SecurityHeroblog
보안 상식13조회

지갑 잃어버린 날처럼 — 룩핀 유출 뒤 새로 받을 번호

남성 패션 앱 룩핀의 운영사 레벨13이 해킹을 인정했습니다. 처음 알린 이메일·전화번호 말고도 주소, 환불계좌, 주문내역, 해외직구 통관번호까지 나간 것으로 확인됐습니다. 바꿀 수 없는 정보와 새로 받을 수 있는 번호를 나눠서 오늘 할 일을 정리했습니다.

지갑을 잃어버린 날을 떠올려 봅시다.

제일 먼저 카드사에 전화해서 카드를 막습니다. 학생증도, 교통카드도 새로 받습니다. 새로 받을 수 있는 것부터 바꾸는 겁니다.

그런데 지갑에는 바꿀 수 없는 것도 들어 있습니다. 학생증에 적힌 내 이름과 학교가 그렇습니다. 영수증에 찍힌, 내가 산 물건 목록도 그렇습니다. 이런 건 다시 발급받을 수가 없습니다.

며칠 뒤 이런 연락이 올 수도 있습니다. “지갑 찾았어요. 돌려드리려면 이 링크에서 본인 확인해 주세요.” 상대는 내 이름도, 학교도 압니다. 지갑을 들고 있으니까요.

이번 주에 보도된 사건이 이 장면과 닮았습니다. 이 글은 잃어버린 지갑 이야기로 끝까지 갑니다.

먼저, 내 휴대폰에 올 수 있는 문자

문자가 한 통 옵니다. 내 이름이 적혀 있습니다. 지난번에 산 옷 이름도 있습니다. 통관이 보류됐으니 개인통관고유부호를 다시 확인해 달라고 합니다. 링크를 누르면 관세청처럼 꾸민 페이지가 뜹니다. 거기서 통관번호와 계좌 정보를 넣으라고 합니다.

개인통관고유부호는 관세청이 개인에게 내주는 번호입니다. 해외 쇼핑몰에서 직접 산 물건(해외직구)이 세관을 통과할 때 씁니다. 줄여서 통관번호라고 부르겠습니다.

사실 남성 패션 앱 룩핀의 운영사 레벨13이 해킹을 인정했습니다. 9월 16일 회사 안의 데이터 분석 시스템에 외부에서 비정상적인 접근이 있었다고 했습니다. 그 과정에서 고객 정보 일부가 나갔다고 밝혔습니다.

사실 회사는 9월 20일 이메일로 처음 알렸습니다. 이때 밝힌 유출 항목은 네 가지였습니다. 이메일, 암호화된 비밀번호, 전화번호, 접속 IP입니다. 접속 IP는 인터넷에 접속할 때 기기에 붙는 주소입니다.

사실 그 뒤 회사가 확인한 유출 항목이 크게 늘었습니다. 새로 더해진 항목은 이렇습니다.

  • 받는 사람 이름·주소·연락처
  • 환불계좌
  • 가린 카드번호 (번호 일부를 가려서 저장한 것)
  • 주문내역
  • 개인통관고유부호
  • 출생연도, 키, 몸무게

사람마다 나간 항목은 다릅니다. 모두에게 전부 나간 건 아닙니다.

사실 룩핀은 배송·환불·보상을 핑계로 오는 문자와 전화를 조심하라고 당부했습니다. 문자 속 링크를 누르지 말고 공식 앱이나 홈페이지에서 확인하라고 했습니다.

추정 분명히 해 둘 것이 있습니다. 위에 적은 문자는 “올 수 있는” 문자입니다. 유출된 정보를 쓴 사기 문자가 실제로 발송됐다는 확인은 아직 없습니다. 통관번호가 실제로 도용됐다는 보도도 없습니다. 지금은 회사가 “조심하라”고 말한 단계입니다. 다만 그런 문자를 만들 재료가 나간 것은 확인됐습니다. 그래서 이 글을 씁니다.

