2026년 8월 발생한 무신사 29CM 개인정보 유출사고와 관련해, 무신사가 사고 이전 실시한 외부 모의해킹에서 발견된 보안 취약점 75건을 모두 개선했다고 보고한 사실이 확인됐다. 파트너시스템과 API에 대한 별도의 보안점검도 진행했지만, 실제 사고에서는 인증·인가와 접근통제 등 기본적인 보안 취약점이 악용된 것으로 드러났다.

국회 과학기술정보방송통신위원회 소속 김우영 의원(더불어민주당, 서울 은평을)이 과학기술정보통신부를 통해 무신사로부터 제출받은 자료에 따르면, 무신사는 2025년 4월 외부 모의해킹에서 총 75건의 취약점을 발견했으며 해당 취약점에 대한 개선조치를 모두 완료했다고 밝혔다.

무신사는 이후에도 2025년 9월부터 2026년 5월까지 정보보호 관리체계(ISMS) 관련 심사에서 지적된 사항에 대한 개선조치를 진행했다. 2025년 12월부터 2026년 1월까지는 파트너시스템과 API에 대한 보안점검을 실시했으며, 2026년 상반기에도 외부 공격자 관점의 보안점검을 진행했다고 설명했다. 그러나 지난 8월 발생한 개인정보 유출사고에서는 기본적인 보안장치의 취약점이 확인됐다.

[표1] 보안 점검 이력 VS 실제 사고 원인 비교표

무신사가 제출한 사고 분석자료에 따르면, 29CM 내부 주문 조회 API는 인프라 구성 변경 과정에서 접근통제목록(ACL) 설정이 누락되면서 외부에 노출됐다. 해당 API에는 별도의 인증·인가 절차와 대량 조회 제한 장치가 미흡했으며, 통합파트너시스템에서도 일부 계정 관리 API의 인증 미적용과 OTP 인증 실패 횟수 제한 미설정 등 취약점이 확인됐다. 공격자는 이를 악용해 파트너 계정을 탈취하고 고객정보 등에 접근했다.

무신사는 2025년 정보보호에 총 41억 5,900만 원을 투자했다. 이 가운데 웹·API 보안에 10억 7,200만 원, 계정·접근통제에 5억 1,800만 원을 집행했지만, 실제 사고에서는 관련 보안 취약점이 악용됐다. 다만 해당 투자액이 사고 발생 시스템에 직접 집행됐는지는 확인되지 않았다.

이번 사고로 29CM 고객 주문목록 13만 8,854건을 비롯해 주문 상세정보 1만 7,955건, 배송정보 3,042건 등이 유출됐다. 무신사는 8월 28일 최초 신고 이후 추가 피해 사실을 확인해 9월 3일과 16일 추가 신고했다.

특히 여러 차례 보안점검과 개선조치에도 기본적인 취약점이 악용됐다는 점에서, 기존 점검의 실효성과 시스템 변경 이후의 보안관리 체계를 확인할 필요가 있다. 다만 과거 모의해킹에서 발견된 취약점 75건과 이번 사고의 취약점이 동일한지, 사고 시스템이 당시 점검 및 ISMS 인증범위에 포함됐는지는 추가 확인이 필요하다./끝/