2026년 G마켓 개인정보 유출 사건

2026년 G마켓 개인정보 유출 사건
다른 명칭	G마켓 e쿠폰 유출 사건, 지마켓 개인정보 유출 사건
발생 시기	2026년 10월 28일 ~ 29일 (회사 발표 기준)
사고 확인	2026년 10월 30일
공식 사과	2026년 11월 1일
발생 업체	G마켓
추가 정보 (13개) 국가 대한민국 사건 유형 개인정보 유출, 사이버 공격, e쿠폰 무단 사용 침해 경로 외부 서비스 API 취약점을 악용한 비인가 접근 (회사 발표) 유출 정보 고객 이름, 아이디, 전화번호, 이메일, 주소, e쿠폰 PIN 번호 비밀번호 유출 로그인 비밀번호 유출 없음 (회사 발표) 피해 규모 정확한 인원·유출 건수 미공개 금전 피해 일부 고객의 모바일 상품권 무단 사용 피해 보상 e쿠폰 피해액 전액 보상 및 개인정보 유출 고객 스마일캐시 1만 원 대응 기관 한국인터넷진흥원, 개인정보보호위원회 신고 일자 KISA 2026년 10월 30일 개인정보보호위원회 2026년 11월 1일 주요 조치 비인가 접근 차단, 긴급 보안 점검, 쿠폰 PIN 번호 교체, 피해 보상 조사 상태 사고 원인 및 전체 피해 규모 조사 중 공식 안내 G마켓 공식 사과문

개요

2026년 G마켓 개인정보 유출 사건은 2026년 10월 말 대한민국의 대형 온라인 쇼핑몰 G마켓에서 발생한 개인정보 유출 및 모바일 상품권 무단 사용 사건이다.

일부 이용자가 G마켓에서 구매한 모바일 상품권의 PIN 번호가 본인의 허락 없이 제3자에게 사용된 사실을 발견하면서 사건이 알려졌다. 이후 G마켓은 외부에서 허가 없이 서비스에 접근한 정황을 확인하고 한국인터넷진흥원(KISA)에 침해사고를 신고했다.

처음에는 일부 고객이 보유한 전자쿠폰의 무단 사용 문제로 알려졌으나, 이후 조사 과정에서 고객 이름과 아이디, 전화번호, 이메일, 주소 및 e쿠폰 PIN 번호 등이 외부로 유출된 사실이 확인되었다고 회사가 밝혔다.

G마켓은 사고 원인에 대해 외부 서비스의 API 취약점을 악용한 비인가 접근이라고 설명했다.

다만 정확한 공격 경로와 보안상의 결함, 공격자의 신원 및 전체 유출 규모는 2026년 11월 2일 기준 최종적으로 공개되지 않았다.

특히 이번 사건은 단순히 고객의 개인정보가 외부에 노출되는 데 그치지 않고, 일부 고객이 이미 구매해 보관하고 있던 모바일 상품권이 실제로 무단 사용되었다는 특징이 있다.

상품권은 PIN 번호를 등록하거나 입력하여 사용할 수 있는 경우가 많으므로, PIN 번호가 제3자에게 노출되면 원래 구매자가 사용하기 전에 다른 사람이 해당 상품권을 사용할 수 있다.

G마켓은 2026년 10월 30일 사고를 확인하고 긴급 보안 조치를 시행했으며, 11월 1일 공식 사과문을 게시했다.

또한 금전적인 피해가 확인된 고객에게는 해당 상품권의 액면가 전액을 보상하고, 직접적인 e쿠폰 피해가 없는 개인정보 유출 고객에게도 스마일캐시 1만 원을 지급했다고 발표했다.

그러나 정확한 유출 피해 고객 수와 전체 금전 피해 규모는 공개하지 않았다.

2026년 11월 2일 기준 관련 기관의 조사가 진행 중이므로, 확인되지 않은 공격 방법이나 책임 소재를 확정적으로 서술하는 것은 적절하지 않다.

사건 배경

G마켓

G마켓 문서를 참고하십시오.

G마켓은 대한민국의 대표적인 오픈마켓 및 전자상거래 서비스 가운데 하나다.

이용자들은 G마켓을 통해 여러 판매자가 등록한 상품을 구매할 수 있다.

판매되는 상품에는 일반적인 생활용품과 전자제품, 의류 및 식품뿐 아니라 문화상품권과 모바일 쿠폰 등 디지털 상품도 포함된다.

특히 모바일 상품권은 물리적인 배송 없이 문자메시지나 앱 등을 통해 PIN 번호와 바코드 등의 형태로 제공할 수 있다는 특징이 있다.

G마켓에서는 구매한 일부 모바일 상품권을 계정의 e쿠폰 관련 메뉴나 선물함 등에서 확인할 수 있다.

이번 사건은 이러한 디지털 상품을 보관하고 관리하는 과정에서 고객의 정보와 쿠폰 PIN 번호가 외부에서 무단으로 조회되거나 사용된 문제와 관련되어 있다.

모바일 상품권과 PIN 번호

모바일 상품권 문서를 참고하십시오.

