3000만명 정보 새나간 쿠팡…이커머스 전반 ‘보안 비상’

쿠팡에서 3000만 건이 넘는 대규모 개인정보 유출 사고가 발생하자, 비슷한 유통 구조를 가진 다른 이커머스(전자상거래) 업체들에도 비상이 걸렸다.

쿠팡은 매년 수백억 원을 정보보호에 투자해 왔지만, 약 3370만 명에 달하는 고객 계정 정보가 유출되면서 수천억 원대 과징금 리스크에 직면했다. 개인정보보호법은 2023년 개정 이후 법 위반 시 매출액의 최대 3%까지 과징금을 부과할 수 있도록 하고 있다. 실제로 지난 4월 발생한 개인정보 유출 사고로 SK텔레콤은 1347억9000만원의 과징금을 부과받았다.

이번 유출 사고에는 이름, 이메일, 전화번호, 배송지 주소는 물론 일부 주문 내역까지 포함된 것으로 알려졌다. 단순 통신사 정보 유출보다 피해 범위가 넓고, 특히 배송지 정보가 포함되면서 2차 스미싱·피싱 등 악용 가능성에 대한 소비자 불안이 커지고 있다.

다른 이커머스 업체들도 긴급 점검에 들어갔다. G마켓(지마켓) 관계자는 1일 “주말 동안 자체 긴급 보안 점검을 실시했고, 추가 점검 방안도 논의 중”이라고 밝혔다. SSG닷컴(쓱닷컴) 역시 “지난해부터 통신·금융권 보안 사고가 잦아 정기·수시 점검과 내부 통제를 강화해 온 상황”이라고 설명했다.
업계 일각에서는 최근 이커머스 시장에서 글로벌 사업자와의 합작·협업이 늘어나는 점도 리스크 요인으로 지목한다. 지마켓이 올해 알리바바와 합작법인 ‘그랜드오푸스홀딩스’를 설립한 사례처럼 국내 플랫폼과 해외 플랫폼의 결합이 늘어나면서, 고객 데이터가 국외로 이전될 가능성이 커졌다는 지적이다.

공정거래위원회는 해당 기업결합을 승인하면서 국내 소비자 데이터를 기술적으로 분리하고, 국내 온라인 해외직구 시장에서 상대방의 소비자 데이터(이름·ID·이메일·전화번호·서비스 이용기록·검색이력 등) 공유를 금지하는 조건을 부과했다. 다만 해외직구 이외 영역에서는 소비자가 데이터 공유 여부를 선택할 수 있도록 했다.

알리익스프레스·테무·쉬인 등 이른바 ‘C커머스(중국계 이커머스)’ 기업의 국내 진출도 확대되고 있어, 데이터 접근 범위·국외 이전 가능성에 대한 소비자 우려는 한층 커지고 있다.

이번 쿠팡 사고는 특히 외부 해킹이 아니라 인증 토큰과 서명키를 활용한 전·현직자 소행 가능성에 무게가 실리며, 업계 전반에 걸친 내부 통제 점검으로 번지는 분위기다. 각사에서는 접근 권한 관리, 로그 기록, 모니터링 체계 등 기본 통제 절차를 다시 들여다보고 있는 것으로 전해졌다.

쿠팡은 그간 유통업계에서 정보기술(IT)·정보보호 투자 규모가 가장 큰 기업 가운데 하나로 꼽혀왔다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면, 쿠팡의 올해 IT 투자액은 1조9171억 원이며 이 가운데 정보보호 분야 투자액은 890억 원(비중 4.6%)이다. 정보보호 투자액은 2022년 535억 원, 2023년 639억 원, 지난해 660억 원 등으로 늘어 왔고, 최근 4년간 누적 투자액은 2700억 원을 웃돈다. 이 비중은 삼성전자, KT에 이어 국내 상장사 중 최상위권이다.
그럼에도 3000만 건이 넘는 정보가 수개월간 유출되는 상황을 감지하지 못했다는 점에서, “단순 예산 부족이 아니라 경보 시스템과 내부 운영 체계의 근본적인 허점이 드러난 것”이라는 비판도 나온다.

이커머스 업계 관계자는 “어느 고리에서 정보 유출이 발생했는지 아직 명확히 드러나지 않은 만큼, 내부 통제 전반을 다시 점검하고 있다”며 “수사 및 조사 경과를 보면서 보안 체계를 보완하고, 추가 피해가 발생하지 않도록 대응을 이어갈 것”이라고 말했다.


황효주 글로벌이코노믹 기자 hyojuh@g-enews.com