룩핀에 가입한 적이 있으신가요. 최근에 안 썼더라도 계정이 살아있다면 이 글을 꼭 끝까지 봐주시면 좋겠습니다. 남성 패션 플랫폼으로 알려진 룩핀에서 개인정보 유출 사고가 발생했고, 그 규모가 생각보다 큽니다.
운영사인 레벨13은 2026년 9월 16일 오후 3시쯤 내부 데이터 분석 시스템에서 미확인 계정의 접근을 발견했고, 같은 날 오후 5시 30분쯤 해당 시스템 접근을 차단했다고 밝혔습니다. 문제는 이미 그 전부터 이상 징후가 있었다는 점입니다.
회사 조사 결과 지난 8월 29일과 이달 15일부터 16일 사이에 대량으로 정보를 조회하고 반출한 흔적이 확인됐습니다. 즉 한 번의 접근이 아니라 최소 한 달 가까이 데이터가 들여다보이고 있었을 가능성이 있다는 뜻입니다.
확인 안 하고 넘기면, 내 비밀번호가 지금도 어딘가에서 거래되고 있을 수 있습니다.
룩핀에서 대체 무슨 일이 있었나
회사 측 설명에 따르면 이번 사고의 원인은 데이터 분석 도구인 메타베이스의 보안 취약점을 악용한 외부 공격입니다. 쉽게 말해 룩핀이 내부적으로 쓰던 데이터 분석 프로그램에 구멍이 있었고, 그 구멍을 통해 해커가 회원 데이터베이스에 접근했다는 이야기입니다.
룩핀은 사고를 인지한 당일 곧바로 해당 시스템 접근을 차단하고 한국인터넷진흥원, 즉 KISA에 침해사고 신고와 개인정보 유출 신고를 접수했습니다. 이후 레벨13 김종현 대표이사가 직접 사과문을 내고 후속 대응을 챙기겠다는 입장을 밝힌 상태입니다.
공식적으로 안내된 유출 항목은 이메일과 비밀번호 해시값입니다. 비밀번호 해시는 원문 그대로가 아니라 암호화된 형태이긴 하지만, 해독이 아예 불가능하다고 안심할 수는 없다는 게 보안업계의 대체적인 시각입니다.
다크웹에 270만건이 떴다는 게 사실일까
더 불안한 소식도 있습니다. 이번 유출 데이터로 추정되는 정보가 다크웹에서 판매되고 있는 정황이 확인됐다는 보도가 나왔습니다. 판매자는 회원정보 약 270만건, 주문정보 약 1100만건이 유출됐다고 주장하고 있습니다.
공개된 샘플에는 회사가 공식적으로 안내한 이메일·비밀번호 해시 외에도 이름과 주소, 주문 내역 같은 정보가 포함돼 있었다는 이야기도 있습니다. 다만 이 수치와 항목은 해커 측 주장에 기반한 것으로, 회사가 공식 확인한 범위와는 차이가 있을 수 있다는 점은 감안해서 보셔야 합니다.
룩핀 측도 이 부분을 인지하고 있는 듯합니다. 추가 유출 항목이나 필요한 보호 조치가 확인되면 지체 없이 안내하겠다는 공지를 이용자들에게 발송한 상태입니다. 지금 안내된 게 전부가 아닐 수 있다는 뜻이라 더 신경 쓰이는 대목입니다.
내 정보 유출 여부, 확인하는 방법
가장 궁금한 부분일 텐데요, 룩핀은 이용자가 본인 인증을 거쳐 자신에게 해당하는 개인정보 유출 항목을 직접 확인할 수 있는 조회 기능을 새로 마련했습니다. 별도로 신청서를 내거나 자격을 증명할 필요 없이, 룩핀 계정으로 로그인한 뒤 본인 인증만 하면 확인이 가능한 구조입니다.
확인 대상은 룩핀에 가입한 이력이 있는 회원 전체입니다. 최근에 활동을 안 했거나 탈퇴를 고민 중이었던 계정도 예외가 아니니, 예전에 한 번이라도 가입했다면 조회해보시는 게 안전합니다. 회사가 이메일로도 유출 안내 공지를 발송했으니 메일함도 한 번 확인해보시길 권합니다.
조회 결과에서는 자신에게 해당하는 유출 항목이 이메일뿐인지, 비밀번호 해시까지 포함되는지를 구체적으로 확인할 수 있습니다. 항목이 다르면 대응해야 할 우선순위도 달라지니, 막연히 넘기지 말고 직접 눈으로 확인하는 절차가 필요합니다.
비밀번호 재사용했다면 지금 바로 할 일
룩핀에서 쓰던 비밀번호를 다른 사이트에서도 그대로 쓰고 있다면, 그 사이트들의 비밀번호부터 바꾸는 게 우선입니다. 이메일과 비밀번호 조합이 유출됐다는 건, 같은 조합을 다른 쇼핑몰이나 포털 로그인에도 그대로 대입해보는 시도가 뒤따를 수 있다는 뜻이기 때문입니다.
실제로 보안업계에서는 이런 방식의 크리덴셜 스터핑 공격을 유출 사고 이후 가장 흔하게 발생하는 2차 피해로 꼽습니다. 룩핀 비밀번호와 겹치는 계정이 있다면 미루지 말고 오늘 중으로 바꿔두시는 걸 권합니다.
다크웹 판매 주장처럼 주소나 주문 정보까지 함께 유출됐을 가능성이 있는 경우라면, 택배 사칭이나 결제 유도를 노린 스미싱 문자에도 평소보다 조심하셔야 합니다. 출처가 불분명한 링크는 누르지 않는 게 기본 원칙입니다.
피해 보상, 받을 수 있을까
보상 범위나 금액이 아직 확정 발표되지는 않았습니다. 개인정보보호법상 기업의 안전조치 의무 위반이 인정되면 과징금과 함께 피해자에 대한 손해배상 책임이 발생할 수 있는데, 이 부분은 KISA와 개인정보보호위원회의 조사 결과가 나와야 윤곽이 잡힐 것으로 보입니다.
과거 유사 사례들을 보면 유출 규모와 피해 정도에 따라 집단 소송이나 정부 차원의 시정조치로 이어진 경우가 많았습니다. 룩핀 측이 사과문에서 후속 대응을 챙기겠다고 밝힌 만큼, 조사 결과와 보상 절차 관련 공지가 추가로 나올 가능성이 높으니 회사 공지를 주기적으로 확인해보시는 게 좋습니다.
한편 방송통신위원회는 이번 사고 이전에도 국내 스타트업들을 대상으로 개인정보보호 교육과 정책 간담회를 이어온 바 있습니다. 잇따르는 유출 사고의 원인으로 기업의 기본적인 투자와 인식 부족을 지적해온 만큼, 이번 사고 이후 업계 전반의 보안 점검이 강화될 것으로 예상됩니다.
룩핀 계정, 지금 그냥 두면 안 되는 이유
유출 사고는 확인이 늦어질수록 대응도 늦어집니다. 이메일 공지를 놓쳤거나 스팸함으로 분류됐을 수도 있으니, 룩핀 계정이 있다면 직접 앱이나 웹사이트에 접속해 조회 기능으로 확인하는 게 가장 확실합니다.
비밀번호는 룩핀뿐 아니라 같은 조합을 쓰는 모든 사이트에서 바꾸고, 이후로는 사이트마다 다른 비밀번호를 쓰는 습관을 들이는 게 근본적인 대책입니다. 당장 번거롭더라도 지금 5분 투자하는 게, 나중에 겪을 수 있는 피해보다는 훨씬 작은 비용입니다.
[사진 출처 : 네이버 포토뉴스]