모바일 상품권은 상품이나 서비스를 교환할 수 있도록 발행하는 디지털 형태의 상품권이다.

일반적으로 특정한 금액이나 상품에 대한 사용 권리를 나타내며, 바코드나 QR 코드 또는 PIN 번호 등을 통해 등록하거나 사용할 수 있다.

일부 상품권은 다른 서비스에 PIN 번호를 입력하여 금액을 충전하는 방식으로 사용된다.

이러한 구조에서는 PIN 번호 자체가 금전적 가치를 가진 정보에 해당할 수 있다.

예를 들어 5만 원 상당의 상품권 PIN 번호가 다른 사람에게 노출되고 그 사람이 먼저 등록한다면, 원래 구매자가 해당 상품권을 사용하지 못하는 문제가 발생할 수 있다.

따라서 상품권 PIN 번호는 일반적인 주문번호나 상품명과 다르게 취급해야 한다.

이번 사건에서도 이러한 PIN 번호가 제3자에게 무단으로 등록·사용된 정황이 중요한 문제로 떠올랐다.

외부 서비스 연동

대규모 전자상거래 플랫폼은 모든 기능을 자체적으로 개발하고 운영하지는 않는다.

결제와 배송, 인증 및 디지털 상품 발행 등의 기능을 제공하기 위해 외부 사업자의 시스템과 연동하는 경우가 많다.

이 과정에서 서로 다른 서비스가 정보를 주고받도록 하는 기술로 API가 활용된다.

API 자체가 보안 취약점이라는 의미는 아니다.

그러나 접근 권한과 인증, 고객별 조회 범위 등을 적절하게 통제하지 못하면 허가되지 않은 사용자가 정보를 조회하거나 특정한 기능을 실행하는 문제가 발생할 수 있다.

G마켓은 이번 사건이 외부 서비스 API의 취약점을 악용한 비인가 접근과 관련되어 있다고 설명했다.

다만 구체적인 API 구조와 취약점의 유형은 공개되지 않았다.

사건 경과

2026년 10월 28~29일: 비인가 접근

G마켓의 설명에 따르면 2026년 10월 28일부터 29일 사이 외부 서비스 API의 취약점을 악용한 비인가 접근으로 개인정보 유출이 발생했다.

이는 정상적인 권한을 가진 이용자가 자신의 정보를 확인하는 것과 달리, 허가되지 않은 방식으로 정보에 접근한 사건이라는 의미다.

회사는 이후 고객 이름과 아이디, 전화번호, 이메일 주소 및 e쿠폰 PIN 번호 등이 유출되었다고 밝혔다.

그러나 유출된 전체 데이터의 양과 각 개인정보 항목별 피해자 수는 공개하지 않았다.

또한 접근이 시작된 정확한 시각과 공격에 이용된 구체적인 취약점 등은 공식 조사 결과를 통해 추가 확인이 필요한 상황이다.

10월 29일: 온라인 커뮤니티 피해 주장

2026년 10월 29일 일부 인터넷 커뮤니티에 G마켓에서 구매한 모바일 상품권이 본인의 동의 없이 사용되었다는 주장이 게시되었다.

대표적으로 컬쳐랜드 상품권과 관련된 피해 주장이 나타났다.

한 이용자는 G마켓에 접속하지 않은 시간대에 보유하고 있던 상품권이 사용된 것으로 표시되었다고 주장했다.

당시 게시글에 따르면 해당 상품권은 오전 6시부터 7시 사이에 사용된 것으로 나타났다고 한다.

이와 비슷한 피해를 경험했다는 댓글도 이어졌다.

일부 이용자들은 상품권을 보관하는 메뉴의 본인확인 절차에 문제가 있을 수 있다는 의혹을 제기했다.

그러나 이러한 인터넷 게시글에 포함된 개별적인 주장이 모두 실제 유출 사고와 연결되는지는 당시 확인되지 않았다.

특히 상품권이 사용된 정확한 경로와 제3자가 PIN 번호를 확보한 방법은 추가적인 조사가 필요한 사안이었다.

10월 30일: G마켓 사고 확인

2026년 10월 30일 G마켓은 일부 고객의 e쿠폰 PIN 번호가 제3자에 의해 무단으로 등록·사용된 정황을 확인했다고 발표했다.

특히 비인가 접근 경로를 통해 일부 PIN 번호가 조회된 사실도 확인한 것으로 보도되었다.

G마켓은 사고를 인지한 뒤 해당 접근 경로를 차단하고 관련 시스템에 긴급 보안 조치를 시행했다.

또한 같은 날 한국인터넷진흥원에 침해사고를 신고했다.

당시 회사는 정확한 사고 원인과 피해 범위를 조사하고 있으며, 실제 피해가 확인된 고객에게는 보상하겠다는 입장을 밝혔다.

사고가 처음 보도되었을 당시에는 전체 유출 규모와 유출된 개인정보 항목이 구체적으로 공개되지 않았다.

