온라인 전자상거래 업체 G마켓에서 고객 60여명의 계정이 도용돼 무단 결제가 이뤄지는 사고가 일어나 금융감독원에 신고한 것으로 확인됐다. 2일 유통업계에 따르면 지난달 29일 “내가 구매한 적 없는 모바일 상품권이 결제됐다”며 G마켓에 결제 취소를 요청하는 문의가 접수됐다. 외부 공격자가 무단으로 계정에 등록된 간편 결제서비스인 ‘스마일페이’를 통해 기프트 상품권(금액 상품권)이 결제된 것으로 추정된다. 1인당 피해 금액은 3만원에서 20만원 수준이다. G마켓은 “내부 점검 결과 시스템 해킹 흔적은 없었다”며 “외부에서 탈취한 정보를 갖고 로그인을 해 결제를 한 것으로 파악했다”고 밝혔다. 피해 금액이 인당 100만원 이하라 법적으로 신고 대상은 아니다. 다만 최근 쿠팡의 대규모 개인정보 유출 사고가 일어난 점을 고려해 소비자 경각심이 높아진 만큼 2일 정식으로 금융 당국에 신고했다고 밝혔다. G마켓은 이날 홈페이지 공지사항에 ‘개인정보 보호 강화 대책’이란 공지를 올리고 로그인 비밀번호 변경, 로그인 2단계 인증, 보안 알림 기능 사용 권장 등을 안내했다. 기프트 상품권 등 환금성 상품 구매 시에 회원 본인 확인을 강화한다는 방침이다.

쿠팡 고객 3370만 명의 개인정보가 유출되면서 파장이 일고 있는 가운데, 주문한 적 없는 택배가 중국에서 배송됐다는 사례가 심심치 않게 나오고 있다. 최근 엑스(X)에는 “여자 혼자 사는 집인데 시킨 적 없는 택배가 중국에서 온다. 택배에는 내 이름과 전화번호, 주소가 기입돼 있었다”, “택배를 발송한 사람의 번호가 중국 번호라 보낸 사람한테 연락을 할 수도 없다” 등의 글이 올라왔다. 해당 글 작성자는 자신의 사례를 공개하며 개인통관고유부호를 재발급 받으라고 권했다. 개인통관고유부호는 해외직구 시 세관 통관 절차에서 개인을 식별하기 위해 사용되는 번호다. 해당 게시물은 쿠팡 개인 정보 유출 사태와 맞물리면서 큰 주목을 받았다. 쿠팡에서 해외 직구 서비스를 이용할 때 반드시 개인통관고유번호를 입력해야 하는데, 개인 정보가 유출되면서 개인통관고유번호도 함께 유출됐을 가능성이 제기됐기 때문이다. 쿠팡 정보 유출 사고의 2차 피해를 우려한 일부 시민들이 개인통관고유부호를 바꾸려 관세청 전자통관시스템(유니패스)으로 몰려들면서 홈페이지가 일시 먹통이 되기도 했다. 2일 오후 3시 기준 관세청 유니패스 홈페이지는 접속 지연 상태가 지속됐다. 이는 전날 오전 9시 15분부터 시작된 접속 지연 사태가 이어진 것이다. 국회 과학기술정보방송통신위원회의 쿠팡 현안 질의가 진행되던 정오 경에는 트래픽이 더욱 폭주해 홈페이지가 일시 먹통이 됐다. 관세청은 홈페이지 공지를 통해 “현재 유니패스 이용량 증가 및 서버 처리 지연으로 인해 일부 서비스 이용이 원활하지 않을 수 있다”면서 “서비스는 안정화 작업 진행 중”이라고 안내했다. 2일 오후 5시 30분 기준, 유니패스 홈페이지는 아예 열리지 않거나 페이지가 열릴 때마다 상당한 로딩이 걸리는 상태다. 쿠팡 사태의 2차 피해를 우려하는 사람들 사이에서는 개인통관고유번호와 이미 유출된 개인 정보로 인해 스미싱 등에 노출되고 최악의 경우 밀수품 수입에 개인 명의가 도용될 수 있다는 우려까지 퍼지는 상황이다. 전문가들은 2차 피해를 막기 위해 쿠팡에서 결제 정보를 삭제하고 로그인 비밀번호를 바꾸는 등 조치를 해야 한다고 조언한다. 쿠팡은 이중 카드 결제 번호나 개인통관고유번호 등은 유출되지 않았다고 밝혔지만 아직 조사가 진행 중인 만큼 쿠팡 측 주장을 모두 신뢰하기는 어려운 상황이다. 비번 변경 공지 권유에 쿠팡이 내놓은 답변개인정보 도용과 보이스피싱, 스미싱 등을 통한 2차 피해가 우려되는 상황에서 쿠팡은 여전히 사태를 축소하는 데 급급한 모양새다. 2일 국회 과학기술정보방송통신위원회의 쿠팡 현안 질의에 참석한 김승주 고려대 정보보호대학원 교수는 “피해가 확산될 수 있어 쿠팡에 결제용 카드를 등록했다면 삭제해야 하고, 해당 (신용·체크) 카드의 비밀번호를 바꿀 수 있다면 바꾸는 것이 좋다”면서 “쿠팡 로그인 비밀번호도 바꾸면 좋다”고 말했다. 이후 과방위원장인 최민희 더불어민주당 의원이 쿠팡 측에 김 교수가 당부한 조치 3가지를 공지하라고 권고하자, 박대준 쿠팡 대표는 “(김 교수가 말한) 정보가 노출됐다고 확인된 바는 아직 없고, 너무 과잉해서 안내할 경우 불안감을 조성하게 된다”며 사실상 거절했다. 한편 관세청은 2026년부터 개인통관고유부호를 1년에 한 번씩 갱신하도록 하고, 도용이 의심될 경우 관세청이 직권으로 사용을 정지할 수 있도록 정했다.

