Board

국내 이커머스(전자상거래) 업체 1위 쿠팡에서 고객 3,370만 명의 정보가 유출됐다. 2011년 네이트 해킹 사고(3,500만 명 피해) 이후 14년 만에 최악의 개인정보 유출 사고다. 더욱이 쿠팡 내부자 소행일 가능성이 높은 것으로 추정돼 이미 소비자와 국민들의 신뢰에는 금이 갔다. 통신사, 금융사에 이어 국내 최대 이커머스 기업 쿠팡까지 개인정보 유출 사고가 터지면서 사실상 전 국민이 보이스피싱 등 범죄에 노출된 상황이다.

과학기술정보통신부는 30일 민관합동조사단을 구성하고 서울 송파구 쿠팡 본사에서 '개인정보 유출 사고' 원인 분석·대책 마련을 위한 회의를 가졌다. 이미 쿠팡으로부터 1차(11월 20일)와 2차(11월 29일) 유출 신고를 접수해 지난 21일부터 조사 중인데, 개인정보 유출 피해 규모가 급증해서다. 쿠팡은 지난 20일 최초 신고 당시 개인정보보호위원회에 4,536개 계정의 고객명, 연락처, 주소, 이메일, 일부 주문 정보 등의 정보가 유출된 것으로 신고했지만 3,370만 개로 피해 범위가 크게 확대됐다. 쿠팡이 올해 3분기 실적 발표 때 공개한 프로덕트 커머스 부분 활성고객(구매 이력이 있는 고객) 2,470만 명보다 많아 사실상 전 고객의 정보가 유출된 것으로 보인다. 박대준 쿠팡 대표는 30일 "피해 입은 쿠팡 고객들과 국민들에게 심려를 끼쳐 드려 사과 말씀을 드린다"고 고개를 숙였다.

정부가 주말 사이 긴급 대응에 나선 건 사실상 모든 쿠팡 가입자 정보가 노출돼 파급력이 크기 때문이다. 중복 가입이 어렵고 만 14세 이상부터 쿠팡에 가입할 수 있는 점을 감안하면 해당 인구 약 70%의 개인정보가 샌 것으로 추정된다. 쿠팡은 결제·신용카드 정보 등은 포함되지 않았다고 설명했으나 현재 유출 정보만으로도 충분히 범죄에 악용될 수 있다.

개인정보 유출은 해커 대신 고객 개인정보에 접근 권한을 가진 내부 직원 소행에 무게가 실린다. 쿠팡이 1차 개인정보 유출 사고를 인지하고 알린 20일 "쿠팡 시스템과 내부 네트워크망을 확인한 결과 외부 침입 흔적은 없었다"고 밝혀서다. 퇴사한 중국인 직원이 범인이라는 의혹도 나오고 있다.

쿠팡 측은 회의에서 "중국 직원의 소행일 가능성을 염두에 두고 있다"고 발언한 것으로 전해졌다. 경찰은 쿠팡이 "회원 개인정보를 갖고 있다. 보안을 강화하지 않으면 유출 사실을 언론에 알리겠다"는 협박성 이메일을 받은 사실을 포착한 것으로도 알려졌다. 다만 이메일에는 금전 요구는 없었다고 한다. 아울러 이 이메일을 보낸 인물이 중국인 직원과 동일인인지도 추적 중이다.

쿠팡은 대형 개인정보 유출 사고로 정보 보안·관리에 큰 허점을 보였다. 우선 개인정보 유출이 수면 위로 오른 1차 사고를 고객 신고가 있었던 18일에 파악하기 시작했다. 고객 신고가 없었다면 개인정보 유출 사실을 더 늦게 알아챘을수 있었다는 의미다. 쿠팡은 또 후속 조사 결과 개인정보 3,370만 개 유출과 관련한 해외 서버 무단 접근이 6월 24일부터 시작됐다고 봤다. 약 5개월 동안 속수무책이었던 셈이다.

​정보보안업계에선 쿠팡의 내부 통제 시스템이 제대로 작동했는지 의문을 제기한다. 통상 보안 관련 직원이 접근할 수 있는 개인정보는 제한적이고 접근 기록도 남는다. 만약 같은 직원이 연달아 개인정보를 다운로드할 경우엔 이상 징후로 포착, 관리자에게 통보된다. 개인정보를 여러 차례에 걸쳐 나눠 가져간 것으로 추정되는 이번 사고 주요 원인을 관리 소홀로 판단할 수 있는 이유다.

개인정보를 훔쳐 가는 과정에서 생기는 트래픽(정보 이동량)이 일정 범위 내에 있어싸면 유출을 알기 쉽지 않았을 것이라는 시각도 잇다. 쿠팡은 평소 거래가 많고 특정 할인 행사 땐 고객이 더 몰려 트래픽 범위도 넓은 편이다. 염흥열 순천향대 정보보호학과 교수는 "개인정보를 다루는 직원은 권한을 가진 만큼 오남용 유혹에 빠질 수 있다"며 "이를 막을 내부자 보안 대책을 쿠팡이 갖췄는지 조사해야 한다"고 말했다.

2차 피해가 예상돼서다. 유출된 전화번호가 보이스피싱이나 문자 메시지를 통해 개인정보를 탈취하는 스미싱 범죄에 사용될 수 있다. 쿠팡 측으로 가장해 '개인정보 유출 사실을 확인해 보세요'라는 식의 문자 메시지를 보내고 악성 링크를 누르도록 유도하는 게 대표적인 수법이다. 배경훈 부총리도 "통신사, 금융사에 이어 국민들께서 많이 이용하시는 플랫폼사까지 침해사고 및 개인정보 유출이 발생해 송구하다"고 고개를 숙이고, "2차 피해가 일어나지 않도록 각별히 유의해달라"고 당부했다. 정부는 이날부터 3개월간 '인터넷상(다크웹 포함) 개인정보 유·노출 및 불법유통 모니터링 강화 기간'으로 운영한다.

​전문가들은 기업이 정보 보안·관리에 적극적이지 않으면 개인정보 유출 사고는 반복될 수밖에 없다고 입을 모은다. 김명주 서울여대 지능정보보호학부 교수는 "정보 보안 영역에서 사고가 나지 않으면 비용을 쓴다고 여기고, 투자·인력을 줄이는 기업이 적지 않다"며 "주춧돌이 튼튼해야 건물을 잘 세울 수 있듯 기업은 기초 인프라인 정보 보안 투자를 늘려야 한다"고 말했다.

곽진 아주대 사이버보안학과 교수 역시 "쿠팡이 개인정보 추가 유출을 막는다는 건 단편적인 대응책"이라며 "인력 증원, 투자 확대 등 보안 체계 전반을 점검해야 한다"고 말했다.

[관련출처: 한국일보]​

​