위버스컴퍼니에 따르면 회사는 지난 3일 한국인터넷진흥원(KISA)으로부터 외부 제보자가 위버스 서비스의 보안 취약점을 제보했다는 연락을 받고 즉시 자체 점검과 긴급 대응에 착수했다.
점검 결과 유출된 정보는 계정 ID 기준 42만 2584건으로 확인됐다.
개인정보에 해당하는 유출 항목은 위버스 이용자가 가입할 때 내부적으로 사용자 식별을 위해 생성되는 내부식별정보다. 이와 함께 구매타입(결제 수단), 구매 PG명, 통화 형태, 구매 금액, 취소 금액, 구매 일시, 구매 상태, 환불 일시 등 일반정보도 외부에 노출된 것으로 파악됐다.
위버스컴퍼니는 해당 일반정보의 경우 개인정보에는 해당하지 않는다고 설명했다.
회사는 사고 확인 이후 결제 정보 처리 API의 접근제어를 강화하고 외부로 전달되는 정보에서 내부 식별자 정보를 제거하는 조치를 진행했다. 이어 지난 4일 KISA에 점검 결과와 대응 현황을 포함한 침해사고 신고를 접수했다.
개인정보가 유출된 이용자에게는 관계 법령에 따라 개별적으로 유출 사실을 안내했다.
위버스컴퍼니 측은 유출된 내부식별정보가 이름이나 연락처처럼 개인을 직접 식별할 수 있는 정보가 아니라 회사 내부 시스템에서만 사용하는 식별값이라고 강조했다. 또 해당 정보만으로는 결제 위조나 부정 이체 등이 발생하기 어렵다고 설명했다.
재발 방지를 위한 추가 보안 강화에도 나선다. 위버스컴퍼니는 외부에 노출된 API를 전수 조사해 접근제어를 강화하고 노출되는 정보를 최소화할 예정이다. 배포 프로세스에 대한 통제와 보안 모니터링 민감도 역시 강화하기로 했다.
회사는 비정상적인 방식으로 개인정보에 접근한 외부 행위자에게 관련 정보의 회수를 요청했으며, 이번 사고와 관련해 법적 책임도 물을 방침이다.
양 대표는 “위버스를 믿고 아껴주신 팬 여러분께 이번 일로 큰 심려와 걱정을 끼쳐드린 점 진심으로 사과드린다”며 “이번 일에 대한 책임을 무겁게 받아들이고 고객 여러분의 걱정과 우려가 해소되도록 책임 있는 조치를 취하겠다”고 밝혔다.
