세이프팔, 주문정보 사고 뒤 외부 보안점검 추진

세이프팔(SafePal)이 약 3만9798명의 고객 주문정보 접근 사고 이후 사칭 사이트와 가짜 계정 대응을 강화하고 주문 시스템 외부 보안 점검을 추진한다.

오데일리는 세이프팔이 피싱 웹사이트와 사칭 계정을 계속 추적하고 있으며, 전문 피싱 대응 보안업체를 도입해 악성 정보 삭제 처리 속도를 높일 계획이라고 23일 오후 1시54분 한국시간 전했다. 세이프팔 공식 공지도 주문정보가 피싱과 사칭 시도에 악용될 수 있다며 이용자에게 주의를 요구했다.

이번 조치는 세이프팔이 지난 16일 공개한 주문정보 접근 사고의 후속 대응이다. 세이프팔은 주문 추적 기능 플러그인의 권한 검증 결함으로 2025년 3월 2일부터 2026년 4월 11일 사이 주문한 고객 정보에 무단 접근이 있었다고 밝혔다. 외부 접근 대상에는 이름, 이메일, 배송 주소, 전화번호, 구매 내역이 포함됐고 영향 고객은 약 3만9798명으로 제시됐다.

세이프팔은 이번 사고가 시드구문, 개인키, 지갑 비밀번호, 결제카드 번호, 정부 발급 신분증 정보와 관련되지 않았다고 설명했다. 지갑 접근이나 자금 침해 증거도 발견되지 않았다고 밝혔다. 다만 주문정보가 노출 범위에 포함된 만큼 이메일, 전화, 문자, 우편, 가짜 고객지원 채널을 통한 사칭 시도는 이어질 수 있다.

세이프팔은 현재 전문 피싱 대응 보안업체 4곳 가운데 최종 협력사를 고르는 단계다. 협력사가 정해지면 사칭 사이트와 사기 계정 등 위협 정보 처리 효율을 높인다는 방침이다. 다크웹 포럼과 거래 시장에서 영향 데이터가 판매되거나 공개되는지도 점검하고 있으며, 관련 징후가 발견되면 영향 이용자에게 위험 알림을 보낼 계획이다.

주문 시스템 감사도 병행된다. 세이프팔은 독립 보안기관 3곳 가운데 최종 대상을 선정해 주문 시스템 전반의 보안 검토를 맡길 예정이다. 앞서 세이프팔은 결함을 수정하고 추가 보안 조치를 적용했으며, 주문 처리 환경의 개인정보 보관 기간을 90일로 줄였다고 밝혔다.

피해 가능 이용자 지원은 공식 지원 채널을 통해 진행된다. 세이프팔은 사기 방지 페이지를 갱신해 사건 진행 상황, 자주 묻는 질문, 사기 사례를 안내하고 있다. 공식 안내는 이용자에게 시드구문을 누구에게도 알려주지 말고, 알 수 없는 QR코드나 의심 링크를 열지 말라고 요구했다.

이번 사안은 지갑의 개인키가 아니라 주문정보 관리 체계에서 발생했다. 한국 이용자에게도 하드웨어 지갑 구매 이력과 배송 정보가 피싱 소재가 될 수 있다는 점을 보여준다. 세이프팔의 주문 시스템 감사와 피싱 대응 업체 선정 결과는 추가 공지에서 공개될 예정이다.