따라서 초기 언론보도는 주로 모바일 상품권의 무단 사용 정황과 회사의 대응 조치를 중심으로 이루어졌다.

11월 1일: 공식 사과문 발표

2026년 11월 1일 G마켓은 공식 홈페이지에 개인정보 유출과 관련된 사과문을 게시했다.

공지 제목은 「개인정보 유출 관련 고객분들께 사과 및 안내 말씀드립니다」였다.

회사는 일부 고객의 개인정보가 유출된 정황을 확인했으며, 긴급 보안 점검과 취약한 접근 경로 차단 등 후속 조치를 시행했다고 밝혔다.

또한 직접적인 피해가 확인된 고객에게는 개별적으로 연락하여 피해 사실과 조치 사항을 안내했다고 설명했다.

특히 피해 금액 전액을 선제적으로 보상하고 개인정보 유출에 따른 추가 보상도 완료했다고 발표했다.

이와 함께 향후 조사 과정에서 확인되는 내용을 공개하겠다고 밝혔다.

다만 공식 사과문에서는 전체 피해자 수와 유출 건수 등 세부적인 정보가 명시되지 않았다.

11월 1일: 개인정보보호위원회 신고

G마켓은 10월 30일 한국인터넷진흥원에 침해사고를 신고한 데 이어 11월 1일 오후 개인정보보호위원회에도 사고를 신고했다.

이에 따라 개인정보 유출 여부와 사고 경위, 관련 보안 조치 등에 대한 관계기관의 확인 절차가 진행되게 되었다.

회사는 경찰 사이버수사대에도 사건을 신고할 계획이라고 밝혔다.

다만 경찰 신고 및 실제 수사의 진행 상황은 이후 공식 발표를 통해 구분하여 확인해야 한다.

11월 2일: 유출 항목 및 보상 내역 공개

2026년 11월 2일 G마켓은 개인정보 유출 피해 고객에 대한 보상을 완료했다고 밝혔다.

이와 함께 사고의 침해 경로와 유출 정보에 대한 구체적인 설명이 보도되었다.

회사에 따르면 사고는 외부 서비스 API의 취약점을 악용한 비인가 접근으로 발생했다.

유출된 정보에는 고객 이름과 아이디, e쿠폰 PIN 번호, 전화번호, 이메일 주소 및 주소 등이 포함되어 있었다.

반면 로그인 비밀번호는 유출되지 않은 것으로 확인됐다고 설명했다.

금전적인 피해가 발생한 고객에게는 피해액 전액을 보상했으며, e쿠폰 피해가 발생하지 않은 개인정보 유출 고객에게도 스마일캐시 1만 원을 지급했다.

또한 상품권을 보유한 고객들을 대상으로 e쿠폰 PIN 번호를 교체하는 작업을 순차적으로 진행한다고 밝혔다.

그러나 피해 고객의 정확한 수와 전체 유출 규모는 공개하지 않았다.

사건 일지

날짜	주요 내용
2026년 10월 28~29일	외부 서비스 API 취약점을 악용한 비인가 접근으로 개인정보 유출 발생(회사 발표)
10월 29일	온라인 커뮤니티에서 컬쳐랜드 상품권 등 무단 사용 피해 주장 제기
10월 30일	G마켓이 e쿠폰 PIN 번호 무단 조회 및 사용 정황 확인
10월 30일	비인가 접근 경로 차단 및 긴급 보안 조치
10월 30일	한국인터넷진흥원(KISA)에 침해사고 신고
11월 1일	G마켓 공식 사과문 게시 및 피해 고객 개별 안내
11월 1일	개인정보보호위원회 신고
11월 1일	회사가 확인한 피해 고객에 대한 보상 완료 발표
11월 2일	유출 개인정보 항목과 API 취약점 관련 설명 보도
11월 2일	e쿠폰 피해액 전액 보상 및 스마일캐시 1만 원 지급 사실 공개
이후	관계기관의 사고 원인 및 피해 규모 조사

위 일지는 2026년 11월 2일까지 확인된 공식 공지와 언론보도를 기준으로 한다.

유출된 개인정보

확인된 항목

G마켓이 2026년 11월 2일 설명한 유출 개인정보는 다음과 같다.

개인정보 항목	유출 여부	설명
고객 이름	유출	이용자의 성명
회원 아이디	유출	G마켓에서 사용하는 계정 식별 정보
휴대전화번호	유출	고객 연락처
이메일 주소	유출	고객의 전자우편 주소
주소	유출	고객이 등록한 주소 정보
e쿠폰 PIN 번호	유출	구매한 모바일 상품권을 등록·사용할 수 있는 정보
로그인 비밀번호	유출되지 않은 것으로 발표	회사가 확인한 조사 내용 기준
카드번호 및 계좌정보	확인된 유출 항목으로 발표되지 않음	조사 결과에 따라 확인 필요

특히 로그인 비밀번호가 유출되지 않았다는 사실과 개인정보가 유출되지 않았다는 사실은 전혀 다르다.

이번 사건에서는 로그인 비밀번호를 제외한 여러 개인정보와 e쿠폰 PIN 번호가 유출된 것으로 발표되었다.

