"앱 탈퇴하고 카드 재발급" 쿠팡 사태에 시민들 '분통'

3370만 고객 개인정보 노출
카드 정보 삭제하고 비밀번호 변경
2·3차 피해로 확산할 여지
"과징금 높이고 보안 시스템 강화해야"

[파이낸셜뉴스] "개인정보가 유출됐다는 문자를 온 가족이 받은 것도 억울한데 정보가 유출되고 5개월이 지나고 나서야 공지 문자를 보내는 게 말이 되는지 모르겠어요." 서울 마포구에 거주하는 임모씨(31)는 쿠팡으로 개인정보가 유출됐다는 메시지를 받고 고민 끝에 쿠팡앱을 탈퇴했다. 임씨는 "카드 정보, 결제 정보, 패스워드는 유출되지 않았다고 했지만 공지도 늦게 한 와중에 몇 개월 뒤에 말이 바뀌지는 않을까 걱정이 됐다"며 "쿠팡앱에 등록했던 카드는 재발급 신청했다"고 토로했다.

국내 이커머스 시장 점유율 1위인 쿠팡의 개인정보 유출 사태로 시민 불안이 극에 달하고 있다.

집 주소, 공동 현관 비밀번호 등이 유출됐다는 사실까지 알려지면서 2·3차 피해에 대한 우려도 커지고 있다. 전문가들은 처벌을 강화하고 내부 보안 체계를 재구축하는 것이 필요하다고 목소리를 높였다.

2일 업계에 따르면 쿠팡 고객 계정 약 3370만개의 개인정보가 유출되면서 추가 피해 가능성에 대한 우려가 확산하고 있다. 서울 동대문구에 거주하는 김모씨(26)는 "자취하는 여자 대학생 입장에서 너무 불안해 일단 등록한 결제 수단과 주소 등 정보를 최대한 삭제했지만 보이스피싱이나 스팸보다 더 위험한 형태의 다른 범죄에 노출될지 몰라서 초조하다"고 말했다.

정부 차원의 대책을 촉구하는 목소리도 커지고 있다. 서울 영등포구 주민 오모씨(30)는 "개인정보가 사실상 공공정보로 쓰이는 셈"이라며 "비밀번호를 주기적으로 바꾸는 등 아무리 노력해도 대기업들의 보안이 줄줄이 무너지니 정부가 나서서 확실한 대책을 세워야 하지 않겠냐"고 한탄했다.

쿠팡은 지난 2021년부터 최근까지 총 네 차례의 개인정보 유출 사고를 냈다. 이를 두고 내부 보안 통제가 허술하다는 점이 문제점으로 꼽힌다. 김형종 서울여대 지능정보보호학부 교수는 "대기업들을 보면 정보보호 및 개인정보 보호 관리체계 인증(ISMS-P)이나 예산·인력 투자 면에서 나아지고 있는 등 체계는 비교적 잘 잡혀 있다"면서도 "하지만 그 체계를 잘 지키기 위한 관리를 하는지는 의문"이라고 지적했다.

'보안'을 '비용'이라고 인식하는 문화도 개선 사항으로 거론된다. 실제 쿠팡은 매출액의 0.2%만을 보안에 투자해 온 것으로 드러났다. 글로벌 빅테크 기업들이 1% 이상을 투입한 것과 대조된다. 박춘식 서울여대 지능정보보호학과 교수는 "이번 사태도 내부 직원에 대한 관리가 허술했기 때문에 발생한 것 아니겠냐"며 "정보보호 최고책임자(CISO) 등 보안 전문가를 배치하고 이사회 보고도 수시로 이뤄지게 해야 한다"고 말했다.

불법 유출된 정보는 마케팅 자료 등으로 쓰이며 2·3차 피해로 확산할 여지도 있는 것으로 분석된다. 김명주 서울여대 정보보호학과 교수는 "개인정보가 결합이 되면 마케팅 정보로 사용될 수 있고 고객들이 어떤 선호가 있는지 파악하는 것은 일종의 '타깃팅 정보'로 개인정보보다 훨씬 더 비싸게 팔린다"면서 "쿠팡 입장에서는 회사의 위기고, 넓게 봐서는 한국 이커머스의 위기로도 볼 수 있다"고 우려했다. 이어 "구매 기록 등 마케팅 정보가 해외 업체에 넘어간다면 앱 이용자, 더 나아가 한국 산업 전반의 위기로 번질 수 있다"고 전망했다.

전문가들은 벌금과 과징금 수준을 높여 기업들이 경각심을 갖게 하는 것이 중요하다고 조언했다.

윤주범 세종대 정보보호학과 교수는 "해외 선진국에서는 이러한 해킹 사태가 일어나면 기업이 휘청할 정도로 많은 벌금과 과징금을 부과하는 반면 한국은 이를 안일하게 생각하면서 매출 올리기에만 전념하는 경향이 있다"며 "기업들이 보안 관련 투자를 제대로 할 수 있도록 처벌 수위를 높여야 한다"고 짚었다.

내부 보안 시스템을 강화하는 것이 중요하다는 경고도 있다. 한국디지털인증협회장을 맡고 있는 이기혁 중앙대 융합보안학과 교수는 "올해만 해도 통신사, 금융권, 가상자산거래소, 정부 시스템의 한계가 드러나지 않았냐"면서 "회사 자체적으로 지켜야 할 자산을 내부적으로 식별하고 중요도에 따라 분류한 뒤 그 자산에 대한 취약점을 정확히 파악해야 한다"고 분석했다.

[e-mail] 서지윤 박성현 기자