[서울=뉴스핌] 남라다 기자 = 국내 주요 이커머스 플랫폼인 쿠팡과 지마켓에서 초대형 개인정보 유출 사고가 잇따라 터지며 소비자 불안이 가중되고 있다. 이름과 주소, 전화번호, 공동현관 비밀번호에 이어 무단 결제까지 이뤄지며 소비자들의 일상을 뒤흔들고 있기 때문이다.

전문가들은 저조한 보안 투자와 내부 통제 실패 등 구조적인 문제가 정보 유출과 2차 피해의 근본 원인으로 지목했다. 

[서울=뉴스핌] 김학선 기자 = 국내 최대 이커머스 업체 쿠팡에서 3370만건에 달하는 대규모 고객정보 유출 사고가 발생해 후폭풍이 거세지고 있다. 이번 유출에는 이름·전화번호·배송지 주소 등 신상정보가 포함된 것으로 알려져 소비자들 사이에서 2차 피해 우려도 확산되고 있다. 사진은 지난 2일 서울 송파구 쿠팡 본사의 모습. yooksa@newspim.com

◆쿠팡에 이어 G마켓까지 터졌다...소비자 불안 ↑

3일 업계에 따르면 쿠팡의 대규모 고객 개인정보 유출에 이어 지마켓에서 무단 결제 피해까지 잇따라 발생해 시장에 충격을 주고 있다.

이번 정보유출 사태의 출발점은 쿠팡이다. 쿠팡은 지난달 말 3370여만 명 규모의 고객 계정이 무단 접근을 받은 사실을 인정했다. 이름·전화번호·주소·이메일·일부 주문내역 등 민감한 정보가 포함된 것으로 알려지며 피해 규모가 역대 최대 수준에 달한다.

내부 감지 시스템이 작동했음에도 사고 인지까지 5개월이나 소요됐다. 정부 조사에 따르면 해외 서버를 통한 쿠팡 고객 개인정보 침해 첫 시도는 올해 6월 24일로 추정된다. 쿠팡이 개인정보 유출 사고를 인지하고 개인정보보호위원회에 최초 신고한 시점은 지난달 18일이다. 이날은 같은 달 6일 벌어진 침해 사고를 공식적으로 12일 뒤인 18일이 돼서야 인지했다는 게 회사 측 설명이다.

정보 유출 규모는 3370여만개다. 유출된 정보는 이름, 이메일 주소, 배송지 주소록(이름, 전화번호, 주소), 일부 주문정보 , 공동 현관 비밀번호 등이다. 당초 파악했던 피해 계정은 4500개였으나 추가 조사를 통해 피해 규모가 7500배 확대됐다. 이는 사실상 쿠팡 전체 고객 정보가 유출됐다는 평가다. 와이즈앱·리테일에 따르면 지난달 쿠팡을 한 번이라도 접속한 월간활성사용자수(MAU)는 3417만명이다.

[서울=뉴스핌] 윤창빈 기자 = 박대준 쿠팡 대표이사가 지난 2일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 관련 현안질의에서 의원 질문에 답변하고 있다. pangbin@newspim.com

휴면·탈퇴한 회원의 정보도 유출된 것으로 알려졌다. 박대준 쿠팡 대표는 전날 국회 과학기술정보방송통신위원회(과방위) 현안질의에서 휴면 및 탈퇴 회원의 정보가 유출됐을 가능성을 묻는 질문에 "일부 포함됐을 것으로 생각한다. 휴면 및 탈퇴 여부와 관련 없이 피해를 본 모든 회원들에게 개인정보 유출 사실을 안내했다"고 밝혔다.

쿠팡은 현재 탈퇴 후 90일이 지나면 개인정보를 파기한다고 밝히고 있으나, 전자상거래법상 결제 등 거래 기록은 최대 5년 보관해야 한다고 돼 있다. 그러나 장기간 기록을 보관할 경우에는 다른 고객 정보와 분리해 저장해야 한다. 만약 쿠팡이 탈퇴 계정을 일반 회원 계정과 구분 없이 관리했다면 개인정보보호법 위반 소지가 있다.