또한 일부 항목이 공식적으로 유출된 정보 목록에 포함되지 않았다는 이유만으로 모든 관련 정보의 안전성이 최종적으로 검증되었다고 단정할 수는 없다.

이름과 연락처

고객 이름과 전화번호, 이메일 주소는 인터넷 서비스에서 흔히 사용하는 개인정보다.

그러나 이러한 정보가 외부에 노출될 경우 특정한 개인을 식별하거나 연락을 시도하는 데 악용될 수 있다.

특히 이용자의 실제 이름과 전화번호를 알고 있는 사람이 G마켓을 사칭하여 연락하면 피해자가 이를 정상적인 안내로 오인할 위험이 있다.

다만 이번 사건에서 유출된 정보가 실제로 별도의 스미싱이나 피싱 범죄에 사용되었다는 사실이 확인된 것은 아니다.

주소 정보

이번 사건에서는 고객의 주소도 유출 항목에 포함되었다.

주소 정보는 물품 배송과 고객 관리에 필요한 정보지만 개인의 생활 공간과 관련될 수 있다는 점에서 보호가 중요하다.

특히 이름과 전화번호 및 주소가 함께 유출되면 특정한 개인을 식별하는 데 활용될 수 있다.

그러나 주소 정보가 유출되었다는 사실만으로 실제 주거침입이나 다른 범죄가 발생했다고 단정할 수는 없다.

e쿠폰 PIN 번호

이번 사건에서 가장 직접적인 금전 피해와 연결된 정보다.

일부 모바일 상품권은 PIN 번호만으로 다른 서비스에 등록하거나 상품권의 금액을 사용할 수 있다.

따라서 PIN 번호가 외부로 유출되어 제3자가 먼저 사용하면 원래 구매자는 금전적인 손실을 입을 수 있다.

이번 사고에서도 고객이 구매한 e쿠폰의 PIN 번호가 제3자에 의해 등록·사용된 정황이 확인되었다.

이 점에서 단순한 개인정보 노출뿐 아니라 디지털 상품의 실질적인 무단 사용 피해가 발생한 사고로 볼 수 있다.

로그인 비밀번호

G마켓은 이번 사고에서 고객의 로그인 비밀번호는 유출되지 않은 것으로 확인됐다고 밝혔다.

이는 고객이 보관하고 있던 e쿠폰 PIN 번호와 G마켓 계정에 로그인할 때 사용하는 비밀번호를 구분해야 한다는 의미다.

두 정보는 목적과 기능이 다르다.

다만 로그인 비밀번호가 유출되지 않았다는 회사의 설명만으로 모든 계정 관련 보안 위험이 사라진다고 볼 수는 없다.

특히 다른 사이트에서 동일한 비밀번호를 사용하는 이용자는 별도의 계정 도용 위험이 존재할 수 있으므로 주의가 필요하다.

사고 원인

API 취약점

API 문서를 참고하십시오.

G마켓은 이번 개인정보 유출이 외부 서비스의 API 취약점을 악용한 비인가 접근으로 발생했다고 설명했다.

API는 서로 다른 소프트웨어와 시스템이 정보를 주고받기 위해 사용하는 인터페이스다.

예를 들어 쇼핑몰이 외부 상품권 발행 시스템과 연결되어 고객에게 쿠폰을 발급하거나 사용 상태를 확인할 때 API가 사용될 수 있다.

그러나 API가 제공하는 정보의 조회 범위와 접근 권한을 적절하게 통제하지 못하면 허가되지 않은 사용자가 타인의 정보에 접근하는 문제가 발생할 수 있다.

다만 이번 사건에서 구체적으로 어떤 API가 사용되었는지, 인증과 권한 검증 가운데 어떤 부분에 문제가 있었는지는 공개되지 않았다.

따라서 특정한 API 보안 취약점의 유형을 이번 사고의 원인으로 확정해서 서술하는 것은 적절하지 않다.

비인가 접근

비인가 접근(Unauthorized Access)은 허가되지 않은 방식으로 시스템이나 정보에 접근하는 행위를 의미한다.

정상적인 고객이 자신의 쿠폰을 확인하는 것과 달리, 다른 사람의 정보를 허가 없이 조회하거나 사용하는 경우가 여기에 포함될 수 있다.

이번 사건에서 G마켓은 비인가 접근 경로를 차단했다고 밝혔다.

또한 일부 e쿠폰 PIN 번호가 해당 경로를 통해 조회된 사실이 확인되었다고 보도되었다.

그러나 공격자가 정확히 어떤 계정이나 시스템을 통해 접근했는지는 별도 조사 결과가 필요한 사안이다.

외부 서비스와 G마켓의 책임 관계

외부 서비스 API 취약점을 악용했다는 설명이 반드시 외부 업체 한 곳의 책임으로 사고가 발생했다는 의미는 아니다.

전자상거래 서비스에서는 여러 시스템이 서로 연결되어 작동할 수 있다.

