SSG닷컴 개인정보 유출과 관련해 고객 이름과 내부 고객번호가 노출됐다는 회사 설명이 나왔습니다. 유출된 정보는 뉴시스·ZDNet Korea·뉴스1 보도로는 “대부분 고객 성명과 내부 식별용 고객번호”입니다. SSG닷컴은 11월 6일 대상 고객에게 개별 안내했다고 밝혔으며, 대상 인원은 공개하지 않았습니다.[1][2][3]
여기서 중요한 말은 ‘대부분’입니다. 이름과 내부 고객번호만 유출됐다고 확정한 설명은 아닙니다. 반대로 보도에 없는 다른 정보까지 유출됐다고 확대할 근거도 없습니다. 현재 알려진 항목과 아직 확인되지 않은 범위를 나눠 봐야 합니다.
기준시각과 자료의 한계
이 글의 기준시각은 2026년 11월 7일 오후 4시 3분(KST)입니다. 정리의 근거는 11월 6일 회사 설명을 전한 네 건의 보도입니다. 독립적인 포렌식 검증이나 관계 당국의 확정 조사 결과를 정리한 글이 아닙니다.[1][2][3][4]
이번 공식 고객 공지 목록 조회에서는 페이지 하단 안내만 읽혔습니다. 사고 개별 통지 본문, 유출 항목 전체표, 고객별 통지 예시는 확보되지 않았습니다. 따라서 공식 상세 통지를 직접 확인한 것처럼 내용을 인용하지 않습니다. 공식 목록은 안내를 확인할 경로로만 제시합니다.[5]
핵심 요약
회사 설명을 전한 보도에 따르면, API 취약점을 이용한 외부 불법 접근으로 비인가자가 일부 고객정보를 조회했습니다. 유출 정보는 대부분 고객 성명과 내부 식별용 고객번호이며, 대상 인원은 공개되지 않았습니다. 회사는 신고와 대상자 개별 안내, 추가 보안 강화를 설명했습니다. 추가 피해가 확인되지 않았다는 설명은 11월 6일 보도 당시의 회사 입장입니다.[1][2][3][4]
이름·내부 고객번호, 어디까지 확인됐나
| 항목 | 확인 내용 | 아직 모르는 내용 |
|---|---|---|
| 고객 성명 | 회사가 설명한 주요 유출 항목입니다.[1][2][3] | 고객별로 어떤 항목이 노출됐는지는 확보한 자료로 확인하지 못했습니다. |
| 내부 고객번호 | 내부에서 고객을 구분하는 번호라는 보도 표현까지 확인됩니다.[1][2][3] | 구체적인 형식과 다른 정보와의 연결 방식은 확인되지 않았습니다. |
| 유출 항목 전체 | 보도는 ‘대부분’이라는 한정을 두고 있습니다.[1][2][3] | 전체 항목을 빠짐없이 나열한 표는 확보되지 않았습니다. |
| 비밀번호·결제정보·연락처 | 이번 자료로는 포함 여부를 확인할 수 없습니다. | 유출됐는지, 유출되지 않았는지 모두 확정할 수 없습니다. |
| 대상 인원 | 일부 고객이 대상이며 규모는 미공개입니다.[1][3] | 정확한 인원은 확인되지 않았습니다. |
| 접근 경로 | API 취약점을 이용한 외부 불법 접근이라는 회사 설명이 보도됐습니다.[1][4] | 구체적인 취약점과 기술적 조사 결과는 확인되지 않았습니다. |
내부 고객번호는 이름이 아닌 별도의 식별 정보라는 이유만으로 무해하다고 볼 수 없습니다. 그렇다고 이번에 노출된 이름과 번호로 무엇을 탈취할 수 있다고 단정할 수도 없습니다. 보도에서 확인되는 설명은 ‘내부 식별용 고객번호’까지이며, 그 이상은 이 자료의 범위를 벗어납니다.[1][2][3]
대상 규모가 공개되지 않았다는 점도 구분해야 합니다. 독자가 정확한 인원을 알 수 없다는 뜻이지, 회사가 인원을 파악하지 못했다는 뜻은 아닙니다. 회사의 파악 상태와 외부 공개 여부는 같은 정보가 아닙니다.[1][3]
API는 어떤 뜻인가
일반적인 개념으로 API는 ‘서비스끼리 정보를 주고받는 연결 창구’입니다. 이 설명은 용어를 이해하기 위한 것이며, SSG닷컴의 실제 시스템 구조를 설명하는 것은 아닙니다.
