남성 패션 플랫폼 '룩핀'을 운영하는 레벨13이 이용자 개인정보 유출 사실을 공지했습니다. 데이터 분석 도구인 '메타베이스(Metabase)'의 보안 취약점이 공격에 악용되었으며, 이메일 주소와 비밀번호 해시(암호화된 비밀번호), 일부 이용자의 경우 휴대폰 번호와 접속 IP 주소까지 유출된 것으로 확인됐습니다. 회사는 사고 당일 미확인 계정을 발견한 후 약 2시간 30분 만에 관련 시스템 접근을 차단했으며, 한국인터넷진흥원(KISA)에 침해사고 및 개인정보 유출 신고를 완료했습니다. 이용자들에게는 비밀번호 변경과 유출된 정보를 악용한 피싱(사기성 이메일·문자) 공격에 주의할 것을 당부했습니다.
남성 패션 플랫폼 룩핀 운영사 레벨13에서 데이터 분석 도구 Metabase의 보안 취약점을 악용한 외부 공격으로 이용자 개인정보가 유출됐다. 2026년 9월 16일 오후 3시경 미확인 계정이 발견됐으며, 같은 날 오후 5시 30분경 시스템 접근이 차단됐다.
이메일 주소와 비밀번호 해시가 전체 피해 이용자 대상으로 유출됐으며, 일부 이용자는 휴대폰 번호와 접속 IP 주소도 유출됐다. 유출 정보를 활용한 피싱 및 크리덴셜 스터핑(다른 서비스에 동일 비밀번호로 로그인 시도하는 공격) 피해 가능성이 있다.
내부 데이터 분석 도구인 Metabase의 보안 취약점이 악용됐으며, 해당 도구에 연결된 고객 정보 DB가 공격자에게 노출됐다.
레벨13은 관련 시스템의 접속 비밀번호 및 인증정보 변경·사용 중지 조치를 진행 중이며, KISA에 침해사고 및 개인정보 유출 신고를 완료했다. 이용자들에게 비밀번호 변경과 피싱 주의를 요청했다.
내부 데이터 분석 도구(Metabase, Redash 등)는 외부 인터넷에 노출되지 않도록 접근 제어를 철저히 해야 하며, 최신 보안 패치를 즉시 적용해야 한다. 유출된 비밀번호 해시가 있을 경우 동일 비밀번호를 사용하는 타 서비스의 계정도 즉시 변경해야 한다.
본문
남성 패션 플랫폼 '룩핀' 운영사 레벨13에서 이용자들에게 개인정보 유출을 공지했다. 이메일과 비밀번호 해시 등이 유출됐다는 내용이다. 데이터 분석 도구인 'Metabase'의 보안 취약점을 악용한 공격이라는 게 회사 측 분석이다.
20일 룩핀이 이용자들에게 이메일로 발송한 공지문에 따르면 회사는 지난 16일 오후 3시쯤 미확인 계정을 발견하고 오후 5시 30분쯤 관련 시스템의 접근을 차단했다.
안내된 유출 항목은 이메일 주소와 비밀번호 해시 등이다. 일부 이용자들의 경우 휴대폰 번호와 접속 IP 등이 유출되기도 했다.
현재까지 이 회사의 조사에 따르면 데이터 분석 도구 'Metabase'의 보안 취약점이 악용된 것으로 나타났다. 여기에 연결된 고객 정보가 유출된 것으로 파악된다.
레벨13 측은 특히 이번 사고를 통해 유출된 개인정보를 악용한 피싱 공격에 주의하고, 비밀번호를 변경해줄 것을 이용자들에게 요청했다.
레벨13 측은 "관련 시스템의 접속 비밀번호와 인증정보를 변경하거나 사용 중지하는 조치를 진행 중"이라며 "한국인터넷진흥원(KISA)에 침해사고 신고를 마쳤으며, 개인정보 유출 신고도 마쳤다"고 밝혔다.
이어 "관련 증거를 보존하고 있으며, 관계기관의 조사와 요청에 성실히 협조하겠다"며 "소중한 개인정보를 지키지 못한 점 사과드린다"고 했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
