룩핀이 데이터 분석 도구 메타베이스를 통해 고객 데이터를 빼앗긴 전개와, 첫 공지 뒤 늘어난 유출 항목, 통관부호 도용 실태, 탐지 지점을 사실 중심으로 정리했다.
2026년 9월 16일 오후 3시, 남성 패션 플랫폼 룩핀의 운영사 레벨13은 사내 데이터 분석 시스템에서 처음 보는 계정 하나를 발견했다. 두 시간 반 뒤인 오후 5시 30분 시스템 접근을 막았지만, 이어진 조사에서 첫 대량 조회·반출은 이미 8월 29일에 있었던 것으로 드러났다. 고객 데이터가 빠져나가기 시작한 뒤 18일 동안 아무도 알아채지 못한 것이다.
룩핀은 여러 입점사의 상품을 판매하는 남성 패션 플랫폼이다. 회사가 밝힌 침입 경로는 데이터 분석 도구 '메타베이스(Metabase)'의 보안 취약점이다. 메타베이스는 회사 데이터베이스에 연결해 데이터를 조회하고 대시보드로 보여주는 오픈소스 BI(비즈니스 인텔리전스) 도구다.
메타베이스는 8월 초 이미 대형 취약점을 공개한 상태였다. 8월 3일 자사 클라우드 환경에서 알려지지 않은 취약점을 이용한 공격을 확인했고, 8월 6일 보안 권고를 내고 패치를 배포했다. 로그인하지 않은 공격자가 SQL 인젝션으로 메타베이스 관리자 권한을 얻을 수 있는 취약점()으로, CVSS 점수는 만점인 10.0이다. NVD는 이를 CWE-89(SQL 인젝션) 계열로 분류했다.
권고에 따르면 관리자 권한을 얻은 공격자는 설정을 바꾸고, 메타베이스에 저장된 연결 데이터베이스 인증정보를 빼내고, 그 연결로 접근할 수 있는 데이터를 조회해 내보낼 수 있다. 분석 도구 하나가 그 도구에 연결된 데이터 전체로 가는 통로가 되는 구조다. 미국 CISA는 8월 11일 이 취약점을 실제 악용 취약점(KEV) 목록에 올리고 연방기관의 조치 기한을 8월 14일로 정했다.
노출 규모도 작지 않았다. 위협 인텔리전스 기업 데이터마이너(Dataminr)가 8월 8일 인터넷을 스캔한 결과, 자체 설치형 메타베이스 약 1만 1000개 가운데 4309개가 취약 버전을 쓰고 있을 가능성이 있었다. 노트북 제조사 프레임워크와 온라인 폼 서비스 탤리 등이 8월 초 공격을 받았다고 밝혔고, 9월에는 호주 학습 플랫폼 매스스페이스가 107만 9819명의 정보가 빠져나갔다고 발표했다(메타베이스 취약점 방치 나흘, 매스스페이스 108만 명 유출).
룩핀은 어떤 메타베이스 취약점이 악용됐는지는 공개하지 않았다.
레벨13의 조사로 확인된 대량 조회·반출은 두 차례다. 첫 번째가 8월 29일, 두 번째가 9월 15일부터 16일 사이다. 회사가 이상을 감지한 것은 9월 16일 오후 3시께로, 분석 시스템에서 누가 만들었는지 모르는 계정이 발견됐다. 오후 5시 30분께 해당 시스템 접근을 차단한 레벨13은 접속 비밀번호와 인증정보를 바꾸고 증거를 보존한 뒤 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다.
판매글은 곧 올라왔다. 뉴스저널리즘 보도에 따르면 9월 18일 다크웹 해킹 포럼에 룩핀 데이터 판매글이 게시됐다. 데일리시큐가 확인한 게시글 제목은 "SELLING KR | lookpin.co.kr 2.7M customers 11M orders"였다. 공개된 샘플에는 이메일, 전화번호, 암호화된 비밀번호, 접속 IP, 소셜 계정 연동 정보 등의 필드가 담겨 있었다.
룩핀이 이용자에게 유출 사실을 공지한 것은 그 이틀 뒤인 9월 20일이다. 공지에 적힌 유출 항목은 이메일 주소와 비밀번호 해시, 일부 이용자의 휴대폰번호와 접속 IP였다. 9월 22일 데일리시큐의 다크웹 판매 정황 보도에서 룩핀은 해킹 사실을 인정했고, 이어 레벨13 대표이사가 사과문을 내면서 유출 항목을 추가로 밝혔다.
유출 항목은 공지 이후 늘어났다. 회사가 두 차례에 걸쳐 밝힌 내용을 시점별로 나누면 다음과 같다.
| 시점 | 회사가 밝힌 유출 항목 |
|---|---|
| 9월 20일 첫 공지 | 이메일 주소, 비밀번호 해시, 일부 이용자의 휴대폰번호·접속 IP |
| 9월 22~23일 추가 | 수령인 이름·주소·연락처, 주문내역, 환불계좌, 카드번호(마스킹), 개인통관고유부호 |
피해 규모는 아직 확정되지 않았다. 270만 명과 주문 1100만 건은 판매자의 주장이다. 레벨13은 정확한 피해 규모를 조사 중이며, 가입 방식별로 계정을 여러 개 가진 이용자도 있다고 설명했다. 회사는 이용자가 자신의 어떤 정보가 유출됐는지 확인할 수 있는 조회 시스템을 마련했다.