G마켓, 식품 소상공인 400개사 성장 돕는다. [사진=G마켓 제공]

G마켓에서는 무단 결제 피해가 나타났다. G마켓에서는 지난달 29일 D 일부 회원들 모르게 60건의 모바일 상품권 등의 결제가 이뤄지는 '무단 결제' 사고가 발생했다. 피해자들은 G마켓의 간편결제서비스인 '스마일페이'에 등록된 개인정보를 도용당해 기프트 상품권이 무단 결제된 것으로 알려졌다. 피해 금액은 1인당 3만원에서 20만원 수준이다.

G마켓 측은 "해킹이 아닌 명의 도용 사고로 추정된다"라고 설명했다. 외부 공격자가 취득한 이용자들의 계정과 아이디, 비밀번호, 스마일페이 비밀번호 등을 도용해 무단 결제한 것으로 보인다는 설명이다. 신고받은 금융감독원은 G마켓에 대한 긴급 현장점검에 착수했다.

G마켓에서 발생한 피해 규모는 쿠팡의 대규모 정보 유출 건과 단순 비교하기 어렵지만, 소비자들이 느끼는 위기감은 오히려 쿠팡 사태에 버금가거나 그 이상일 수 있다는 의견이 나온다. 쿠팡의 경우 개인 '정보' 유출에 그쳤지만, G마켓은 실질적인 '금전 탈취'로 이어졌다. G마켓 피해 당사자들에게 직접적인 재산상 손실이 발생해 충격이 더욱 클 수밖에 없다.

쿠팡 정보 유출 사건 일지 [그래픽=홍종현 미술기자]

◆뿔난 소비자...집단 움직임 본격화

대규모 유출과 도용 사고가 연달아 터지면서 "이커머스 플랫폼 어디에 정보를 맡겨야 하나"는 불신이 시장 전반에 번지는 분위기다. 소비자 반발 움직임도 거세다. 일부 소비자들 사이에서는 '탈(脫쿠팡' 움직임도 목격된다. 그러나 탈퇴 과정이 6단계에 달하는 등 복잡한 절차에 불편을 호소하는 사례도 속출하고 있다.

집단 소송 움직임도 본격화되고 있다. 쿠팡이 개인정보 유출 사실을 공개한 지 닷새째인 이날 네이버에는 쿠팡을 상대로 한 소송 준비 카페 30여개가 잇따라 개설됐다. 이날 오전 11시 기준 주요 카페 누적 가입자 수는 50만명을 넘어섰다. 현재 가장 많은 회원을 보유한 네이버 카페 두 곳은 12만명을 넘어섰다.

쿠팡을 상대로 한 손해배상 청구 소송도 시작됐다. 지난 1일 쿠팡 이용자 14명은 1인당 20만원씩의 위자료 청구 소장을 서울중앙지법에 제출한 상태다. 

[서울=뉴스핌] 최지환 기자 = 3일 오전 서울 송파구 쿠팡 본사 앞에서 민병 민생경제위원회, 참여연대, 한국소비자연맹이 주최한 쿠팡 개인정보 유출 집단분쟁조정 신청 돌입 기자회견에서 참가자들이 구호를 외치고 있다. choipix16@newspim.com

시민 단체들은 집단분쟁조정에 착수하기로 했다. 이날 참여연대는 서울 송파구 쿠팡 본사 앞에서 민주사회를 위한 변호사 모임(민변), 한국소비자연맹과 개최한 기자회견에서 "쿠팡에 피해 방지 대책, 소비자 보호 대책 등 마련을 요구하고 피해자를 모아 개인정보 유출에 대한 집단분쟁조정에 돌입할 예정"이라고 밝혔다. 집단분쟁조정은 50명 이상의 소비자가 비슷한 유형의 피해를 입었을 때 소비자 단체 등이 분쟁조정위원회에 일괄적인 조정을 신청해 피해를 구제받는 제도다.

이날 김대윤 민변 민생경제위원회 변호사는 "현재 한국에는 집단소송법이 없어 5년 넘게 법적 분쟁을 치러도 1인당 10만 원 보상에 그치고, 소송에 참여하지 않은 소비자는 구제받지 못하는 구조"라고 지적했다. 이어 "분쟁조정은 소송보다 비용 부담이 적고, 승패만 결정되는 소송과 달리 서비스 이용료 감면이나 피해 예방 대책 마련 등 다양한 해결 방안을 도출할 수 있다"고 강조했다.

