[보안 이슈] 회사 복지포인트 쓰려고 가입했을 뿐인데, 현대이지웰 340만 명 이름·생일·전화번호가 샜습니다
복지포인트 쇼핑몰 현대이지웰이 해킹당해 이름·생년월일·휴대전화번호 등 7개 항목이 유출됐고, 이용 임직원은 약 340만 명에 달합니다.
안녕하세요, dailybetter입니다.
“나는 가입한 기억도 없는데?” 하는 분이 많을 텐데, 현대이지웰은 회사가 직원 복지용으로 단체 계약하는 서비스라 내 의사와 상관없이 회사를 통해 내 정보가 등록돼 있었을 가능성이 큽니다. 그래서 더 많은 분이 확인해야 하는 사고입니다.
무슨 일이 있었나
현대이지웰은 현대백화점그룹 계열의 기업복지 서비스 운영사로, 고객사 약 2,700곳, 이용 임직원이 약 340만 명입니다. 회사 설명에 따르면 2026년 10월 29일 밤 9시경 ‘회원정보 조회 API’에 외부의 비정상적인 접근이 감지됐고, 인지 즉시 공격에 쓰인 IP(인터넷 주소)를 차단하고 해당 시스템의 외부 접근을 전면 막았습니다.
‘API(Application Programming Interface)’란 시스템끼리 데이터를 주고받는 창구를 말합니다. 쉽게 말해 회원 정보를 꺼내 보는 전용 출입문이 비정상적으로 열려 대량 조회가 이뤄진 구조입니다. 다음 날인 10월 30일 박종선 대표이사 명의의 사과문이 올라왔고, 금융감독원과 KISA(한국인터넷진흥원)에 신고가 접수됐습니다.
어떤 정보가 샜고, 무엇이 안 샜나
보도로 확인된 유출 항목은 다음과 같으며, 각 항목이 왜 위험한지 함께 정리했습니다.
| 유출 항목 | 왜 위험한가 |
|---|---|
| 이름·생년월일·성별 | 단독으로는 약하지만 전화번호와 묶이면 ‘진짜 아는 사람’을 사칭하는 재료가 됩니다 |
| 휴대전화번호 | 스미싱(문자 피싱)·보이스피싱의 직접 타깃이 됩니다 |
| 이메일 | 피싱 메일 발송 대상이 되고, 다른 사이트 계정 추적의 실마리가 됩니다 |
| 아이디 | 비밀번호를 같이 쓰는 다른 사이트 침입 시도(크리덴셜 스터핑)에 악용될 수 있습니다 |
| 주소 | 택배 사칭·방문 사기 등 오프라인 사칭에 쓰일 수 있습니다 |
반대로 금융정보(계좌·카드번호), 결제정보, 비밀번호는 유출되지 않은 것으로 확인됐습니다. 돈이 바로 빠져나갈 정보는 빠졌으니 과도하게 불안해할 필요는 없습니다. 다만 안심은 금물입니다. 앞서 티빙(3,954만 계정 유출 사례)이나 락앤락(130만 명 유출 사례)에서도 보았듯, ‘이름+전화번호+소속’의 조합만으로 “현대이지웰 보안사고 보상 안내”를 사칭한 정교한 문자가 날아올 수 있기 때문입니다. 내가 실제 이용자라는 걸 공격자가 알고 접근하면 속을 확률이 확 올라갑니다.
나는 지금 무엇을 해야 하나
당장 할 일은 세 가지면 충분합니다.
- 현대이지웰·소속 회사 복지담당에 내 포함 여부 확인 — 10월 31일 오전 9시 30분부터 24시간 전담 상담센터가 운영 중입니다. 유출 규모가 아직 조사 단계라, 개별 포함 여부는 공식 안내로 확인하는 게 가장 정확합니다.
- ‘보상 안내·본인확인’ 문자 속 링크는 절대 클릭 금지 — 사고 직후가 사칭 문자의 황금기입니다. 회사명이 찍혀 있어도 문자 속 주소로 들어가지 말고, 포털에서 공식 홈페이지를 직접 검색해 들어가세요.
- 명의도용 방지 서비스 ‘엠세이퍼’ 가입 — 통신사 3사가 함께 운영하는 무료 서비스로, 켜 두면 내가 신분증을 들고 직접 가기 전엔 누구도 내 이름으로 휴대폰을 비대면 개통할 수 없습니다.
여기에 더해, 현대이지웰 아이디·비밀번호를 다른 사이트에서 똑같이 쓰고 있었다면 그 사이트들의 비밀번호부터 바꾸세요. 이번에 비밀번호가 샌 건 아니지만, 아이디가 알려진 것만으로도 ‘비밀번호 돌려막기’를 노린 침입 시도가 늘기 때문입니다.
공식 안내에 잘 안 적히는 한 가지
사과문에는 “현재까지 부정 사용 정황은 없다”는 문구가 흔히 들어갑니다. 틀린 말은 아니지만, 2차 피해(사칭 문자·보이스피싱)는 보통 사고 발표 직후부터 몇 주에 걸쳐 나타난다는 점은 잘 강조되지 않습니다. 지금 조용하다고 끝난 게 아니라, 앞으로 한 달이 오히려 경계 구간입니다. 모르는 번호의 ‘현대이지웰’ 관련 문자·전화는 당분간 기본적으로 의심하고 대하세요.
Q. 내가 가입한 적 없어도 유출 대상일 수 있나요?
네. 회사가 단체로 계약해 직원을 등록하는 서비스라, 본인이 직접 가입하지 않았어도 소속 회사를 통해 정보가 등록됐을 수 있습니다. 재직 중이거나 과거 복지포인트를 써 봤다면 확인 대상입니다.
Q. 전액 보상한다는데 그냥 기다리면 되나요?
현대이지웰은 피해가 확인되면 전액 보상하겠다고 밝혔습니다. 다만 보상은 ‘실제 피해 발생’이 전제라, 사칭 문자에 당하지 않는 예방이 먼저입니다. 피해가 생기면 증빙을 남겨 두세요.
“정보 유출 방어가 아니라, 사칭 피해 방어로 생각의 축을 옮길 때입니다.”
💡 dailybetter 분석가 Note
이번 사고의 본질은 ‘비밀번호가 뚫린 것’이 아니라 ‘정상처럼 보이는 조회 창구가 대량으로 열린 것’입니다. 그래서 내 비밀번호를 바꾼다고 이미 나간 정보가 돌아오진 않습니다. 할 수 있는 최선은 유출된 정보(이름·전화번호·소속)를 미끼로 한 사칭을 차단하는 것 — ‘정보 유출 방어’가 아니라 ‘사칭 피해 방어’로 생각의 축을 옮기는 것이 맞습니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요