따라서 실제로 어느 사업자가 어떤 정보를 관리하고 있었는지, 접근 권한을 어떻게 통제했는지와 사고에 어떤 책임이 있는지는 구체적인 계약 및 시스템 구조와 법령을 바탕으로 판단해야 한다.

G마켓이 고객에 대한 보상을 시행한 사실과 법적인 책임 범위가 최종적으로 확정되었다는 사실도 구분할 필요가 있다.

2026년 11월 2일 기준 관계기관의 최종 조사 결과는 공개되지 않았다.

피해 규모

피해 고객 수

2026년 11월 2일 기준 G마켓은 정확한 개인정보 유출 피해 고객 수를 공개하지 않았다.

따라서 수백 명이나 수천 명, 수만 명 등 특정한 규모를 사실로 단정해서는 안 된다.

초기 언론보도에서는 확인된 e쿠폰 무단 사용 피해 사례가 한 자릿수였지만 이후 증가하고 있다는 설명이 나왔다.

그러나 이는 당시 파악된 일부 피해 사례에 관한 정보이며 전체 개인정보 유출 피해자 수를 의미하지 않는다.

특히 개인정보만 유출된 고객과 실제 e쿠폰이 무단으로 사용된 고객은 구분해야 한다.

금전 피해 규모

이번 사건에서는 일부 고객이 구매한 모바일 상품권을 제3자가 사용한 사실이 확인되었다.

그러나 전체 무단 사용 금액과 피해 상품권의 수량은 공개되지 않았다.

따라서 전체 금전 피해액을 특정한 수치로 확정할 수 없다.

G마켓은 직접적인 e쿠폰 피해가 확인된 고객에게 상품권의 액면가를 기준으로 전액 보상했다고 밝혔다.

그러나 보상이 완료되었다는 회사 발표가 전체 피해 규모가 최종 확정되었다는 의미는 아니다.

추가 조사 과정에서 다른 피해가 확인될 가능성도 배제할 수 없다.

G마켓의 대응

접근 경로 차단

G마켓은 사건을 인지한 직후 비인가 접근 경로를 차단했다고 밝혔다.

또한 관련 시스템에 긴급 보안 조치를 시행했다.

이러한 조치는 같은 경로를 이용한 추가적인 정보 조회나 피해가 발생하는 것을 방지하기 위한 것이다.

그러나 특정한 접근 경로를 차단했다는 사실만으로 다른 모든 잠재적 취약점이 사라졌다고 보장할 수는 없다.

따라서 사고 이후에는 전체적인 보안 체계와 관련 서비스의 접근 권한 등을 추가로 점검하는 과정이 필요하다.

피해 고객 통지

2026년 11월 1일 G마켓은 개인정보 유출과 관련된 공식 사과문을 게시했다.

또한 피해가 확인된 고객에게는 개별적으로 사고 내용과 후속 조치를 안내했다고 설명했다.

특히 고객이 어떤 피해를 입었는지와 회사가 어떤 방식으로 대응하는지를 전달했다고 밝혔다.

다만 전체 통지 대상자의 수와 통지가 이루어진 구체적인 방식은 모두 공개되지 않았다.

e쿠폰 PIN 번호 교체

G마켓은 추가적인 피해를 방지하기 위해 상품권을 보유한 고객들을 대상으로 e쿠폰 PIN 번호 교체 작업을 순차적으로 진행한다고 밝혔다.

이는 기존의 PIN 번호가 외부로 노출되었을 가능성에 대비하기 위한 조치다.

PIN 번호를 새롭게 발급하거나 기존 번호의 사용을 제한하면 유출된 번호가 악용되는 위험을 줄일 수 있다.

그러나 실제로 어떤 상품권이 교체 대상인지와 개별 고객에게 어떤 방식으로 새 번호가 제공되는지는 회사의 공식 안내를 확인해야 한다.

관계기관 신고

G마켓은 2026년 10월 30일 한국인터넷진흥원에 침해사고를 신고했다.

또한 11월 1일 개인정보보호위원회에도 신고를 완료했다.

경찰 사이버수사대에 대한 신고 및 수사 의뢰도 추진하겠다고 밝혔다.

따라서 이번 사고는 기업 내부의 보안 점검뿐 아니라 관계기관의 확인과 조사 대상이 되었다.

다만 신고가 이루어졌다는 사실과 특정한 위법행위가 최종적으로 확인되어 제재가 확정되었다는 사실은 다르다.

피해 보상

e쿠폰 피해액 전액 보상

G마켓은 제3자에 의해 e쿠폰이 무단 사용되어 금전적인 손실을 입은 고객에게 피해 금액 전액을 보상했다고 밝혔다.

보상금액은 무단 사용된 상품권의 액면가를 기준으로 산정되었다.

예를 들어 액면가가 5만 원인 상품권의 무단 사용 피해가 확인된다면 해당 액면가를 기준으로 보상하는 방식이다.

다만 실제 보상의 지급 수단과 개별 고객별 지급 내역은 회사가 안내한 내용을 기준으로 확인해야 한다.

