쿠팡 등 유통사 보안 투자 '헛다리?'

자금·인력 확충에도 잇단 사고

사전 예방 체계 개선 시급

사진=홍연택 기자

이커머스 업체 쿠팡에서 고객 약 4500명의 개인정보가 외부로 노출되는 사고가 발생했다. 유통업계가 정보보호 투자를 확대하고 있음에도 불구하고 유사한 사고가 반복되면서 보안 체계 전반의 실효성에 대한 관심이 높아지고 있다.

21일 쿠팡에 따르면 지난 18일 일부 고객 개인정보가 비인가된 경로를 통해 조회된 사실이 확인됐다. 유출된 정보에는 이름, 이메일 주소, 배송지 주소록(전화번호·주소), 최근 5건의 주문 정보가 포함되며 결제정보는 포함되지 않았다. 회사 측은 비정상적 접근을 탐지한 즉시 해당 경로를 차단했으며 현재까지 개인정보가 실제로 악용된 정황은 확인되지 않았다고 밝혔다.

쿠팡은 이번 사고를 과학기술정보통신부, 한국인터넷진흥원(KISA), 개인정보보호위원회에 자진 신고하고 관련 모니터링을 진행하고 있다. 회사 측은 공지를 통해 고객들에게 사칭 문자나 전화 등 2차 피해 주의도 요청했다.

쿠팡은 지난해에도 판매자 시스템을 통해 약 2만 건의 주문 정보가 유출돼 16억원 규모의 과징금과 과태료를 부과받은 바 있다.

올해 초 GS25 홈페이지에서 9만건, GS샵에서 158만건의 개인정보가 유출되는 등 유통·플랫폼 업계의 보안 사고가 이어졌다. 인터파크 역시 2016년 피싱 메일 해킹으로 1030만 명의 정보가 유출된 데 이어 2024년에는 크리덴셜 스터핑 공격으로 78만 명의 계정 정보가 추가로 털렸다. 여기에 지난 7월 2일에는 인터파크글로벌에서도 개인정보 유출이 의심돼 개인정보보호위원회에 신고가 접수되면서 우려가 커지고 있다.

유통업체들의 정보보호 투자 규모는 증가세다. 한국인터넷진흥원의 정보보호 공시에 따르면 쿠팡, 네이버, 신세계, CJ올리브영, GS리테일 등 5개사는 2024년 기준 총 1568억원을 보안에 투자했으며 전담 인력도 389명으로 전년 대비 늘렸다.

쿠팡의 보안 투자액은 전년 대비 30.5% 증가했고 전담 인력도 13% 확충했다.

이같은 투자 확대에도 사고가 반복되면서 실효성에 대한 지적도 나온다. 특히 정보보호 공시 의무가 없는 중소형 업체들은 여전히 관리 사각지대에 놓여 있다. 지난 6월과 7월 파파존스와 써브웨이 홈페이지에서는 단순 URL 변경만으로 다른 고객의 연락처와 주문 내역 확인이 가능한 구조적 결함이 확인됐다.

업계 관계자들은 유통 플랫폼이 개인정보를 중심으로 운영되는 데이터 기업으로 변화한 만큼, 보안 체계 구축과 관리가 중요하다고 평가했다. 한 관계자는 "유통기업의 보안 사고는 기술적 문제를 넘어 소비자 신뢰와 직결된다"며 "사고 대응뿐 아니라 사전 예방 체계를 갖추는 방식이 필요하다"고 말했다.