韩国时尚电商29CM遭异常API访问泄露15.9万条客户信息：姓名、手机号与配送信息外泄

韩国时尚生活电商平台29CM（Twenty-nine Centimeter，MUSINSA旗下）于8月29日发布公告，称公司在8月27日发现用于订单信息查询的API接口出现异常外部访问，导致部分客户的个人信息被泄露。经核查，泄露规模合计159,852条，其中138,841条仅涉及客户姓名，另有21,011条同时包含姓名、电子邮箱、手机号码与配送信息。

29CM表示，在识别到异常后立即封禁了相关访问路径，并主动向韩国互联网振兴院（KISA）与个人信息保护委员会（PIPC）报告了此次泄露，同时配合主管部门采取补充保护措施。公司已通过站内通知告知受影响客户具体泄露项目，并自公告之日起30天内运营专项页面，用户在完成身份验证后可查询自身数据是否涉及及涉及的具体字段。

公司强调，支付信息以及账号ID、密码等凭证类信息未包含在泄露范围内，但明确提示客户防范二次损害：需警惕以订单、支付、退款、配送异常为由的短信、电话与邮件，29CM不会通过短信或邮件索取密码与验证码；在多平台复用同一密码的用户应尽快更换，曾在配送备注中填写门禁密码等个人信息的用户应立即修改。

该事件是典型的接口越权类安全事件，暴露出订单查询类API在鉴权与访问频次控制上的薄弱。对电商平台而言，API已成为个人信息外流的主要通道之一，需在接口层面落实对象级授权校验、异常批量查询检测与日志留存，以满足PIPA项下的技术与管理措施要求。