개인정보 유출 고객 1만 원 보상

2026년 11월 2일 G마켓은 직접적인 e쿠폰 무단 사용 피해가 없는 개인정보 유출 고객에게도 스마일캐시 1만 원을 지급했다고 밝혔다.

스마일캐시는 G마켓에서 사용하는 자체적인 결제 및 적립 재화다.

이러한 보상은 실제 상품권 금전 피해가 확인된 고객뿐 아니라 개인정보 자체가 유출된 고객도 보상 대상에 포함했다는 점에서 특징이 있다.

다만 스마일캐시 1만 원의 지급이 개별 고객에게 발생한 모든 손해에 관한 법적 판단이 완료되었다는 의미는 아니다.

보상 완료 발표

G마켓은 2026년 11월 1일까지 회사가 확인한 피해 고객에 대한 보상을 완료했다고 발표했다.

그러나 정확한 보상 대상자의 수와 전체 지급금액은 공개하지 않았다.

또한 사고의 최종 조사 결과가 발표되지 않은 상태이기 때문에 추가 피해가 확인될 경우 보상 범위가 변경될 가능성도 존재한다.

따라서 '피해 보상 완료'라는 표현은 회사가 당시 파악한 피해자에 대한 조치가 완료되었다는 발표로 이해하는 것이 적절하다.

주요 논점

개인정보 유출과 직접적인 금전 피해

일반적인 개인정보 유출 사고에서는 이름이나 전화번호 및 이메일 주소 등이 외부에 노출되는 것이 주요한 문제로 등장한다.

그러나 이번 사건에서는 e쿠폰 PIN 번호도 함께 유출된 것으로 알려졌다.

일부 e쿠폰은 PIN 번호가 곧 사용 권한을 나타내는 중요한 정보이기 때문에 무단 사용으로 직접적인 금전 피해가 발생할 수 있다.

따라서 이번 사고는 개인정보 유출과 디지털 상품의 무단 사용이라는 두 가지 문제를 함께 가지고 있다.

PIN 번호의 보안

e쿠폰 PIN 번호는 일반적인 문자와 숫자로 구성되어 있을 수 있지만 실제로는 금전적 가치를 가진 상품의 사용 권한과 연결된다.

따라서 PIN 번호를 관리하는 시스템에서는 해당 번호를 조회할 수 있는 이용자와 접근 권한 등을 엄격하게 통제해야 한다.

특히 외부 서비스와 연동되는 경우에는 시스템 사이에 어떤 정보가 전달되는지와 허가되지 않은 접근이 가능한지 확인하는 것이 중요하다.

다만 이번 사건에서 구체적으로 어떤 보안 설계상의 문제가 존재했는지는 최종 조사 결과를 통해 확인해야 한다.

개인정보 유출의 통지

개인정보가 유출되면 해당 이용자에게 어떤 정보가 유출되었는지와 어떤 대응 조치를 취할 수 있는지 알리는 과정이 중요하다.

특히 피해 고객은 자신이 보유한 상품권이 정상적으로 사용 가능한 상태인지 확인할 필요가 있다.

G마켓은 11월 1일 공식 사과문을 게시하고 개별적인 고객 안내를 진행했다고 밝혔다.

그러나 전체 유출 피해 인원과 항목별 피해 규모가 공개되지 않았다는 점에서 추가적인 정보 공개가 필요한 상황이다.

사고 원인의 규명

G마켓은 외부 서비스 API 취약점에 관한 설명을 제시했지만, 이를 실제로 악용한 과정과 취약점의 세부적인 구조는 공개되지 않았다.

또한 외부 사업자와 G마켓 사이의 시스템 운영 및 보안 책임이 어떻게 나누어져 있었는지도 확인되지 않았다.

따라서 최종적인 사고 원인과 책임 범위는 관계기관의 조사 결과가 발표된 이후 구체적으로 평가할 수 있다.

피해 예방 및 대응

보유한 상품권 확인

G마켓에서 모바일 상품권을 구매한 이용자는 보유하고 있는 상품권의 사용 상태를 확인하는 것이 좋다.

특히 직접 사용하지 않았는데 사용 완료로 표시되거나 PIN 번호와 관련된 비정상적인 내역이 존재한다면 G마켓 고객센터를 통해 확인할 필요가 있다.

상품권의 원래 구매 내역과 사용 상태를 확인할 수 있는 자료를 보존하면 문제를 신고하는 데 도움이 될 수 있다.

계정 보안

이번 사고에서 로그인 비밀번호가 유출되지 않았다는 회사의 설명이 있었지만, 일반적인 계정 보안 관리의 중요성이 사라지는 것은 아니다.

특히 여러 웹사이트에서 동일한 비밀번호를 재사용하는 경우 다른 서비스에서 발생한 유출 사고가 계정 도용으로 이어질 수 있다.

따라서 비밀번호를 중복 사용하지 않고, 제공되는 경우 추가적인 인증 기능을 활성화하는 것이 좋다.

사칭 메시지 주의

개인정보 유출 사고가 발생한 뒤에는 해당 업체나 관계기관을 사칭하는 연락에도 주의할 필요가 있다.

