국내 최대 이커머스 플랫폼 '쿠팡'에서 3370만 건에 달하는 개인정보가 유출된 가운데 지난 1일 오후 서울 송파구 쿠팡 본사 앞에서 한 피해자가 쿠팡으로부터 받은 개인정보 노출 통지 안내 문자를 확인하고 있다. /박헌우 기자

[더팩트ㅣ문화영 기자] 최근 쿠팡에서 약 3370만건에 이르는 고객 개인정보가 유출된 데 이어 또 다른 대형 이커머스 플랫폼인 G마켓에서 무단 결제 사고가 발생하며 온라인 유통업계 전반에 '보안 경보'가 켜졌다. 국민 다수가 이용하는 주요 플랫폼에서 비슷한 사고가 연달아 발생하자 소비자들 사이에서 이커머스에 대한 불신과 '2차 피해'에 대한 불안감이 커지는 모양새다.

4일 관련업계에 따르면 G마켓 이용자 60여명은 지난달 29일 간편결제 서비스 '스마일페이'를 통해 기프트 상품권이 무단 결제됐다며 금융감독원에 신고했다. 피해 금액은 1인당 20만원 이하로 알려졌으며 공격자가 외부에서 탈취한 정보를 활용해 계정에 로그인한 뒤 결제를 시도한 것으로 추정된다.

G마켓은 "시스템 해킹 흔적은 없다"며 "외부에서 불법으로 확보한 개인정보를 이용해 로그인한 뒤 결제한 수법으로 여러 사이트에서 동일한 계정을 사용하는 전형적인 '도용범죄'"라고 설명했다. 현재 회사는 피해 고객 전원에게 '전액 환불'을 결정하고 수사기관과 협조해 사고 원인을 규명하고 있다.

또 추가 피해를 막기 위해 최근 한 달 동안 비밀번호를 변경하지 않은 고객에게 비밀번호 변경 권고 캠페인을 진행하며 로그인 시 2단계 인정 절차를 확대하는 등 보안 강화 조치를 진행 중이다. G마켓 관계자는 "고객의 안전한 쇼핑 환경 보장을 최우선으로 삼고 도용·피싱 등 2차 피해가 재발하지 않도록 보안 강화에 더욱 만전을 기울일 것"이라고 말했다.

G마켓의 빠른 대처에도 불구하고, 쿠팡 대규모 개인정보 유출 사태 논란이 채 가라앉지 않은 상황에서 유사한 사고가 발생해 업계 전반에 불안감이 고조되고 있다. 쿠팡은 지난달 29일, 고객 계정 3370만개가 무단 노출됐다고 공지했다. 이는 초기 발표 4500건보다 7500배 넘게 뛴 수치다.

쿠팡은 유출된 정보는 이름, 이메일 주소, 전화번호, 배송지 등으로 결제 정보나 카드번호는 포함되지 않았다고 강조했다. 그러나 공동현관문 비밀번호, 거주자의 연령이나 성별 및 생활 패턴을 유추할 수 있는 정보도 유출돼 스미싱·보이스피싱·스토킹 등 2차 피해 우려가 제기됐다.

이 과정에서 쿠팡은 '유출'이 아닌 '노출'이라는 단어를 사용해 책임을 회피하거나 마치 피해자인듯한 뉘앙스를 풍겼으며 용의자로 전 중국 직원을 언급해 논란이 됐다. 여기에 지난 2일과 3일 진행된 국회 과방위, 정무위 현안질의에서 박대준 쿠팡 대표이사가 명확한 대답을 하지 못했고 창업주인 김범석 의장은 여전히 침묵으로 일관하고 있어 소비자 반감은 더욱 커지고 있다.

G마켓 이용자 60여명이 무단 결제 사고 피해를 입었다. 사진은 G마켓이 공지사항에 올린 개인정보 보호 강화대책 글. /G마켓 홈페이지 캡처

이커머스와 유통업계에서 발생한 개인정보 사고는 이번이 처음이 아니다. 중국 플랫폼 '테무(TEMU)'는 지난 5월 개인정보보호법 위반, 한국 소비자의 개인정보를 무단으로 국외 이전한 혐의로 과징금 14억원을 부과받았다. 다만 테무 측은 앞서 개인정보처리 방침을 자진 시정했다고 밝혔다.

여기에 올해 상반기 예스24, 한국파파존스, 머스트잇, 써브웨이, 아디다스, 블랙야크, GS리테일 등은 고객 개인정보가 유출된 사실을 인정했다. 지난 7월 루이비통코리아는 "권한 없는 제3자가 당사 시스템에 일시적으로 접근해 일부 고객 정보가 유출됐다"고 밝혔으며 앞서 또 다른 명품 브랜드 디올, 티파니, 까르띠에 등에서도 개인정보 유출사고가 발생한 바 있다.

쿠팡 사태 이후 11번가·SSG닷컴·롯데온·컬리 등 주요 플랫폼은 접근 권한·보안 로그·결제 시스템 등 전면 점검에 들어간 상태다. 그러나 여전히 비슷한 사고가 반복되면서 업계에서는 쿠팡의 초기 인지 뒤 늑장 대응, 내부 권한 관리 부실 등을 지적하고 있다.

업계 전문가는 "기업들이 보안 관련 '대규모 투자'를 언급하는데 인사팀과 정보보호 부서 등 유기적인 관계를 구축해 기본적인 내부적 '접근 통제', '자산관리', 퇴사자 계정 관리'를 제대로 실행하는 것이 더욱 중요하다"며 "AI시대가 되면서 AI기반 공격이 더욱 정교해지고 있다"고 강조했다.

이어 "정부는 단기 처방이 아닌 장기적 정책 방향을 잡아야 하고 개인정보 활용과 경제적인 측면 등 사이에서 균형점을 가져가야 한다"며 "소비자 역시 번거롭더라도 다중 인증 활성화, 플랫폼별 비밀번호 분리 사용 등 생활 속 보안 실천이 필요하다"고 말했다.

culture@tf.co.kr