H&M코리아 내부 업무 시스템 해킹 개인정보 유출 사건

H&M코리아가 사용하는 내부 업무용 솔루션 시스템이 신원 미상 공격자에 의한 불법적인 침입을 당한 것으로 추후 조사 결과 확인됐다. 공격 경로는 고객이 직접 접속하는 쇼핑몰 프런트엔드가 아니라 회사 내부에서 주문·반품 처리 등에 쓰이는 업무 솔루션이었다. 이 때문에 초기에는 피해 인지가 늦어졌고, 침해 발생 시점과 실제 탐지 시점 사이에 시차가 발생했다. 회사 측은 사후 조사에서 이 날짜를 침해 발생 추정 시점으로 특정했다고 밝혔다. 이번 침해는 이후 대규모 고객정보 유출로 이어지는 발단이 됐다.

H&M코리아는 8월 14일 홈페이지 공지와 개별 안내를 통해 내부 업무 솔루션에 대한 불법 공격으로 일부 고객 정보가 유출됐다고 밝히고 공식 사과했다. 유출된 항목은 이메일 주소, 전화번호, 주문·반품 조회번호 등으로 확인됐으며, 주민등록번호나 신용카드 정보, 결제 비밀번호 등 민감정보는 포함되지 않았다고 설명했다. 회사는 공격 발견 즉시 추가 침입을 막기 위한 보안 강화 조치를 취했다고 덧붙였다. 다만 이메일·전화번호·주문번호 조합이 스미싱이나 배송·반품 사칭 문자 등 2차 피해에 악용될 수 있다는 우려가 소비자들 사이에서 제기됐다. H&M코리아는 관계 당국에도 사고 경위와 원인 조사를 위한 신고를 마쳤다고 밝혔다.

H&M코리아 개인정보 유출 소식이 알려지자 유출 항목이 이메일·전화번호·주문번호 조합이라는 점에서 배송 지연·반품 확인을 사칭한 스미싱 공격에 악용될 수 있다는 우려가 온라인 커뮤니티와 소비자단체를 중심으로 확산됐다. 보안 전문가들은 택배 조회나 환불 안내를 사칭한 문자 메시지의 링크를 클릭하지 말 것을 당부했다. H&M코리아 고객센터에는 유출 여부 확인과 추가 대응을 요구하는 문의가 잇따랐다. 일부 소비자는 피해 발생 시 회사 측의 배상 책임 범위에 대한 의문을 제기했다. 이 사건은 이커머스 기업들의 내부 업무 시스템 보안이 상대적으로 취약할 수 있다는 점을 다시 부각시켰다.

H&M코리아로부터 신고를 접수한 개인정보보호위원회와 한국인터넷진흥원(KISA) 등 관계기관이 유출 경위와 원인, 피해 규모를 확인하기 위한 조사에 착수했다. 조사는 내부 업무 솔루션의 접근 통제 및 인증 체계에 취약점이 있었는지, 유출 규모가 회사 발표보다 더 클 가능성이 있는지 등에 초점이 맞춰졌다. 국내에서는 다국적 패션기업의 한국법인이 해킹 피해를 공개적으로 인정한 사례가 드물어 업계의 관심이 집중됐다. 조사 결과에 따라 개인정보보호법 위반에 따른 과징금·과태료 부과 여부가 결정될 것으로 예상됐다. 회사 측은 조사에 성실히 협조하겠다는 입장을 밝혔다.

H&M코리아 사고 직후 GS리테일(GS샵·GS25) 166만 명 개인정보 유출에 128억 원대 과징금이 부과되는 등 유통·이커머스 업계의 해킹 사고가 잇따라 불거지면서 업계 전반의 보안 경각심이 높아졌다. 두 사건 모두 크리덴셜 스터핑이나 내부 시스템 취약점을 노린 공격이었다는 공통점이 지적됐다. 정부와 업계 관계자들은 유통기업들이 고객 데이터를 대량으로 보유하면서도 상대적으로 보안 투자가 부족하다는 구조적 문제를 다시 제기했다. 개인정보보호위원회는 반복적인 해킹 피해 기업에 대한 징벌적 과징금 부과를 검토하겠다는 방침을 밝혔다. H&M코리아 사건은 이러한 논의의 계기가 된 사례 중 하나로 거론됐다.