기프티엘 개인정보 유출 발생…이름·환불 계좌 등 비인가 접근 피해

롯데 계열 모바일 상품권 서비스인 기프티엘에서 해킹 사고가 발생해 고객 정보가 외부로 유출됐다. 기프티엘 개인정보 유출 사고는 외부 비인가 접근으로 일어났으며, 피해 항목에는 이용자 이름과 연락처뿐만 아니라 환불 계좌번호까지 포함된 것으로 확인됐다.

기프티엘 운영사 스푼 주식회사는 롯데그룹 계열 광고회사 대홍기획의 자회사다. 해당 서비스는 롯데 계열 브랜드 모바일 교환권을 발행하고 판매하는 창구 역할을 맡고 있다. 유통업계에 따르면 스푼 주식회사는 지난 2026년 10월 22일 시스템 내부로 침투한 외부 비인가 접근 흔적을 파악하고 고객 개인정보가 유출된 사실을 최종 확인했다(스푼 주식회사, 2026).

비인가 접근으로 확인된 유출 내역과 피해 항목

기프티엘에서 발생한 이번 침해 사고로 유출된 고객 정보는 식별 정보와 금융 관련 정보가 함께 얽혀 있는 구조를 띤다. 운영사 조사 결과 시스템 침입자가 탈취한 항목은 이용자 이름, 휴대전화 번호, 이메일 주소, 환불 계좌번호 등으로 집계됐다.

표: 기프티엘 개인정보 유출 사고 개요 및 확인 내역

이번 조치에서 확인된 유출 항목은 단순 연락처에 그치지 않고 환불 처리를 위해 등록된 계좌정보까지 포함되어 이용자의 세심한 확인이 필요하다(스푼 주식회사 공지, 2026).

유통 및 식음료 플랫폼에서는 고객 편의를 위해 수집한 결제·환불 데이터가 침해 사고로 이어지는 사례가 이어져 왔다. 앞서 프랜차이즈 업계에서 발생한 할리스 개인정보 유출 사례와 마찬가지로, 기본 신상정보와 연계된 부가 정보가 동시에 노출되면 보이스피싱이나 스미싱 등 추가 범죄에 악용될 가능성이 커진다.

공격 IP 차단 및 관계기관 공조 수사 착수

운영사 스푼 주식회사는 침해 사실을 인지한 즉시 비인가 접근에 쓰인 공격 IP를 차단하고 시스템 전반의 접근 통제를 강화했다. 외부 침입 경로를 차단한 뒤 데이터베이스(DB) 접속 모니터링을 상시 감시 체계로 격상했다.

스푼 측은 사고 인지 직후 보안 전문기관과 관계 부처에 신고를 접수하고 정식 수사를 요청했다. 침입 경로 규명과 추가 데이터 유출 여부를 확인하기 위해 현재 관계기관과의 공조 수사가 이어지고 있으며 재발 방지 대책도 함께 수립되고 있다.

스푼 측은 자체 공지문을 통해 "고객님의 소중한 정보를 안전하게 보호하지 못한 점 다시 한번 깊이 사과드린다"며 "추가 피해 예방과 재발 방지를 위해 최선의 노력을 다하겠다"고 밝혔다. 유출 사실이 파악된 고객에게는 안내 문자메시지(MMS)를 발송해 개별 통지를 순차적으로 진행하고 있다.

개별 통지와 2차 금융사기 피해 예방 권고사항

개인정보 침해 사고 이후 가장 우려되는 문제는 수집된 번호와 계좌 정보를 조합해 시도되는 2차 금융 범죄다. 운영사는 피해 대상 고객에게 출처가 불분명한 문자메시지, 전자우편, 안내 전화에 각별히 유의할 것을 당부했다.

문자메시지에 포함된 의심스러운 링크는 누르지 않아야 악성 앱 설치나 추가 유출 피해를 막을 수 있다. 특히 환불 계좌번호가 유출 항목에 포함된 만큼, 금융 이상 징후가 감지되면 금융결제원이 제공하는 계좌정보통합관리서비스를 이용해 본인 명의 계좌의 지급정지 상태나 비정상 출금 거래 내역을 신속하게 점검해야 한다.

모바일 상품권 서비스를 사칭한 허위 환불 안내나 보안 강화 명목의 개인정보 재입력 요구는 전형적인 피싱 수법이다. 공식 안내 창구와 개별 MMS 공지 내용을 대조하고, 금융 피해가 의심되는 즉시 관련 기관에 신고해 추가 손실을 방지해야 한다.