10.28 SK플래닛 개인정보 유출사고
더 많은 작업
10.28. SK플래닛 개인정보 유출사고는 2026년 10월 28일 SK플래닛의 모바일 상품권 서비스인 기프티콘에서 외부의 비정상적인 접근이 확인되고, 일부 고객의 개인정보 및 쿠폰 정보가 유출된 정황이 발견된 침해사고이다.
2026년 10월 29일 SK플래닛은 자사가 운영하는 모바일 상품권 서비스 '기프티콘'(gifticon)에서 개인정보와 쿠폰 정보가 유출된 정황을 확인했다고 밝혔다.
SK플래닛에 따르면 10월 28일 오후 6시 40분경 외부의 비정상적인 접근을 확인하고 이를 차단했다. 유출이 의심되는 정보에는 일부 고객의 이름, 전화번호, 이메일, 구매쿠폰 일련번호, 환급계좌 등이 포함됐다.[1]
회사는 피해 대상과 정확한 유출 규모를 파악하기 위한 정밀 조사에 착수했으며, 실제 피해가 발생할 경우 전액 보상하고 유출이 확인된 기프티콘은 폐기한 뒤 재발송하겠다고 밝혔다.[2]
| 항목 | 내용 |
|---|---|
| 최초 침해 인지 | 2026년 10월 28일 18시 40분경 |
| 대외 공개 | 2026년 10월 29일 |
| 피해 기업 | SK플래닛 |
| 관련 서비스 | 기프티콘(gifticon) |
| 사고 유형 | 외부 비정상 접근 및 개인정보·모바일 상품권 정보 유출 의심 |
| 유출 의심 정보 | 이름, 전화번호, 이메일, 구매쿠폰 일련번호, 환급계좌 등 |
| 유출 규모 | 조사 중 |
| 침입 경로 | 미공개 |
| 대응 현황 | 비정상 접근 차단, 유출 범위 조사, 피해보상 및 쿠폰 재발급 방침 발표 |
문서 제목의 10월 28일은 최초 침해 인지일을 기준으로 한다. 실제 공격 시작 시점은 공개되지 않았으며, 10월 29일은 고객 통지 및 언론 공개일이다.
SK플래닛은 10월 28일 오후 6시 40분경 기프티콘 서비스에서 외부의 비정상적인 접근 정황을 확인했다고 밝혔다.
회사는 해당 접근을 차단했으나, 조사 과정에서 기프티콘 및 관련 개인정보가 유출됐을 가능성을 확인했다.[3]
2026년 10월 29일 기준 다음 사항은 공개되지 않았다.
- 최초 침입 시점 및 공격 지속시간
- 공격에 사용된 IP 주소와 서버 위치
- 실제 침입 경로 및 악용된 보안 취약점
- SQL 인젝션, 인증 우회, 계정 탈취 등 구체적인 공격 방식
- 공격자가 확보한 시스템 권한
- 데이터베이스 직접 접근 여부
- 외부로 반출된 데이터의 총량
- 공격자의 신원 및 다른 침해사고와의 연관성
따라서 외부의 비정상적인 접근이 확인됐다는 사실만으로 특정 취약점이나 공격 기법이 이용됐다고 단정할 수 없다.
SK플래닛은 일부 고객의 개인정보와 모바일 상품권 정보가 유출된 것으로 의심된다고 밝혔다.
| 정보 항목 | 내용 |
|---|---|
| 이름 | 고객 식별정보 |
| 전화번호 | 고객 연락처 |
| 이메일 | 고객 이메일 주소 |
| 구매쿠폰 일련번호 | 기프티콘 구매 및 쿠폰 관련 식별정보 |
| 환급계좌 | 쿠폰 환급 등에 사용되는 계좌 관련 정보 |
위 항목들은 회사가 공개한 유출 의심 정보이며, 모든 고객에게 모든 항목이 유출됐다는 의미는 아니다.[1]
정확한 유출 대상자 수와 고객별 유출 항목은 조사 중이다. 비밀번호, 주민등록번호, 결제카드 정보 등 다른 정보가 유출됐는지 여부도 현재 공개된 자료만으로 확정할 수 없다.
이번 사고의 직접적인 대상은 SK플래닛이 운영하는 모바일 상품권 서비스인 기프티콘이다.
기프티콘은 원래 11번가가 운영하던 서비스로, 2025년 12월 1일 SK플래닛으로 운영주체가 변경됐다. 서비스 양수도 과정에서 고객의 개인정보, 결제 및 거래 관련 정보와 이용계약상의 권리·의무도 SK플래닛으로 승계됐다.[4]
SK플래닛은 OK캐쉬백 등 다른 서비스도 운영하지만, 10월 29일까지 공개된 사고 내용은 기프티콘 서비스를 중심으로 확인됐다. 다른 서비스의 개인정보까지 유출됐다는 사실은 확인되지 않았다.
| 조사 항목 | 2026년 10월 29일 기준 |
|---|---|
| 비정상적인 외부 접근 | 확인 |
| 개인정보 유출 정황 | 확인 |
| 쿠폰 정보 유출 정황 | 확인 |
| 유출 대상 고객 수 | 미확정 |
| 고객별 실제 유출 항목 | 조사 중 |
| 유출된 쿠폰 수 | 미확정 |
| 유출 쿠폰의 부정 사용 여부 | 미확정 |
| 금전적 피해 규모 | 미확정 |
| 다른 SK플래닛 서비스로의 피해 확대 | 확인되지 않음 |
회사는 조사 결과가 확정되면 피해 여부를 조회할 수 있는 방법과 상세 내용을 개별 문자 및 홈페이지 공지로 안내하겠다고 밝혔다.[2]
이번 사고에서는 일반적인 개인정보 외에 모바일 상품권 일련번호와 환급계좌 정보가 유출 의심 항목에 포함됐다는 특징이 있다.
