H&M코리아, 이메일·전화번호 등 개인정보 유출…'업무용 솔루션' 뚫려

8월 5일 공격 확인…2차 피해 우려도

[디지털데일리 박재현기자] 스웨덴에 본사를 둔 에이치앤엠헤네스모리츠코리아(H&M코리아)가 해킹 공격을 받아 개인정보를 유출했다. 뚫린 곳은 고객이 쓰는 서비스가 아닌 회사 내부 업무용 솔루션이다. 유출 규모는 공개되지 않았다.

H&M코리아는 지난 8월 5일경 업무용 솔루션이 불법적인 공격을 받아 고객 정보 일부가 유출됐다고 14일 고객들에게 통지문을 발송했다.

유출된 항목은 전자우편 주소와 전화번호, 주문·반품 참조번호다. 주민등록번호와 신용카드 정보, 결제 정보, 패스워드는 영향을 받지 않았다는 게 회사 설명이다.

회사는 공격을 인지한 직후 추가 공격을 차단하기 위한 보안 강화 조치를 취하고 관계 정부기관에 사고 사실을 신고했다. 경위와 원인을 파악하기 위한 조사도 진행 중이다.

2차 피해 우려는 남았다. 전화번호와 이메일에 주문·반품 번호까지 함께 빠져나가면서 배송·반품 안내를 가장한 스미싱에 활용될 소지가 있다.

회사는 통지문을 통해 "발신자 신원을 확인하기 어려운 연락이나 스팸 메시지에 주의하고, 안전성이 검증되지 않은 URL 접속은 삼가 달라"고 당부했다.

아직까지 고객이 확인할 수 있는 정보는 제한적이다. 회사는 유출 건수도, 자신이 대상에 포함되는지 조회하는 절차도 안내하지 않았다. 통지문을 받은 고객은 H&M을 사칭한 메시지를 당분간 의심하는 수밖에 없다.

침해 경로가 업무용 솔루션이라는 대목은 최근 유출 사고 흐름과 겹친다. 방어가 두터운 서비스 인프라 대신 협력사나 업무 도구, 관리자 계정을 경유해 우회 진입하는 방식이다.

유출된 전자우편 주소와 전화번호는 개인정보보호법상 개인정보에 해당한다. 주문·반품 참조번호도 회사가 보유한 주문 정보와 결합하면 개인을 특정할 수 있어 같은 법의 적용을 받는다.

법은 유출 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지하도록 하고, 해킹 등 외부의 불법적인 접근으로 유출이 발생하면 건수와 무관하게 개인정보보호위원회 또는 한국인터넷진흥원(KISA) 신고 의무도 지운다.

두 기한 모두 사고 발생일이 아닌 인지일부터 계산된다. 회사는 인지 시점을 밝히지 않았다. 공격이 이뤄진 것으로 파악된 5일과 고객 통지가 이뤄진 14일 사이에는 9일의 간격이 남아있는 상황이다.