지갑으로 옮겨 보면 이렇습니다. 지갑은 이미 남의 손에 있습니다. 아직 “지갑 찾았어요” 연락이 온 것은 아닙니다. 그래도 카드는 지금 막아야 합니다.

왜 통하나 — 지갑 속 영수증까지 들고 있어서

추정 가짜 문자를 가려낼 때 우리는 보통 이렇게 판단합니다. 상대가 나에 대해 얼마나 아는지 봅니다. “고객님”이라고만 쓰면 의심합니다. 내 이름과 내가 산 옷 이름까지 적혀 있으면 믿습니다.

추정 이번에 나간 목록을 다시 보세요. 받는 사람 이름과 주소가 있습니다. 주문내역이 있습니다. 통관번호와 환불계좌도 있습니다. “통관 보류” 문자 한 통에 필요한 재료가 한 지갑에 다 들어 있는 셈입니다. 그래서 “이렇게 자세히 아는 걸 보니 진짜겠지” 하는 판단이 이번에는 통하지 않습니다. 자세히 안다는 건 진짜라는 증거가 아닙니다. 새어 나간 정보를 들고 있다는 신호일 수 있습니다.

추정 시기도 겹칩니다. 추석 연휴라 택배 문자가 평소보다 많이 오는 때입니다. 진짜 택배 문자 사이에 가짜가 한 통 섞여도 눈에 잘 띄지 않습니다.

그런 문자를 흔히 스미싱이라고 부릅니다. 문자(SMS)와 피싱(속여서 정보를 빼가는 사기)을 합친 말입니다.

사실 정보가 나간 길은 이렇게 설명됐습니다. 회사는 Metabase라는 데이터 분석 도구의 보안 취약점이 악용된 것으로 보고 있습니다. Metabase는 회사 안에서 쌓인 데이터를 표나 그래프로 뽑아 보는 프로그램입니다. 취약점은 프로그램에 난 틈입니다. 원래 막혀 있어야 할 곳이 열려 있는 상태를 말합니다.

사실 수상한 접근은 8월 29일과 9월 15~16일에 있었다고 보도됐습니다. 회사는 9월 16일 오후 3시쯤 모르는 계정을 발견했다고 밝힌 것으로 보도됐습니다. 같은 날 그 시스템 접속을 막았다고 했습니다. 막은 날짜는 보도마다 조금씩 다릅니다. 여기서는 “발견한 날 막았다”는 회사 설명을 따릅니다.

사실 룩핀은 한국인터넷진흥원(KISA)에 침해사고 신고를, 관계 기관에 개인정보 유출 신고를 마쳤다고 밝힌 것으로 보도됐습니다. 김종현 대표가 고객 정보를 지키지 못한 데 대해 사과했다는 보도도 나왔습니다.

추정 그 틈이 정확히 어떻게 뚫렸는지는 이 글에서 다루지 않습니다. 독자에게 필요한 건 방법이 아닙니다. 지갑에 무엇이 들어 있었는지, 그리고 무엇을 바꿔야 하는지입니다.

숫자로 본 크기

숫자를 표로 놓겠습니다. 셋째 칸을 먼저 봐 주세요. 누가 한 말인지가 숫자만큼 중요합니다.

숫자 무엇 누가 한 말인가
270만 가지고 있다고 주장하는 고객 수 해커 주장 · 회사 확인 없음
1,100만 가지고 있다고 주장하는 주문 건수 해커 주장 · 회사 확인 없음
9월 18일 해킹 포럼에 룩핀 데이터 판매 글이 올라온 날 보도
9월 20일 회사가 이메일로 처음 알린 날 보도

사실 270만과 1,100만은 해커가 한 말입니다. 해킹 포럼은 해커들이 자료를 사고파는 인터넷 게시판입니다. 거기 올라온 판매 글에 적힌 숫자입니다. 회사는 이 데이터가 진짜인지 확인해 주지 않았습니다. 그리고 이 숫자는 피해자 수가 아닙니다. 실제로 정보가 나간 사람이 몇 명인지는 회사가 아직 밝히지 않았습니다. 겹치는 계정을 걸러내며 세는 중이라고 했습니다.

