회사 복지몰로 쓰는 현대이지웰에서 개인정보가 유출됐다. 2026년 10월 29일 밤 회원정보 조회 API에 외부의 비정상적인 접근이 있었고, 회사는 다음 날인 10월 30일 대표이사 명의 사과문으로 유출 사실을 확인했다. 복지몰 이용자는 대부분 고객사 임직원이라, 이름과 연락처가 복지포인트나 회사 메일을 사칭한 피싱에 쓰일 수 있다는 점이 이번 사고의 실질적인 위험이다. 이 글은 무엇이 유출됐는지, 내 정보가 포함됐는지 어떻게 확인하는지, 그리고 지금 당장 무엇을 해야 하는지를 사실만으로 정리한다.
리드
회사 복지몰로 쓰는 현대이지웰에서 개인정보가 유출됐다. 2026년 10월 29일 밤 회원정보 조회 API에 외부의 비정상적인 접근이 있었고, 회사는 다음 날인 10월 30일 대표이사 명의 사과문으로 유출 사실을 확인했다. 확인된 핵심 항목은 이름, 생년월일, 성별, 휴대전화번호, 이메일이다. 유출 규모는 아직 공개되지 않았고 관계기관과 함께 조사 중이다. 복지몰 이용자는 대부분 고객사 임직원이라, 이름과 연락처가 복지포인트나 회사 메일을 사칭한 피싱에 쓰일 수 있다는 점이 이번 사고의 실질적인 위험이다.
한눈에 보는 사고
| 항목 | 내용 | 비고 |
| 인지 시점 | 2026년 10월 29일 오후 9시경 | 회원정보 조회 API 비정상 접근 |
| 회사 확인·사과 | 2026년 10월 30일 | 박종선 대표이사 명의 사과문 |
| 확인된 핵심 항목 | 이름·생년월일·성별·휴대전화번호·이메일 | 보도에 따라 주소·아이디 추가 언급 있음 |
| 유출 규모 | 미공개, 조사 중 | 전체 인원 확정 전 |
| 2차 피해 | 확인된 사례 없음(회사 설명) | 10월 30~31일 보도 기준 |
| 신고 기관 | 금융감독원·한국인터넷진흥원(KISA) | 관계기관과 경위·범위 조사 중 |
| 상담센터 | 02-3282-0505, 24시간 | 2026년 10월 31일 오전 9시 30분부터 |
무슨 일이 있었나
공격 대상은 회원정보 조회 API였다. API는 웹사이트나 모바일 앱이 서버에 저장된 회원정보를 조회하거나 처리할 때 사용하는 연결 기능이다. 접근권한 검증이나 비정상적인 조회 요청에 대한 통제가 충분하지 않으면 개인정보가 외부에 노출될 위험이 있다. 현대이지웰은 비정상 접근을 인지한 직후 공격에 사용된 IP를 차단하고 해당 시스템에 대한 외부 접근을 전면 차단했다고 밝혔다. 이어 금융감독원과 한국인터넷진흥원(KISA)에 사고를 신고하고, 관계기관과 함께 사고 경위와 유출 범위를 조사하고 있다. 다만 구체적인 취약점이나 공격 방식은 공개되지 않았다. 인증 우회인지, 접근통제 문제인지 등은 추가 조사가 나와야 알 수 있다.
무엇이 유출됐나 — 보도마다 다른 항목 수
항목 수를 놓고 보도마다 숫자가 다르다는 점은 독자가 가장 헷갈릴 부분이다. 회사 공지를 전한 서울경제는 이름, 생년월일, 성별, 휴대전화번호, 이메일 5가지를 적었다. 보안뉴스는 여기에 주소를 더한 6가지를, 데일리시큐는 아이디와 주소까지 포함한 7가지를 유출 항목으로 보도했다. 세 보도가 공통으로 적는 핵심은 이름·생년월일·성별·휴대전화번호·이메일 5가지다. 주소나 아이디가 모든 이용자에게 해당되는지, 일부 고객사에만 해당되는지는 아직 확인되지 않았다. 그래서 확정된 전체 목록을 묻는다면, 정직한 답은 아직 조사 중이라는 것이다. 개별 통지를 받으면 그 통지에 적힌 항목이 자기에게 해당하는 목록이다.
