[보안 이슈] 롯데 계열 ‘기프티엘’이 뚫렸습니다 — 환불 계좌번호까지 샜고, 노리는 건 ‘환불 사칭’ 전화입니다
롯데 계열 모바일 쿠폰 플랫폼 ‘기프티엘’이 해킹당해 고객의 이름·휴대전화번호·이메일에 더해 환불용 계좌번호까지 유출됐습니다.
안녕하세요, dailybetter입니다.
기프티콘을 선물받거나 환불해 본 적이 있다면 남 얘기가 아닙니다. 주민등록번호·비밀번호는 빠졌는데도 이 사건이 유독 성가신 이유는, 유출된 조합이 ‘돈 돌려드리겠다’는 전화를 진짜처럼 만들어 주기 때문입니다.
기프티엘에서 무슨 일이 있었나
기프티엘은 롯데그룹 계열사 스푼(주)이 운영하는 모바일 쿠폰 서비스입니다. 약 150개 브랜드, 3,000여 개 상품을 다루고 개인 선물뿐 아니라 기업 대량 발송·경품·임직원 복지 쿠폰까지 처리합니다. “가입한 기억도 없는데?” 싶어도, 회사 복지몰이나 경품 이벤트로 쿠폰을 받았다면 이미 내 정보가 등록돼 있었을 수 있습니다.
스푼은 10월 22일 외부의 비인가 접근(허가받지 않은 침입)으로 일부 고객 정보가 유출된 사실을 확인했다고 공지했습니다. 다만 정확한 피해 인원, 최초 침입 시점, 공격 방식은 공개하지 않았습니다. 회사는 공격 IP를 차단하고 접근 통제를 강화했으며, 유출 대상 고객에게는 문자메시지로 개별 통지 중입니다. 즉, 공식 확인 통로가 공개 웹페이지가 아니라 개별 문자라는 점을 알아두세요.
이런 ‘금융 연결 정보 유출’은 최근 유독 잦습니다. 계좌·금융 정보가 얽힌 산은캐피탈 등 금융사 동시 해킹 사건에서도 핵심 대응은 같았습니다 — 당황하지 않고, 유출 항목이 뭔지 정확히 아는 것.
유출된 4가지, 진짜 위험한 건 ‘환불 계좌번호’입니다
| 유출 항목 | 이것이 뭔가 | 왜 위험한가 |
|---|---|---|
| 이름 | 실명 | 사칭 전화에 “○○○ 고객님” 하고 내 이름을 정확히 부름 |
| 휴대전화번호 | 연락처 | 스미싱·보이스피싱이 날아올 직통 창구 |
| 이메일 | 주소 | 피싱 메일 타깃, 다른 사이트 계정 침입 단서 |
| 환불 계좌번호 | 쿠폰 환불받던 내 은행 계좌 | 이번 사건의 핵심 — “환불 처리” 사칭을 진짜처럼 만듦 |
주민등록번호·비밀번호·카드번호는 포함되지 않았습니다. 그래서 “내 명의로 대출이 실행된다”거나 “카드가 바로 긁힌다”는 위험은 낮습니다. 다만 네 가지가 한 세트로 털렸다는 게 문제의 본질입니다.
계좌번호가 샜다고 돈이 바로 빠지지는 않습니다
중요한 사실부터 짚겠습니다. 계좌번호 하나만으로는 내 통장에서 돈을 빼낼 수 없습니다. 출금에는 비밀번호·OTP·본인 인증이 필요하고, 그것들은 유출되지 않았습니다. “계좌번호가 샜으니 통장이 바로 털린다”는 공포는 사실과 다릅니다.
진짜 위험은 다른 데 있습니다. 공격자는 이제 내 이름 + 전화번호 + 환불받던 계좌번호를 동시에 쥐고 있습니다. 여기에 “기프티엘 환불팀입니다. ○○○님, 뒷자리 ××× 계좌로 환불 중 오류가…”라는 대본이 붙으면, 평소라면 끊었을 전화도 “내 정보를 다 아네?” 하며 믿게 됩니다. 이게 이름을 아는 보이스피싱의 무서운 점입니다. 수법은 보통 두 갈래입니다.
- 환불 사칭형: “환불이 잘못됐으니 되돌려 달라”며 엉뚱한 계좌로 송금을 유도하거나, 앱 설치로 원격 조종
- 인증 가로채기형: “본인 확인이 필요하다”며 문자 인증번호를 불러달라고 함 — 넘기는 순간 실제 금융 계정이 뚫림
지금 당장 해야 할 3가지
1. “기프티엘·환불” 관련 전화·문자는 전부 의심하세요. 특히 계좌·인증번호·앱 설치를 요구하면 100% 사기입니다. 정상 환불은 인증번호를 불러주거나 앱을 깔아야 진행되지 않습니다. 이상하면 끊고, 공식 고객센터 번호를 직접 찾아 내가 먼저 거세요.
2. 엠세이퍼(명의도용 방지 서비스)에 가입하세요. 내 명의로 휴대폰이 몰래 개통되는 걸 막는 무료 서비스로, 통신사 공용 ‘2단계 잠금장치’입니다. 가입 즉시 적용됩니다.
3. 유출 계좌 은행 앱에서 ‘입출금 알림’을 켜두세요. 계좌를 바꿀 필요는 없지만, 1원이라도 움직이면 즉시 알게 해두면 이상 거래를 가장 빨리 잡습니다. 실제 피해가 의심되면 112 또는 금융감독원 1332로 전화해 계좌 지급정지를 신청하세요 — 빠르면 몇 분 안에 동결됩니다.
자주 묻는 질문
Q. 기프티엘에서 문자가 왔는데 진짜 유출 통지인가요, 피싱인가요?
스푼이 MMS로 개별 통지 중이라 진짜일 수 있습니다. 다만 통지 문자 안의 링크는 누르지 마세요. 진짜 공지조차 사칭과 구분이 어렵기 때문에, 내용은 포털에서 ‘기프티엘 개인정보 유출’을 직접 검색해 교차 확인하는 게 안전합니다.
Q. 가입한 적도 없는데 왜 제 정보가 있나요?
회사 복지몰, 경품 이벤트, 지인이 보낸 선물 쿠폰 수령 과정에서 등록됐을 수 있습니다. 기억이 없더라도 통지 문자를 받았다면 대상자로 보는 게 맞습니다.
💡 dailybetter 분석가 Note
이번 사건의 교훈은 “주민번호가 안 샜으니 다행”이 아니라, 적은 정보로도 정교한 사기가 가능해졌다는 점입니다. 과거엔 주민번호·카드번호 같은 ‘한 방’ 정보가 핵심이었지만, 지금은 이름·전화·계좌번호 같은 평범한 조각들이 하나의 맥락(기프티엘 환불)으로 묶이는 순간 위력이 생깁니다. 그래서 방어의 핵심도 바뀝니다 — 정보 유출 자체는 내가 막을 수 없지만, “내 정보를 아는 전화가 와도 인증번호·송금·앱 설치는 절대 응하지 않는다”는 원칙 하나면 실제 금전 피해의 길목은 거의 전부 차단됩니다. 내가 직접 가입하지 않은 서비스에도 내 정보가 흩어져 있다는 사실을, 이번 기회에 한 번쯤 점검해 보시길 권합니다.
※ 참고: 데일리시큐, 「모바일 쿠폰 플랫폼 ‘기프티엘’ 해킹…고객 이름·휴대전화·이메일·환불 계좌번호 유출」
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요