추정 그래도 두 숫자를 나란히 놓으면 보이는 게 있습니다. 1,100만을 270만으로 나누면 한 사람당 주문 네 건꼴입니다. 해커 말이 맞다면, 한 사람의 지갑에서 영수증이 한 장이 아니라 한 뭉치씩 나온 셈입니다. 산 옷 이름이 여러 개 적힌 문자를 만들 수 있다는 뜻입니다.

사실 날짜도 봐 주세요. 판매 글은 9월 18일에 올라왔다고 보도됐습니다. 회사의 첫 알림은 9월 20일이었습니다. 판매 글이 공지보다 이틀 먼저입니다.

추정 지갑을 잃어버린 걸 알기 전에, 누군가 이미 그 지갑을 시장에 내놨을 수도 있다는 이야기입니다. 다만 팔리고 있다는 데이터가 이번 사고의 데이터와 같은지는 확인되지 않았습니다.

사실 회사가 모르는 계정을 발견한 날은 9월 16일입니다. 오늘은 9월 24일입니다. 8일째입니다.

그래서 지금 할 일

지갑을 잃어버린 날의 순서 그대로입니다. 먼저 뭐가 들어 있었는지 확인합니다. 다음으로 새로 받을 수 있는 것부터 바꿉니다.

하나. 내 지갑에서 무엇이 나갔는지 본다.

룩핀 공식 앱이나 홈페이지에서 유출 조회 기능을 쓰면 됩니다. 본인인증을 거치면 내 정보 중 무엇이 나갔는지 볼 수 있다고 보도됐습니다. 사람마다 나간 항목이 다르니 꼭 직접 확인하세요. 조회 결과에 통관번호나 환불계좌가 있다면 셋째 단계까지 해야 합니다.

둘. 비밀번호를 바꾼다. 같은 비밀번호를 쓰던 곳도 전부.

이번에 나간 건 “암호화된 비밀번호”입니다. 비밀번호를 알아볼 수 없게 바꿔서 저장한 값이라는 뜻입니다. 그런데 그 값을 얼마나 풀어내기 어렵게 저장했는지는 알려지지 않았습니다. 모를 때는 바꾸는 게 맞습니다. 다른 사이트에서 같은 비밀번호를 쓰고 있었다면 거기도 바꾸세요. 지갑 속 카드 한 장이 다른 문도 여는 열쇠였다면, 그 문들 자물쇠도 바꿔야 하니까요.

셋. 통관번호가 나갔다면, 새로 받는다.

이번 사고에서 카드처럼 새로 받을 수 있는 번호가 바로 통관번호입니다. 관세청 전자상거래 통관포털에 부호변경 메뉴가 있는 것까지 확인했습니다.

이때 중요한 게 하나 있습니다. 문자 속 링크로 들어가지 마세요. 주소창에 관세청 통관포털 주소를 직접 입력해서 들어갑니다. 주소는 글 끝 출처에 적어 두었습니다.

들어간 김에 해외직구 통관 기록도 조회해 보세요. 내가 주문한 적 없는 통관 기록이 있으면 같은 포털의 도용신고 메뉴로 신고합니다.

번호를 새로 받으면 옛 번호가 바로 멈추는지는 우리가 확인하지 못했습니다. 한 해에 몇 번까지 바꿀 수 있는지도 확인하지 못했습니다. 포털 화면의 안내를 따르세요.

넷. 배송·환불·보상·통관을 핑계로 링크를 보내는 문자는 일단 의심한다.

내 이름이 맞고, 산 옷 이름이 맞아도 마찬가지입니다. 링크를 누르지 않습니다. 룩핀이면 룩핀 공식 앱에서, 통관이면 관세청 포털에서 내가 직접 찾아가서 확인합니다.