이번 사고에 관해 보도된 내용은 그 연결 창구의 취약점을 이용한 외부 불법 접근으로, 권한이 없는 사람이 일부 고객정보를 조회했다는 회사 설명입니다. 서울경제 역시 고객 공지를 인용해 같은 취지의 경로를 전했습니다. 다만 이 글에서 해당 공지 원문을 직접 확인한 것은 아닙니다.[1][4]
‘API 취약점’이라는 표현만으로 어떤 방식의 접근이었는지까지 알 수는 없습니다. 이번 자료에는 구체적인 API 주소나 구조가 없습니다. 따라서 특정 공격 방식으로 이름 붙이거나, 서비스 전체가 장악됐다고 해석하지 않습니다. 확인된 설명의 범위는 일부 고객정보에 대한 비인가 조회입니다.[1][4]
언제 인지했고, 언제 신고했나
| 날짜 | 회사 설명을 전한 보도 내용 | 구분할 점 |
|---|---|---|
| 2026년 11월 4일 | 유출 정황을 확인하거나 사건을 파악했습니다.[1][2][3] | 회사의 인지일이며, 최초 침입일로 확인된 날짜가 아닙니다. |
| 2026년 11월 5일 | 한국인터넷진흥원(KISA)에 신고했습니다.[1][2][3] | 신고일만으로 실제 접근이 시작된 시점을 알 수 없습니다. |
| 2026년 11월 6일 | 개인정보보호위원회에 신고했다고 ZDNet Korea와 뉴스1 보도가 전했습니다.[2][3] | 당국의 최종 조사 결과가 발표됐다는 뜻은 아닙니다. |
| 2026년 11월 6일 | 대상 고객에게 개별 안내했다고 설명했습니다.[1][2][3] | 전 고객에게 통지했다는 설명은 아닙니다. |
뉴시스는 KISA 신고와 개인정보보호위원회 신고 완료를 전했고, ZDNet Korea와 뉴스1 보도는 두 기관의 신고 날짜를 각각 11월 5일과 6일로 제시했습니다. 뉴스1 기사는 파이낸셜뉴스에 게재된 기사이며, 파이낸셜뉴스의 별도 독자 취재로 구분하지 않습니다.[1][2][3]
이 날짜들을 하나의 ‘유출일’로 묶으면 사건의 순서를 잘못 이해할 수 있습니다. 11월 4일은 회사가 정황을 확인한 날입니다. 실제 최초 침입 시점과 전체 유출 기간은 이번 자료로 확인되지 않습니다. 11월 6일 개별 안내가 이뤄졌다는 설명 역시 고객에게 알린 시점에 관한 정보입니다.[1][2][3]
회사가 설명한 대응은 추가 보안 강화와 관계 기관 신고, 대상자 개별 안내입니다. 이 조치들이 보도됐다고 해서 모든 접근이 완전히 차단됐거나 전 고객을 대상으로 계정 조치가 이뤄졌다고 확대해서 읽어서는 안 됩니다.[1][2][3][4]
고객이 확인할 일: 아래는 일반 권고입니다
다음 내용은 이번 공식 통지에서 확인한 지시가 아닙니다. 사고 개별 통지 본문을 확보하지 못한 상태에서 제시하는 일반적인 확인 방법입니다.
안내를 확인할 때는 SSG닷컴 공식 앱이나 홈페이지를 직접 여는 편이 좋습니다. 그 안에서 고객 공지와 문의 경로를 확인하고, 본인에게 온 안내가 있다면 해당 경로를 통해 내용을 확인하는 방식입니다. 이 글 끝의 공식 공지 목록도 확인 경로로 제시한 것이지, 사고 상세 내용을 검증한 근거는 아닙니다.[5]
문자나 메일로 사고 관련 안내를 받았더라도 발신자 이름과 문구만으로 진위를 판단하지 않는 것이 좋습니다. 메시지에 있는 링크를 따라가기보다 평소 이용하던 공식 경로를 직접 열어 확인하라는 일반적인 사칭 주의 권고입니다. 이번 사고를 이용한 특정 사칭 사례가 실제 발생했다고 확인한 것은 아닙니다.
개별 통지의 구체적인 내용이 이 글에 없으므로, 여기서 고객별 노출 항목이나 대상 여부를 대신 판단할 수는 없습니다. 문의가 필요하다면 직접 연 공식 앱·홈페이지에서 현재 제공하는 문의 경로를 확인하시기 바랍니다. 확인되지 않은 전화번호나 운영시간은 제시하지 않습니다.
고객 행동은 직접 확인한 공식 안내를 중심으로 정하시기 바랍니다. 이 글은 개인별 대상 여부나 필요한 조치를 판정하지 않습니다.
아직 확인되지 않은 범위
남아 있는 질문은 유출 항목의 전체 목록, 정확한 대상 인원, 최초 침입 시점과 전체 유출 기간, 구체적인 기술적 원인입니다. 고객별로 어떤 정보가 노출됐는지도 확보한 자료에서는 확인되지 않습니다. 이 공백을 보도의 짧은 표현만으로 채울 수는 없습니다.
특히 비밀번호·결제정보·연락처는 ‘보도에서 확인되지 않았다’와 ‘유출되지 않았다’를 구별해야 합니다. 이번 자료로 포함 여부를 알 수 없다는 뜻일 뿐입니다. 안전이 확인됐다는 결론도, 추가 유출이 있었다는 추정도 하지 않습니다.
‘추가 피해 미확인’에도 시점과 주체가 붙습니다. 뉴시스와 ZDNet Korea가 전한 것은 11월 6일 보도 당시 회사가 추가 피해 사례를 확인하지 못했다는 설명입니다. 피해가 전혀 없다는 독립적인 결론이나 이후의 안전을 보장하는 표현이 아닙니다.[1][2]
여러 매체가 같은 주요 내용을 전했다는 점과 각각 독립적으로 기술 검증을 마쳤다는 점도 다릅니다. 이번 네 보도는 회사 설명을 전한 자료로 읽어야 합니다. 공식 공지 목록이 존재한다는 사실 역시 사고 상세 내용이나 유출 항목 전체를 확인해 주지는 않습니다.[1][2][3][4][5]
현재 정리할 수 있는 핵심은 분명합니다. 회사는 일부 고객정보에 대한 비인가 조회와 대상자 개별 안내를 설명했고, 주요 유출 정보에는 ‘대부분’이라는 한정이 붙어 있습니다. 그 한정을 유지하면서, 개인별 상세 내용은 공식 경로에서 확인하는 것이 필요합니다.[1][2][3]