쿠팡의 퇴사한 중국인 직원이 회원 3370만명의 개인정보를 유출한 사고와 관련, 박대준 쿠팡 대표가 유출된 정보 중에 휴면 상태이거나 탈퇴한 회원의 정보도 포함됐을 수 있다고 2일 밝혔다. 박 대표는 이날 국회 과학기술정보방송통신위원회의 현안질의에서 휴면 및 탈퇴 회원의 정보가 유출됐을 가능성을 묻는 질문에 “일부 포함됐을 것이라고 생각한다”면서 이같이 말했다. 박 대표는 휴면 및 탈퇴 여부와 관련 없이 피해를 본 모든 회원들에게 개인정보 유출 사실을 안내했다고 설명했다. 다만 정보가 유출된 휴면 또는 탈퇴 회원이 몇 명인지를 묻는 질문에는 “정확히 세는 건 어렵다”고 답했다. 쿠팡에 따르면 이번 사고로 유출된 개인정보는 이용자들의 이름과 전화번호, 주소록에 입력한 배송지 주소, 주문 정보다. 비밀번호와 결제 카드 등 결제에 필요한 정보는 유출되지 않았다고 쿠팡은 설명했지만, 박 대표는 이용자들이 배송 주소록에 입력하는 공동현관 비밀번호도 일부 유출됐을 가능성이 있다고 시인했다. 이번 사태의 피해 규모는 지난해 SK텔레콤에서 발생한 해킹 사태(2300만명 피해)를 뛰어넘는다. SK텔레콤은 당시로는 역대 최대 규모인 1347억 9000만원의 과징금을 부과받았는데, 정치권에서는 쿠팡에 대해 1조원대의 과징금을 부과해야 한다는 주장이 나오고 있다. 황정아 더불어민주당 의원은 “(개인정보보호법에 따르면) 매출액의 3%, 1조 3000억원의 과징금을 물 수 있다고 한다”며 “개인정보보호위원회에서 과징금을 부과하면 소송전 없이 수용할 생각인가?”라고 물었다. 이에 박 대표는 “책임을 회피하고 싶은 생각이 없다”며 “책임이 있는 부분이 있다면 당연히 책임져야 된다고 생각한다”고 답했다.

쿠팡의 퇴사한 직원이 이용자 3370만명의 개인정보를 유출한 사태와 관련, 유출된 개인정보에 이용자들의 공동현관 비밀번호도 일부 포함된 것으로 확인됐다. 2일 국회 과학기술정보방송통신위원회의 쿠팡 개인정보 유출사고 관련 긴급 현안질의에서 박대준 쿠팡 대표는 “공동현관 비밀번호도 유출됐느냐”는 질의에 “일부 포함된 것으로 알고 있다”고 답했다. 노종면 더불어민주당 의원이 “그런데 왜 통지문(안내 문자)에 그 내용이 없느냐”고 물었고, 박 대표는 “(개별 이용자들의 정보에) 모두 항상 들어있는 것은 아니다”라고 답했다. 이에 노 의원은 “공동현관 비밀번호가 (유출 범위에) 포함된 경우 그 내용이 안내 문자에 들어가야 이용자들이 대응을 할 수 있지 않느냐”고 따졌고, 박 대표는 “세심하게 신경쓰겠다”라며 고개를 숙였다. 앞서 쿠팡은 지난달 30일부터 개인정보 유출 피해를 본 이용자들에게 안내 문자를 보내 “노출된 정보는 고객님 이름, 이메일 주소, 배송지 주소록, 주문정보 일부”라고 설명했다. 그러나 아파트 등 공동주택에 거주하는 이용자들은 공동현관 비밀번호를 주소록에 입력해놓고 있어 ‘현관 앞’에 도달하는 정보까지 유출됐을 가능성이 제기돼왔다. 공동현관 비밀번호와 세대 현관 비밀번호를 동일하게 설정하는 경우도 적지 않아 이용자들은 불안에 떨고 있다. 박 대표는 개인정보 유출 용의자로 지목된 전직 중국 직원과 관련해 “인증 시스템을 개발하는 개발자였다”라고 밝혔다. 박 대표는 “여러 인원으로 구성된 개발팀이 여러 역할을 갖고 팀을 구성한다”면서 피의자의 규모에 대해 “단수나 복수라 단정할 수 없다”고 덧붙였다. 또 피의자는 훔친 서명키를 이용해 인증 토큰을 생성해 개인정보를 빼낸 것으로 드러났다. 브랫 매티스 쿠팡 최고정보보안책임자(CISO)는 “피의자는 훔친 서명키를 사용해 실제로 키에 서명을 해 다른 사용자인 것처럼 가장했다”라고 설명했다.

