지 않았지만, 같은 비밀번호를 다른 사이트에서도 사용 중이라면 변경을 권장합니다. 특히 29CM와 동일한 아이디·비밀번호를 타 사이트에 쓰고 있다면 우선 변경하는 것이 안전합니다.
Q. API 해킹이 무엇인가요?
A. API는 응용프로그램 간 데이터를 주고받는 인터페이스입니다. 쇼핑몰에서 주문 내역을 조회할 때 이 API가 사용됩니다. 이번 사건은 외부에서 이 API에 무단 접근해 데이터를 빼낸 것으로, 보안 설정이 미흡했거나 인증 절차가 우회된 것으로 추정됩니다.
Q. 앞으로 비슷한 사고를 막으려면 어떻게 해야 하나요?
A. 기업은 API 접근 권한을 최소화하고 정기적인 보안 점검을 해야 합니다. 사용자는 사이트마다 다른 비밀번호를 쓰고, 2단계 인증을 설정하는 것이 도움이 됩니다. 또한 의심스러운 문자나 이메일의 링크는 클릭하지 말고 공식 채널로 직접 확인하는 습관이 중요합니다.
참고 보도: 보안뉴스, 헤럴드경제, 네이트, 파이낸셜뉴스, gukjenews.com, 한국경제 등. 본 글은 공개된 보도 내용을 토대로 재구성한 해설이며, 기사 원문을 옮기지 않았습니다.