특히 보상이나 환급을 이유로 비밀번호와 인증번호를 요구하는 메시지는 신중하게 확인해야 한다.

고객은 문자메시지에 포함된 출처 불명의 링크보다 공식 앱과 홈페이지를 통해 실제 공지사항을 확인하는 것이 안전하다.

다만 이번 사건에서 유출된 정보가 실제로 특정한 사칭 범죄에 사용되었다고 확인된 것은 아니다.

공식 안내 확인

이번 사건의 피해 대상과 보상 범위, 상품권 PIN 번호 교체에 관한 안내는 G마켓의 공식 공지와 고객센터를 통해 확인할 필요가 있다.

특히 개인정보 유출 피해 규모와 조사 결과가 추가로 공개되면 기존에 알려진 정보가 변경될 수 있다.

다른 사건과의 관계

2025년 G마켓 무단결제 사건

2025년 11월 29일에는 G마켓에서 일부 이용자의 간편결제 서비스와 관련된 무단 결제 사건이 발생했다.

당시 약 60명의 이용자가 모바일 상품권 등의 무단 결제 피해를 신고한 것으로 보도되었다.

G마켓은 내부 시스템에서 외부 침입 흔적이 확인되지 않았으며, 다른 경로에서 유출된 고객 계정 정보를 도용한 범죄로 추정된다고 설명했다.

이 사건은 2025년 12월 금융감독원의 점검 대상이 되었다.

그러나 2025년의 무단 결제 사건과 2026년 10월의 개인정보 유출 사건은 발생 시기와 알려진 침해 방식이 다르다.

2025년 사건은 외부에서 수집된 계정 정보의 도용 가능성이 제기되었던 반면, 2026년 사건에서는 외부 서비스 API 취약점을 악용한 비인가 접근이 원인으로 설명되었다.

따라서 두 사건을 하나의 동일한 해킹 사고로 합쳐 서술해서는 안 된다.

2026년 SK플래닛 기프티콘 개인정보 유출 사건

2026년 10월 29일에는 SK플래닛의 기프티콘 서비스에서도 일부 이용자의 개인정보 유출 정황이 확인되었다.

당시 고객 이름과 전화번호, 이메일 및 쿠폰 관련 정보 등이 유출된 것으로 보도되었다.

G마켓의 사고 역시 비슷한 시기에 알려졌기 때문에 모바일 상품권 서비스의 보안 문제가 함께 주목받았다.

그러나 두 사건이 같은 공격자나 취약점에 의해 발생했다는 사실은 확인되지 않았다.

따라서 발생 시기가 비슷하고 모바일 상품권이 관련되어 있다는 이유만으로 두 사고가 직접적으로 연결되어 있다고 단정할 수는 없다.

사건의 특징

개인정보 유출과 금전 피해의 동시 발생

이번 사건은 개인정보의 외부 노출과 e쿠폰 무단 사용에 따른 금전 피해가 함께 확인되었다는 점이 특징이다.

특히 디지털 상품의 PIN 번호가 실제 상품의 사용 권한을 나타낸다는 점에서 일반적인 계정 정보 유출과는 다른 위험이 발생했다.

외부 API를 통한 비인가 접근

G마켓은 이번 사고의 원인이 외부 서비스 API 취약점을 악용한 비인가 접근이라고 설명했다.

이는 외부 서비스와 연결되는 부분의 보안이 전자상거래 플랫폼 전체의 고객정보 보호에 영향을 줄 수 있음을 보여주는 사례다.

다만 실제 기술적 취약점의 유형과 발생 원인은 공식 조사 결과를 통해 보다 정확하게 확인해야 한다.

피해 인원 미공개

회사는 사고 발생과 유출 항목, 일부 대응 조치를 공개했으나 전체 개인정보 유출 피해자 수는 밝히지 않았다.

이에 따라 사건의 전체적인 규모를 다른 개인정보 유출 사고와 비교하기는 어려운 상황이다.

선제적인 보상

G마켓은 e쿠폰 무단 사용 피해자에게 액면가 전액을 보상했다고 발표했다.

또한 직접적인 금전 피해가 없는 개인정보 유출 고객에게도 스마일캐시 1만 원을 지급했다.

이는 개인정보 유출과 직접적인 금전 피해를 구분하여 보상한 조치로 볼 수 있다.

그러나 이러한 보상과 별도로 최종적인 사고 원인 및 법적 책임에 관한 문제는 남아 있다.

남은 쟁점

2026년 11월 2일 기준 다음과 같은 내용은 최종적으로 확인되지 않았다.

• 전체 개인정보 유출 피해 고객 수
• 유출된 정보의 총 건수
• 전체 e쿠폰 무단 사용 피해액
• 공격자의 신원과 범행 동기
• 외부 서비스 API의 구체적인 취약점
• 관련 시스템 사이의 보안 책임 범위
• 유출된 정보가 다른 범죄에 사용되었는지 여부
• 관계기관의 최종 조사 결과
• 추가적인 행정처분 또는 법적 조치 여부

따라서 향후 관계기관과 G마켓의 추가 발표에 따라 문서의 내용이 변경될 수 있다.

