자라(Zara)의 고객정보 유출은 2026년 4월경 해커 그룹 ShinyHunters의 “pay or leak” 캠페인 과정에서 드러남. 자라 운영사 인디텍스 내부 시스템 자체보다는, 과거 사용했던 제3자 기술, 분석 업체와 관련된 침해가 원인으로 지목됐고, 약 19만 7천 개의 고유 이메일 주소와 주문 ID, 상품 SKU, 고객지원 티켓 관련 정보 등이 노출된 것으로 알려짐. 다만 인디텍스 측은 이름, 전화번호, 주소, 로그인 정보, 결제 정보 같은 민감도가 더 높은 정보는 접근되지 않았다고 설명했으나 고객의 구매 패턴과 문의 내역을 추적할 수 있는 정보가 포함됐다는 점에서 피싱과 사칭 공격에 악용될 가능성이 있음. “자라 단독 해킹”이라기보다, 외부 협력사, 분석 플랫폼 침해가 여러 기업 고객 데이터로 번진 공급망형 정보 유출 사례.