이에 따라 다음과 같은 2차 피해 가능성이 제기된다.
- 피싱·스미싱: 기프티콘 운영사나 고객센터를 사칭하여 개인정보와 인증정보를 추가로 요구하는 행위
- 쿠폰 부정 사용: 유출된 쿠폰 식별정보를 악용해 정상 구매자의 쿠폰을 사용하려는 시도
- 환급 사기: 환급계좌 정보를 활용하여 환불·보상·계좌 확인 등을 명목으로 추가 금융정보를 요구하는 행위
- 표적형 사칭: 이름·연락처·쿠폰 구매정보 등을 조합하여 실제 거래와 관련된 것처럼 위장하는 사기
특히 쿠폰 일련번호가 유출된 경우에도 해당 정보만으로 실제 쿠폰 사용이나 환급이 가능한지는 서비스의 인증·검증 방식에 따라 달라진다.
2026년 10월 29일 기준 유출된 쿠폰을 실제로 부정 사용한 사례나 이에 따른 확정 금전 피해 규모는 공개되지 않았다.
SK플래닛은 고객들에게 출처가 불분명한 링크나 첨부파일을 열지 말고, 개인정보 또는 금융정보 입력을 요구하는 연락에 응하지 않도록 주의를 당부했다.[2]
SK플래닛은 사고 확인 이후 다음과 같은 조치와 계획을 발표했다.[3][2]
- 접근 차단: 비정상적인 외부 접근을 확인한 뒤 차단
- 피해 조사: 실제 유출 여부와 대상 고객을 확정하기 위한 정밀 조사
- 고객 통지: 문자메시지를 통한 사고 안내
- 피해 조회: 조사 완료 후 개별 문자 및 홈페이지를 통한 피해 여부 조회 방법 안내
- 쿠폰 보호: 유출이 확인된 기프티콘을 폐기하고 안전한 쿠폰으로 재발송
- 금전 피해 보상: 사고로 고객에게 실질적인 피해가 발생한 경우 전액 보상
- 재발 방지: 보안 체계 점검 및 후속 개선
전액 보상은 회사가 발표한 향후 방침으로, 10월 29일 기준 구체적인 보상액이나 실제 지급 결과가 확정된 것은 아니다.
고객 문의 및 피해 구제
| 구분 | 연락처 |
|---|---|
| 기프티콘 고객센터 | 1800-0133 |
| 고객센터 운영시간 | 평일 10:00~17:00 (점심시간 12:00~13:00) |
| 이메일 | [email protected] |
| 개인정보 침해 상담 | 한국인터넷진흥원 개인정보침해신고센터, 국번 없이 118 |
| 개인정보 분쟁조정 | 개인정보분쟁조정위원회 |
2026년 10월에는 다른 모바일 상품권 서비스에서도 개인정보 유출사고가 발생했다.
10월 22일에는 롯데그룹 계열 대홍기획의 자회사 스푼이 운영하는 모바일 상품권 서비스 '기프티엘'에서 해킹으로 고객 18,359명의 개인정보가 유출된 것으로 보도됐다.
이후 10월 29일 SK플래닛 기프티콘에서도 개인정보 유출 정황이 확인되면서 모바일 상품권 서비스에서 연이어 침해사고가 발생한 사례가 되었다.[7]
다만 두 사고가 동일한 공격자나 취약점에 의해 발생했다는 증거는 공개되지 않았다. 발생 시점이 가깝다는 이유만으로 연관된 공격으로 판단할 수는 없다.
- ↑ 1.0 1.1 1.2 뉴시스, SK플래닛, 기프티콘·고객 개인정보 유출…정밀 조사 피해 확인 중, 2026-10-29.
- ↑ 2.0 2.1 2.2 2.3 2.4 전자신문, SK플래닛, 기프티콘 이용자 개인정보 유출, 2026-10-29.
- ↑ 3.0 3.1 3.2 아이뉴스24, SK플래닛, '기프티콘' 개인정보 유출⋯환급계좌까지 노출 가능성, 2026-10-29.
- ↑ 기프티콘, 기프티콘 서비스 이관 완료 안내, 2025-11-30.
- ↑ 기프티콘, 공식 홈페이지, 2026-10-29 확인.
- ↑ 한국인터넷진흥원, 침해사고 예방·신고, 2026-10-29 확인.
- ↑ 이데일리, 기프티엘 이어 기프티콘도 뚫렸다…SK플래닛 "피해 전액 보상", 2026-10-29.