누가 영향을 받나
현대이지웰은 공공 및 기업 임직원을 위한 선택적 복지제도를 위탁 운영하는 복지 플랫폼 전문기업이다. 고객사는 약 2,700여 곳, 이용 임직원은 340만 명에 달한다. 이 숫자가 곧 유출 인원은 아니다. 유출 규모 자체는 미공개이고, 전체 이용자 중 일부의 정보가 유출된 것으로 전해질 뿐이다. 다만 한 가지 별도 확인된 사례가 있다. 현대이지웰이 운영하는 경찰청 복지포털 이용 고객 중 52명의 개인정보 유출이 확인됐고, 해당 사실은 10월 30일 밤 10시 이후 복지몰 이용 경찰관들에게 문자 메시지로 통보됐다. 소속 기관의 복지몰을 쓴다면, 회사나 기관에서 오는 개별 통지가 있는지 먼저 확인하는 것이 순서다.
회사가 한 일과 앞으로 할 일
회사가 밝힌 대응은 네 가지다. 첫째, 공격 IP 차단과 해당 시스템 외부 접근 전면 차단. 둘째, 금융감독원과 KISA 신고 및 관계기관과의 조사 협조. 셋째, 전사 보안 시스템과 취약점의 전면 재점검과 24시간 실시간 보안 모니터링 강화. 넷째, 유출이 확인된 고객에게 사고 내용과 피해 예방 조치를 개별적으로 안내하는 것이다. 보상 방침도 밝혔다. 이번 사고로 인한 피해가 확인되면 전액 보상하겠다는 방침이다. 24시간 전담 상담센터는 2026년 10월 31일 오전 9시 30분부터 운영되며, 번호는 02-3282-0505이다. 보상이나 통지 일정이 구체적으로 언제까지인지에 대해서는 아직 공개된 내용이 없다. 통지를 기다리는 동안에는 복지몰을 사칭한 연락에 먼저 대응하지 않는 것이 안전하다.
지금 해야 할 일 체크리스트
| 상황 | 해야 할 일 | 비고 |
| 개별 통지를 받았다 | 통지에 적힌 항목과 안내를 확인하고 상담센터에 문의 | 02-3282-0505, 24시간 |
| 복지몰·복지포인트 사칭 연락을 받았다 | 링크를 누르지 말고, 첨부파일을 열지 말고, 전체 화면을 캡처 | 발신자 차단·삭제는 신고 뒤에 |
| 같은 비밀번호를 다른 곳에도 쓴다 | 복지몰 비밀번호부터 바꾸고, 다른 사이트의 동일 비밀번호도 교체 | 비밀번호 재사용이 2차 피해 경로 |
| 의심스러운 결제·가입 알림이 왔다 | 통신사·카드사에 내역을 확인하고 부정 사용이면 사용정지 요청 | 증거 문자·내역은 보관 |
| 실제 피해가 발생했다 | 상담센터와 118에 신고하고, 분쟁조정을 검토 | 개인정보분쟁조정위원회 1833-6972 |
신고·보상 경로
신고 경로는 역할이 다르다. 개인정보 침해 상담과 신고는 한국인터넷진흥원 개인정보침해 신고센터(118)가 맡는다. 손해배상을 둘러싼 분쟁은 개인정보분쟁조정위원회(1833-6972)에 조정을 신청할 수 있고, 양측이 조정안을 수락하면 재판상 화해와 같은 법적 효력이 생긴다. 회사의 전액 보상 방침은 피해가 확인되는 경우에 적용되는 것으로 발표됐다. 보상 신청 절차나 서류가 아직 공개되지 않았으므로, 피해 사실을 입증할 자료 — 통지문 캡처, 의심 문자, 결제 내역 — 를 미리 모아 두는 것이 도움이 된다. 스팸이 늘었다는 사실만으로는 유출과의 인과관계를 입증하기 어려울 수 있다는 점도 염두에 두는 것이 좋다.
자주 묻는 질문
출처
마무리
아직 확인되지 않은 것이 많다. 전체 유출 규모와 공격 방식, 확정된 전체 항목 목록은 조사 중이다. 그래서 지금 할 일은 두 가지로 좁혀진다. 첫째, 복지몰을 사칭한 문자나 메일의 링크는 누르지 않고, 통지 여부와 상담센터를 통해 자기 상황을 확인한다. 둘째, 의심스러운 연락은 캡처해 두고 118이나 분쟁조정 경로로 넘긴다. 새로운 사실이 공개되면 그때 다시 확인하는 것이 순서다.
아직 확인되지 않은 것이 많다. 전체 유출 규모와 공격 방식, 확정된 전체 항목 목록은 조사 중이다. 그래서 지금 할 일은 두 가지로 좁혀진다. 첫째, 복지몰을 사칭한 문자나 메일의 링크는 누르지 않고, 통지 여부와 상담센터를 통해 자기 상황을 확인한다. 둘째, 의심스러운 연락은 캡처해 두고 118이나 분쟁조정 경로로 넘긴다. 새로운 사실이 공개되면 그때 다시 확인하는 것이 순서다.