2025년 47주차 보안 사고 리포트

쿠팡 고객 약 3,370만 건 개인정보 유출

3,370만피해: 고객 약 3,370만 건 개인정보

쿠팡은 2025년 11월 16일 고객 민원 접수로 개인정보 유출 조사를 시작했으며, 초기 4,536명으로 알려진 피해는 약 3,370만 건으로 확대됐다. 배송지와 주문 이력 등이 노출됐고 퇴사자의 인증키 탈취가 원인으로 지목됐다. 쿠팡은 공동 현관 비밀번호 변경을 권고했으며, 2026년 6월 6,246억원의 과징금이 부과된 뒤 10월 불복 소송을 제기했다.

넷마블 PC 게임 포털 해킹으로 611만명 개인정보 유출

611만피해: 611만명 개인정보 및 추가 유출 8048건, 추가 자료 중 주민등록번호 1304건

2025년 11월 넷마블 PC 게임 포털 해킹으로 고객·PC방 업주·임직원 등의 개인정보 유출이 드러났으며, 피해 규모는 611만명으로 확인됐다. 이후 조사에서 고객센터 문의자·입사 지원자·사업 제안 담당자 등의 개인정보 8048건이 추가로 유출됐고, 여기에는 주민등록번호 1304건이 포함됐다. 넷마블은 비밀번호 변경을 권고하고 사과했으며, 사고 인지 사흘 뒤 신고한 문제로 과태료가 확정됐다.

언더아머 고객 이메일 대규모 유출, 국내 54만여 개 포함

피해: 전 세계 이메일 약 7,200만 개, 국내 이메일 54만1,773개 및 이름·성별 정보 각 36개

언더아머 고객 이메일 약 7,200만 개와 일부 이름·성별·생년월일 등이 포함된 자료가 온라인에 공개됐다. 회사는 유출 주장을 조사하면서 고객 비밀번호와 결제 시스템이 영향을 받았다는 증거는 없다고 밝혔다. 국내에서는 이메일 주소 54만1,773개와 이름·성별 정보 각 36개 유출이 확인됐으며, 공격자는 유효한 직원 계정을 도용해 마케팅 클라우드 운영 지원용 보안 FTP 서버에 무단 접근한 것으로 파악됐다.

윈스테크넷 그룹웨어 해킹으로 직원정보 1,000건 유출 정황

1,000피해: 직원정보 약 1,000건 유출 정황

윈스테크넷 그룹웨어가 해킹돼 직원정보 약 1,000건이 유출된 정황이 드러났다. 회사는 해킹 발생 후 약 1년이 지나서야 이를 인지했다. 한국인터넷진흥원과 개인정보보호위원회가 조사 중이며, 취약점과 보안 관리 소홀을 둘러싼 책임 논란이 제기됐다.

대한항공 기내식 공급사 서버 해킹 피해

대한항공 기내식 공급사가 클롭 랜섬웨어 측에 의해 해킹 피해 기업으로 지목됐다. 2025년 11월 22일 당시 데이터 탈취 여부는 공개되지 않았다. 12월 29일에는 대한항공 협력사 서버 해킹과 정보 유출 문제가 다시 알려졌다.

KT 인터넷 설치 기사 고객 개인정보 유출과 민원 종결

피해: 고객 개인정보

KT 인터넷 설치 기사가 고객 개인정보를 유출했다. KT는 신고를 받고도 사실 확인 없이 보이스피싱을 원인으로 지목하며 민원을 종결했다.

삼성메디슨 데이터 제3자 침해로 탈취·판매 주장

해커가 제3자 침해사고로 탈취했다고 주장하는 삼성메디슨 데이터를 판매하고 있다. 데이터의 진위와 실제 유출 규모는 확인되지 않았다.

LG에너지솔루션 등 국내 산업계 해킹 피해

심텍과 SFA에 이어 LG에너지솔루션도 해커 조직의 피해를 입었다. 구체적인 피해 규모와 사고 발생일, 대응 내용은 확인되지 않았다.

LG·삼성메디슨·HD현대 해킹 피해

LG와 삼성메디슨, HD현대가 해킹 피해를 입었다. 각 기업의 구체적인 피해 범위와 사고 발생일, 대응 내용은 확인되지 않았다.

대형기선저인망수협 금융지점 해킹 의혹

대형기선저인망수협 금융지점에 해킹 의혹이 제기됐다. 실제 침해 여부와 발생 시점, 피해 규모 및 대응 내용은 확인되지 않았다.

마퀴스 랜섬웨어 공격으로 67만여 명 금융정보 유출

67만피해: 67만2,000명 이상 개인정보·금융정보 탈취

금융 소프트웨어 업체 마퀴스가 랜섬웨어 공격을 받아 은행 고객들의 개인정보와 금융정보가 탈취됐다. 여러 은행과 신용조합이 영향을 받아 피해자들에게 통지했으며, 2026년 3월 공개된 피해 규모는 67만2,000명 이상이다. 마퀴스는 소닉월의 클라우드 백업 침해가 공격으로 이어졌다고 주장하며 소송을 제기했다.

이베리아항공 외부 공급업체 침해로 고객 정보 유출

피해: 고객 이름·이메일·멤버십 식별번호 유출, 피해 고객 수 미공개

스페인 이베리아항공에서 외부 공급업체 침해로 고객 이름, 이메일, 멤버십 식별번호가 탈취됐다. 회사는 고객에게 유출 사실을 통지하고 보안 대응 절차를 가동했으며, 비밀번호와 은행정보는 영향을 받지 않았다고 밝혔다. 에베레스트 랜섬웨어 조직은 596GB의 데이터를 탈취했다고 주장했고, 이후 유출 중단 대가로 600만 달러를 요구했다.

미국 부동산 데이터 업체 해킹으로 주요 은행 고객정보 유출

피해: 미국 주요 은행 고객의 민감정보 탈취

미국 주요 은행과 거래하는 부동산 데이터 업체가 해킹당해 민감한 고객정보가 탈취됐다. JP모건과 씨티 등이 영향을 받았으며 은행들은 피해 범위를 파악하기 시작했다. 미국 연방수사국은 사건 수사에 나섰다.

게인사이트 연동 앱 침해로 세일즈포스 고객 데이터 무단 접근

피해: 일부 고객 데이터 무단 접근, 실제 피해 범위 조사 중

게인사이트 연동 앱 침해를 통해 일부 세일즈포스 고객 데이터에 무단 접근이 발생했다. 관련 토큰이 폐기되고 앱 배포가 중단됐으며 세일즈포스는 피해를 조사했다. 샤이니헌터스는 세일즈포스 환경 285개에 접근했다고 주장했지만 실제 피해 범위는 확인되지 않았다.

유럽 주요 공항 대상 랜섬웨어 공격 발생

유럽 주요 공항들이 랜섬웨어 공격의 대상이 됐다. 구체적인 피해 공항과 피해 규모, 사고 발생일 및 대응 조치는 확인되지 않았다.