데일리시큐가 정리한 유출 항목에는 출생연도와 키·몸무게도 들어 있다. 룩핀 개인정보처리방침을 보면 회사는 맞춤 추천을 위해 키, 체중, 상의·하의·신발 사이즈를 수집한다. 반면 2025년 11월 19일부터 시행된 처리방침의 수집 항목 표에는 개인통관고유부호가 따로 적혀 있지 않다. 이용목적 문구에 '통관'이라는 단어가 한 번 나올 뿐이다.
추가로 인정된 항목 가운데 개인통관고유부호는 유출 뒤 쓰임새가 분명한 정보다. 13자리로 된 이 번호는 해외직구 통관 때 주민등록번호 대신 본인을 식별하는 데 쓰인다. 9월 22일 글로벌이코노믹 보도에 따르면 올해 1~8월 도용 의심 신고는 3만 3545건, 재발급은 13만 5174건이었다. 9월 11일 기준 도용 등의 이유로 사용이 정지된 부호는 약 7만 5000건이다. 부호 하나로 올해 1~8월 해외직구 물품 2566건, 46만 6200달러(약 6억 4000만 원)어치가 들어온 사례도 있었다.
관세청은 2026년부터 개인통관고유부호에 1년 유효기간을 도입했다. 도용이 의심되는 부호는 관세청이 직권으로 사용을 정지할 수 있고, 재발급은 관세청 전자통관시스템 유니패스(UNI-PASS)에서 본인인증 후 1~2분이면 끝난다. 정부 알림 서비스 국민비서를 통해 본인 부호로 통관되는 내역을 알림으로 받는 기능도 연동돼 있다. 이메일·전화번호·주소가 함께 빠져나간 경우 유출 정보가 스미싱 재료로 쓰이는 흐름은 스미싱 4년새 70배 급증, KISA 개인정보 유출 확인법에서 다뤘다.
메타베이스를 통한 침입은 여러 지점에 흔적을 남긴다. 메타베이스 권고와 보안기업 비숍폭스(Bishop Fox)의 분석이 꼽은 점검 지점을 정리하면 다음과 같다.
| 위치 | 남는 흔적 |
|---|---|
| 웹 서버·리버스 프록시 로그 | 비밀번호 재설정 엔드포인트로 들어온 비정상 요청 |
| 메타베이스 관리자 설정 | 예상하지 못한 관리자 계정 생성, 권한·이메일·비밀번호 변경 |
| API 키 목록 | 등록한 적 없는 API 키 |
| 메타베이스 쿼리 이력·활동 로그 | 공격자가 실행한 조회와 데이터 내보내기 |
| 연결 DB·데이터 웨어하우스 로그 | 메타베이스 연결 계정을 통한 대량 읽기 |
권고는 패치 적용 뒤에도 세션 기록을 모두 지우고, 연결 데이터베이스 인증정보를 교체하고, 위 기록을 감사하도록 안내한다. 패치는 문을 닫을 뿐, 이미 빼낸 인증정보나 만들어 둔 계정까지 없애 주지는 않기 때문이다.
룩핀이 처음 찾아낸 것도 분석 시스템 안의 '미확인 계정'이었다. 계정 목록 점검이 첫 탐지 지점이 된 셈이다. 8월 29일의 대량 조회·반출은 9월 16일 이후 조사 과정에서 확인됐다. 기록은 이미 남아 있었지만, 그 기록이 탐지로 이어진 것은 18일 뒤였다.
같은 도구, 같은 시기의 사고인데 피해 범위는 크게 달랐다. 매스스페이스는 비밀번호·학습 성적·인증정보가 유출 범위 밖이었다고 밝혔다. 룩핀에서는 비밀번호 해시와 환불계좌, 개인통관고유부호까지 빠져나갔다. 메타베이스 권고가 설명하듯 관리자 권한은 그 도구에 연결된 데이터로 이어진다. 분석 도구가 무엇에 연결돼 있었는지가 곧 유출 범위를 정한 셈이다.
공개 순서도 기록해 둘 만하다. 다크웹 판매글이 회사 공지보다 이틀 먼저 올라왔고, 첫 공지에 없던 주소·환불계좌·통관부호는 다크웹 판매 보도 이후에 유출 항목으로 인정됐다. 9월 20일 공지만 본 이용자라면 해외직구 명의 도용 가능성은 알 수 없었다.
이번 사고는 국내 이용자가 직접 피해를 본 사례다. 8월 29일부터 9월 16일까지의 18일은, 분석 도구의 기록을 누가 언제 보는지가 탐지 시점을 가른다는 것을 보여 준다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.