쿠팡, 3370만명 개인정보 유출 확인…정부, 30일부터 민관합동조사단 가동

[이코노믹데일리] 국내 최대 이커머스 기업 쿠팡에서 3370만건에 달하는 개인정보 유출 사고가 발생했다. 당초 알려진 4500여 건에서 무려 7500배 가까이 늘어난 수치로 사실상 쿠팡을 이용한 적이 있는 거의 모든 국민의 정보가 털린 '역대급 보안 참사'다. 정부는 사안의 중대성을 고려해 즉각 민관합동조사단을 꾸리고 고강도 조사에 착수했다.

쿠팡은 29일 공식 발표를 통해 "고객 3370만명의 이름, 이메일, 배송지 주소, 전화번호 등이 포함된 개인정보가 유출된 사실을 확인했다"고 밝혔다. 이는 쿠팡의 지난 3분기 활성 고객 수(2470만명)를 훌쩍 뛰어넘는 규모로 현재 이용 중인 고객뿐만 아니라 휴면 계정이나 탈퇴한 회원의 정보까지 광범위하게 유출된 것으로 추정된다.

이번 사태는 지난 19일 쿠팡이 최초로 당국에 신고했을 당시 4536개 계정 유출로 파악됐던 것과는 차원이 다른 규모다. 조사 결과 해커들은 지난 6월 24일부터 해외 서버를 우회해 쿠팡 내부망에 침투, 장기간에 걸쳐 데이터를 빼돌린 것으로 드러났다. 다행히 결제 정보나 비밀번호 등 민감 정보는 유출되지 않은 것으로 파악됐으나 배송지 주소와 연락처 등 실생활과 밀접한 정보가 대거 유출돼 2차 피해 우려가 커지고 있다.

정부는 비상 대응 체계에 돌입했다. 과학기술정보통신부와 개인정보보호위원회는 오는 30일부터 민관합동조사단을 구성해 본격적인 사고 원인 분석과 기술적 취약점 점검에 나선다. 개인정보위는 쿠팡의 안전조치 의무 위반 여부를 집중적으로 들여다보고 있으며 위반 사항이 확인될 경우 관련 법령에 따라 엄정하게 제재할 방침이다.

쿠팡 측은 "무단 접근 경로를 즉시 차단하고 내부 모니터링을 대폭 강화했다"며 "이번 일로 발생한 모든 우려에 대해 진심으로 사과드리며 수사기관 및 규제 당국과 협력해 사태 수습에 만전을 기하겠다"고 고개를 숙였다.

하지만 진짜 문제는 이제부터다. 유출된 정보를 악용한 스미싱(문자 결제 사기)과 보이스피싱 시도가 급증할 것으로 예상되기 때문이다. 과기정통부는 해커들이 '피해 보상', '환불 안내', '유출 사실 조회' 등의 키워드를 미끼로 가짜 사이트 접속을 유도하거나 악성 앱 설치를 권유할 가능성이 매우 높다고 경고했다.

정부 관계자는 "출처가 불분명한 문자 메시지의 URL(인터넷 주소)은 절대 클릭하지 말고 즉시 삭제해야 한다"며 "한국인터넷진흥원(KISA)이 운영하는 '보호나라' 카카오톡 채널의 '스미싱 확인 서비스'를 활용해 악성 여부를 판별하는 것이 좋다"고 당부했다. 만약 악성 앱을 설치했다면 즉시 모바일 백신으로 삭제하고 해당 폰으로 금융 서비스를 이용했을 경우 공인인증서 등을 폐기·재발급받아야 한다.

이번 사고는 기업의 보안 시스템이 뚫렸을 때 그 피해가 얼마나 광범위하게 확산될 수 있는지를 보여주는 사례다. 5개월 가까이 내부망 침입을 인지하지 못한 쿠팡의 보안 관제 능력에 대한 비판과 함께 징벌적 손해배상 등 강력한 책임을 물어야 한다는 여론이 비등해질 것으로 보인다.