쿠팡부터 29CM까지…유통업계 개인정보 유출 왜 반복되나

최신 개인정보 대량 보유…해커 ‘먹잇감’ 된 유통업계

9월부터 과징금 최대 매출 10%…제재 수위 강화

“사후 처벌만으론 한계”…보안 투자·인력 지원 필요

29CM 홈페이지에 올라온 개인정보 유출 관련 공지. ⓒ29CM 홈페이지 캡처

작년에 이어 올해도 국내 유통·플랫폼 기업에서 개인정보 유출 사고가 잇따르고 있다. 온라인 사업 확대 등으로 유통기업이 보유한 개인정보의 양과 종류가 늘어나면서 해커들의 표적이 되고 있다는 분석이 나온다.

1일 업계에 따르면 무신사가 운영하는 패션·라이프스타일 플랫폼 29CM는 홈페이지를 통해 최근 고객 개인정보 15만9000여건이 유출됐다고 밝혔다.

29CM는 "지난 8월27일 주문 정보를 조회하는 연동 기능(API)에 외부의 비정상적인 접근이 발생해 일부 고객님의 개인정보가 유출된 사실을 확인했다"고 공지했다.

유출된 개인정보 가운데 13만8841건은 고객 이름만 포함됐으며, 나머지 2만1011건은 이름과 이메일 주소, 휴대전화번호, 배송정보 등이 함께 유출됐다.

다만 결제정보와 아이디·비밀번호 등 계정정보는 유출되지 않았다.

29CM는 문제를 인지한 직후 해당 접근 경로를 차단하고 한국인터넷진흥원(KISA)과 개인정보보호위원회에 유출 사실을 신고했다.

유통업계의 개인정보 유출 사고는 비단 어제오늘의 일이 아니다.

지난해 말에는 쿠팡에서 약 3755만명의 개인정보가 유출되는 대규모 사고가 발생했다.

개인정보위는 올 6월 인증 서명키 관리와 접근통제 소홀 등을 이유로 쿠팡에 역대 최대 규모인 6246억8100만원의 과징금을 부과했다.

지난 6월에는 CU편의점 택배 서비스를 운영하는 BGF네트웍스가 해킹 공격을 받았다. 아이디와 비밀번호를 비롯해 이름, 생년월일, 성별, 주소, 이메일, 휴대전화번호 등 고객 개인정보가 유출됐다.

올해 초에는 교원그룹이 랜섬웨어 공격을 받기도 했다. 교원그룹은 당시 중복 이용자를 제외한 554만명의 고객 정보가 유출 우려 범위에 있다고 신고했다.

다만 실제 고객 개인정보의 유출 여부와 구체적인 범위에 대해서는 관계 기관과 보안 전문기관의 조사가 진행되고 있는 상황이다.

스포츠 브랜드 언더아머에서도 올해 개인정보 유출 사실이 확인됐다.

언더아머는 지난해 11월 외부 침입자가 IT 시스템에 접근한 사실을 인지한 뒤 조사에 착수했고, 올해 2월 일부 고객의 이메일 주소와 이름, 성별 등이 영향을 받은 사실을 확인했다.

이처럼 유통·플랫폼 기업에서 고객 정보 유출 사고가 잇따르는 배경에는 이들이 보유한 데이터의 높은 활용 가치가 자리하고 있다는 분석이 나온다.

유통·플랫폼 기업은 이름과 전화번호뿐 아니라 주소와 배송지, 주문 내역, 구매 패턴, 계정정보 등 소비자의 일상과 밀접한 개인정보를 대규모로 보유하고 있다.

신규 회원 가입과 주문·배송 등이 반복되는 만큼 데이터가 지속적으로 갱신된다는 점도 특징이다.

황석진 동국대 정보보호학과 교수는 "유통·커머스 업계는 새로운 고객 유입이 많고 회원 가입도 지속적으로 이뤄지기 때문에 자료의 최신성 측면에서 상당히 최적화돼 있다"며 "개인정보의 양과 질 측면에서 해커에게 좋은 타깃이 될 소지가 있다"고 설명했다.

실제 최신 개인정보는 불법 시장에서 거래돼 특정 개인을 겨냥한 범죄에 활용될 가능성도 있다.

과거 유출된 정보와 달리 최근 주소나 연락처, 구매정보 등을 확보하면 피해자의 특성을 파악해 정교한 방식으로 접근할 수 있기 때문이다.

황 교수는 "최신 개인정보는 실제 불법 시장에서 거래되고 있으며 이를 구매한 사람이 특정 대상을 겨냥한 스피어피싱 등에 악용할 수 있다"며 "공격자 입장에서는 정보를 판매해 수익을 창출할 수 있다는 점도 해킹이 끊이지 않는 이유 중 하나"라고 설명했다.

아울러 유통업계의 상대적으로 취약한 보안 수준도 위험 요인으로 꼽힌다.

황 교수는 "유통업계가 계속 해킹에 노출되는 이유 중 하나는 접점 채널이 상당히 많다는 점"이라며 "전통적인 IT 기업 등에 비해 보안 수준이 높지 않은 경우도 있어 이런 부분들이 복합적으로 영향을 미칠 수 있다"고 진단했다.

정부도 잇따른 대규모 개인정보 유출에 대응해 제재 수위를 높이고 있다.

오는 9월 11일부터 고의 또는 중대한 과실로 위반행위를 반복하거나 1000만명 이상의 대규모 피해가 발생하는 등 일정 요건을 충족할 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 된다.

강력한 경제적 제재를 통해 기업이 개인정보 보호에 더 많은 투자와 관심을 기울이도록 하겠다는 취지다.

다만 갈수록 고도화되는 사이버 공격을 막기 위해서는 사고 발생 이후 과징금을 부과하는 사후 제재를 넘어 사전 예방 체계를 강화해야 한다는 지적이 나온다.

기업의 자발적인 투자에만 맡기기보다 정부가 보안 역량을 끌어올릴 수 있는 제도적 기반을 마련해야 한다는 목소리도 나온다.

특히 상대적으로 전문인력과 투자 여력이 부족한 중소·중견기업과 협력업체의 보안 취약점을 보완할 대책이 필요하다는 지적이다.

황 교수는 "과징금을 높이는 것은 기업들이 정보보안에 더 신경을 쓰도록 하는 '위하 효과'는 있을 수 있다"면서도 "제일 중요한 것은 사전 조치 의무를 보다 강화하는 것"이라고 강조했다.

이어 "정보보호 관리체계 인증 등을 받을 당시 갖췄던 보안 조치가 이후에도 지속적으로 유지되고 있는지를 사후에 계속 점검할 필요가 있다"며 "정보보안 체계를 잘 갖추고 유지하는 기업에는 세제 혜택 등 인센티브를 제공하는 방안도 고려할 필요가 있다"고 말했다.

장항배 중앙대 정보보호대학원 교수는 "규제와 처벌만 강화하기보다 인력과 투자에 대한 유인을 촘촘하게 설계하는 것이 중요하다"며 "보안 인력 양성에 예산을 집중하고 시스템 구축을 위한 매칭 지원 범위를 확대한다면 사전 예방 측면에서 효과가 있을 것"이라고 말했다.

이어 "일정 규모 이상의 기업이 적정 수준의 개인정보·정보보호 전문인력을 갖추도록 제도화하고 개인정보보호책임자(CPO)의 자격 요건도 강화해 전문성을 갖춘 인력이 보안을 책임질 수 있도록 해야 한다"고 강조했다.