여담

• 2026년 10월 말 발생한 개인정보 유출 사건으로, 10월 30일 G마켓이 공식적으로 사고를 확인했다.
• 사건은 일부 고객이 구매한 모바일 상품권이 자신도 모르게 사용되었다는 사실을 발견하면서 알려졌다.
• 온라인 커뮤니티에서는 컬쳐랜드 상품권의 무단 사용을 주장하는 게시글이 등장했다.
• G마켓은 조사 과정에서 외부 비인가 접근을 통해 e쿠폰 PIN 번호가 조회된 사실을 확인했다고 보도되었다.
• 회사는 외부 서비스 API의 취약점을 악용한 접근이 사고 원인이라고 설명했다.
• 유출된 정보에는 이름과 아이디, 전화번호, 이메일, 주소 및 e쿠폰 PIN 번호 등이 포함되었다.
• 로그인 비밀번호는 유출되지 않은 것으로 확인됐다는 것이 회사의 발표다.
• 그러나 로그인 비밀번호가 유출되지 않았다고 해서 개인정보 유출 자체가 발생하지 않은 것은 아니다.
• 특히 이번 사건에서는 실제 e쿠폰의 무단 사용으로 금전 피해가 발생했다는 점이 중요하다.
• 2026년 10월 30일 한국인터넷진흥원에 침해사고를 신고했다.
• 11월 1일에는 공식 홈페이지에 사과문을 게시했다.
• 같은 날 개인정보보호위원회에도 사고를 신고했다.
• G마켓은 피해 고객에게 개별적으로 안내하고 금전 피해액 전액을 보상했다고 발표했다.
• 직접적인 e쿠폰 피해가 없는 개인정보 유출 고객에게도 스마일캐시 1만 원을 지급했다.
• 상품권을 보유한 고객들을 대상으로 e쿠폰 PIN 번호를 교체하는 작업도 진행하고 있다.
• 회사는 확인된 피해 고객에 대한 보상을 완료했다고 발표했지만 전체 유출 피해 인원과 보상 총액은 공개하지 않았다.
• 사고가 발생한 지 얼마 지나지 않은 시점에 공식 사과문이 게시되었기 때문에 최종 조사 결과는 아직 발표되지 않았다.
• 2025년 11월에도 G마켓에서 별도의 모바일 상품권 무단 결제 사건이 발생한 적이 있다.
• 그러나 2025년 사건과 2026년 사건의 원인과 피해 구조가 동일하다고 확인된 것은 아니다.
• 이번 사고 직전에는 SK플래닛의 기프티콘 서비스에서도 개인정보 유출 정황이 확인되었다.
• 두 사건 모두 모바일 상품권과 관련되었지만 같은 공격자에 의해 발생했다는 증거는 확인되지 않았다.
• 모바일 상품권 PIN 번호는 단순한 숫자 조합처럼 보이지만 실제로는 금전적 가치를 가진 상품을 사용할 수 있는 정보다.
• 따라서 PIN 번호가 유출되면 일반적인 개인정보 노출과 달리 직접적인 금전 피해로 이어질 수 있다.
• 이번 사건은 전자상거래 플랫폼에서 외부 서비스와 연동하는 API의 보안과 접근 권한 관리가 중요하다는 점을 보여주는 사례로 볼 수 있다.

관련 문서

• G마켓
• 옥션
• 스마일페이
• 스마일캐시
• 전자상거래
• 오픈마켓
• 모바일 상품권
• 문화상품권
• 컬쳐랜드
• 기프티콘
• SK플래닛
• 개인정보
• 개인정보 유출
• 개인정보 보호법
• 개인정보보호위원회
• 한국인터넷진흥원
• 사이버 공격
• 해킹
• 사이버 범죄
• 정보보안
• API
• 웹 보안
• 인증
• 접근 제어
• 계정 탈취
• 피싱
• 스미싱
• 디지털 상품
• 온라인 쇼핑몰
• 2025년 쿠팡 개인정보 유출 사건

외부 링크

• G마켓 - 개인정보 유출 관련 공식 사과 및 안내 (2026년 11월 1일)
• 연합뉴스 - G마켓 개인정보 유출 고객 1만 원 보상 및 e쿠폰 피해 전액 배상 (2026년 11월 2일)
• 경향신문 - G마켓 개인정보 유출 사고 및 보상 관련 보도 (2026년 11월 2일)
• 뉴시스 - G마켓 개인정보 유출 고객 전원 보상 관련 보도 (2026년 11월 2일)
• 아이뉴스24 - e쿠폰 PIN 번호 비인가 조회 및 사용 정황 (2026년 10월 30일)
• 조선비즈 - 사건 초기 경과와 온라인 커뮤니티 피해 신고 (2026년 10월 30일)
• SBS - e쿠폰 PIN 번호 무단 사용 및 KISA 신고 (2026년 10월 30일)
• G마켓 공식 홈페이지