추정 지갑 이야기로 마무리하겠습니다. 카드는 막고 새로 받으면 됩니다. 이번 사고에서는 비밀번호와 통관번호가 그 카드입니다. 하지만 이름, 주소, 키와 몸무게, 내가 산 옷 목록은 새로 받을 수가 없습니다. 그래서 규칙이 하나 더 필요합니다. “지갑 찾았어요” 하고 먼저 연락해 온 쪽 링크로는 가지 않는다. 분실물 센터에는 내가 직접 찾아간다. 상대가 나를 얼마나 잘 아는지는 기준이 아닙니다. 누가 먼저 연락해 왔는지가 기준입니다.

우리가 모르는 것

이 블로그는 확인되지 않은 걸 확인된 것처럼 쓰지 않습니다. 이번 건에서 아직 모르는 것들입니다.

  • 실제로 정보가 나간 사람이 몇 명인지 모릅니다. 회사는 겹치는 계정을 걸러내며 세는 중이라며 규모를 밝히지 않았습니다.
  • 해킹 포럼에서 팔리는 데이터가 이번 사고의 데이터와 같은지 모릅니다. 270만·1,100만은 해커 주장이고 회사는 확인해 주지 않았습니다.
  • 통관번호가 실제로 도용된 사례가 있는지 모릅니다. 보도된 사례는 없습니다.
  • 유출 정보를 쓴 사기 문자가 실제로 발송됐는지 모릅니다. 지금은 우려와 당부 단계이고, 확인된 사례는 없습니다. 이 글의 문자 장면은 “올 수 있는” 일이지 “이미 벌어진” 일이 아닙니다.
  • 이메일과 암호화된 비밀번호가 전 회원 것인지, 일부 것인지 모릅니다. 보도마다 표현이 다릅니다.
  • 비밀번호를 어떤 방식으로 저장했는지 모릅니다. 풀어내기 쉬운 방식이었는지 알려지지 않았습니다.
  • 보상 계획을 모릅니다. 보도된 내용이 없습니다.
  • 통관번호를 새로 받을 때 횟수 제한이 있는지, 옛 번호가 바로 멈추는지 모릅니다. 1차 출처에서 확인하지 못했습니다.
  • 누가 했는지 모릅니다. 공격 주체는 보도되지 않았습니다. 그래서 이 글에는 국적도 조직 이름도 없습니다.
  • 룩핀의 공지 원문을 직접 보지 못했습니다. 이메일과 앱 공지는 우리가 열어 볼 수 없었습니다. 네 매체의 보도가 같은 내용을 전하는지 서로 대조했습니다.

확인되지 않은 것: 룩핀 공지 원문, 실제 유출 인원, 판매 데이터의 진위, 사기 문자 실제 발송 여부, 통관번호 도용 사례, 통관번호 재발급 횟수 제한과 옛 번호 정지 여부, 공격 주체. 차단 시각은 보도마다 조금씩 달라서 회사 설명(“발견 당일 차단”)을 따랐습니다.

출처

1차 출처는 룩핀(레벨13)이 이용자에게 보낸 유출 통지와 관세청 통관포털입니다. 룩핀 통지 원문은 확인하지 못해서 아래 보도로 대신합니다.

이 글은 우리 허니팟 관측이 아니라 남의 취재를 재료로 씁니다. 그래서 공격 타임라인·MITRE·IOC 블록이 없습니다. 없는 자료를 만들어 넣지 않았습니다. 공격자 IP나 자격증명도 브리프에 없어서 싣지 않았습니다. 따라서 마스킹하거나 인용할 값도 없습니다. 모든 사실은 2026년 9월 20~22일 보도를 기준으로 적었습니다. 회사 공지 원문은 직접 확인하지 못했으므로, 한 매체만 전한 내용은 본문에서 “보도됐습니다”로 구분했습니다. 270만·1,100만은 해커 주장이며 피해자 수가 아닙니다. 공격 주체·국적은 확인되지 않아 적지 않았습니다. 따라 할 수 있는 명령어·공격 주소·절차는 싣지 않았습니다. 기준일 2026-09-24 · 발행일 2026-09-24.