[서울=뉴스핌] 최지환 기자 = 3일 오전 서울 송파구 쿠팡 본사 앞에서 민병 민생경제위원회, 참여연대, 한국소비자연맹이 주최한 쿠팡 개인정보 유출 집단분쟁조정 신청 돌입 기자회견에서 참가자들이 쿠팡의 개인정보 유출을 규탄하는 퍼포먼스를 하고 있다. choipix16@newspim.com

◆늦은 신고에 피해 확산 우려…보안 허점 노출도

정부 신고·고객 통지 역시 늦어지면서 대응 부실 논란도 불거졌다. 쿠팡은 사고 발생 시점과 최초 인지 시점 사이에 공백이 길었고, 신고 절차 역시 즉각적으로 이뤄지지 않았다. 고객에게 유출 사실을 알리는 과정도 지연되면서 피해 확산 가능성이 제기됐다.

일부 소비자는 뒤늦게 통지 문자나 이메일을 받고 불안을 호소하고 있다. 그럼에도 쿠팡은 2차 피해를 막기 위한 비밀번호 변경 안내 등 기본적인 사후 조치조차 제때 안내하지 않고 있다. 

정보 유출사고의 또 다른 원인으로는 '저조한 보안 투자'가 지목된다. 쿠팡의 매출액 대비 보안 투자비율은 다른 전자상거래 업체에 비해서는 적은 규모라는 지적도 나온다. 지난해 쿠팡은 매출 38조2988억원 대비 860억원을 투입해 투자 비율 0.22%에 불과하다. G마켓은 137억원, SSG닷컴은 40억원을 정보보호에 투입했다. 이는 매출액 대비 각각 1.4%, 0.3% 수치다.

이커머스 업계 특성상 대규모 트래픽·결제 정보 등을 다룬다는 점을 감안하면 보안 투자 비용이 지나치게 낮다는 지적이다. 사실상 보안 인프라 역량이 기업 성장 속도를 따라가지 못하고 있다는 평가가 나온다.

정부의 사후 규제 중심 체계도 한계로 지적된다. 플랫폼이 개인정보 유출 사실을 신고해야 제재 절차가 시작되는 구조라, 사고 예방보다 사후 조치에 초점이 맞춰져 있기 때문이다.

쿠팡의 경우 정보 유출의 용의자가 전직 중국 국적 직원으로 알려졌다. 박 대표는 전날 열린 과방위에서 "인증 업무 담당자가 아니라 인증 시스템을 개발하는 개발자였다"고 설명했다.

쿠팡은 정보보호·개인정보보호 관리체계(ISMS-P)를 비롯해 ISO/IEC 27001(정보보호경영시스템)·27701(개인정보보호관리체계) 등 7개의 국내외 보안·프라이버시 인증체계를 갖추고 있다. 그러나 내부자 감시에 실패해 대규모 정보유출 사고가 발생했다. 내부 통제 실패가 이번 대규모 정보 유출의 원인인 셈이다. 상시 로그 점검 등 내부 감시를 한층 강화해 사고 예방에 주력해야 한다는 시각도 있다. 

업계 관계자는 "곳곳에서 정보 유출이 발생한다는 것은 시스템 전반에 구조적 문제가 있다는 의미"라며 "보안 투자 확대와 전문 인력 충원, 시스템 고도화가 시급하다"고 말했다.

사고 예방을 위해서는 집단소송제를 도입해야 한다는 목소리도 나온다. 정지연 한국소비자연맹 사무총장은 "대통령이 징벌적 손해배상과 과징금 강화를 언급했지만, 반복되는 소비자 피해를 막기 위해 가장 먼저 도입돼야 할 것은 집단소송제와 입증책임 전환"이라며 "지속적·반복적으로 발생하는 대규모 소비자 피해를 예방·구제할 수 있도록 집단소송제, 징벌적 손해배상, 입증책임 전환을 조속히 시행해야 한다"고 촉구했다.

한편 이재명 대통령은 전날 쿠팡 정보유출 사고와 관련해 "관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서달라"고 지시한 바 있다.

nrd@newspim.com