쿠팡에서 3370만건의 개인정보가 한꺼번에 빠져나간 데 이어 유출 정보를 ‘언론에 공개하겠다’는 협박 이메일까지 등장했다. 단순한 사고를 넘어 국가적 사이버 보안 사태가 이미 2차 범죄 단계에 진입했다는 의미다. 어제 금융당국이 보이스피싱·스미싱 등 각종 금융사기에 악용될 우려가 높다는 이유로 소비자경보 ‘주의’를 발령했다. 가입자 규모에 비춰 상당수 국민들이 잠재적 피해자가 될 수 있다는 우려도 높아지는 상황이다. 불안에 떨고 있는 국민에게 당장 필요한 것은 2차 피해 차단을 위한 실행 계획이다. 정부는 유출 정보가 암거래 게시판이나 해킹 커뮤니티 등으로 흘러가는지 24시간 추적하고, 거래나 공유 시도가 포착되는 즉시 삭제 요청과 차단 조치를 해야 한다. 금융기관·포털·통신·택배사와 연동한 피싱 자동 감지 체계도 적극 검토해야 한다. 쿠팡 역시 이용자의 불안을 낮추는 실질적 조치에 나서야 한다. 피해 계정 비밀번호·OTP(일회용 인증 비밀번호) 일괄 초기화, 배송지 주소록 암호화 및 재동의 절차, 로그인 위치·기기 이상 탐지 시스템 구축은 지금도 실행할 수 있다. 안내 문자 발송만으로는 책임을 면할 수 없다. 개인정보 자산을 잠재적 범죄 도구로 전락시킨 책임은 전적으로 기업이 감당해야 한다. 우리는 이미 생활·결제·택배·병원·쇼핑의 70% 이상을 플랫폼을 통해 처리한다. 내부 직원 단 한 명이 두 차례 보안 절차를 우회해 정보를 반출할 수 있었으니 우리 데이터가 얼마나 쉽게 위험에 노출되는지 적나라하게 확인한 셈이다. 이번 사태는 쿠팡뿐만이 아니라 한국 디지털 경제 전체에 울린 경고음이다. 정부는 개인정보를 다루는 기업의 내부 반출 차단 시스템(DLP) 도입 의무화 등 제도적 개선에 나서야 한다. 이번 사태를 전환점으로 디지털 보안 체계를 한 단계 끌어올리지 못한다면 제2·제3의 쿠팡 사태는 언제든 반복될 수 있다.

쿠팡의 퇴사한 직원에 의해 가입자 3370만명의 개인정보가 유출돼 파장이 일고 있는 가운데, 쿠팡 측이 설정한 복잡한 탈퇴 경로도 비판의 도마 위에 올랐다. 이용자들의 탈퇴를 어렵게 해 회원 수를 유지하려는 전형적인 ‘다크 패턴(눈속임 상술)’이라는 지적이다. 1일 업계에 따르면 쿠팡의 개인정보 유출 사태로 온라인 커뮤니티 등에서는 ‘쿠팡 탈퇴’ 움직임이 일고 있다. 개인정보 유출 피해를 입은 이용자들은 쿠팡 계정 자체를 해지하거나 ‘와우 멤버십’ 해지, 결제 카드 정보 변경, 간편결제 비밀번호 변경 등으로 대응하고 있다. 그러나 이용자들은 “쿠팡 앱에서 탈퇴하는 과정이 복잡하다”고 호소한다. 실제 기자가 쿠팡 앱에서 ‘회원 탈퇴’ 메뉴를 찾아봤으나, 앱 메인 화면은 물론 주문 내역 등을 확인할 수 있는 개인 페이지, ‘설정’ 페이지 등 어디에서도 탈퇴 메뉴를 찾을 수 없었다. 이에 ‘전체메뉴’를 통해 가장 아래에 있는 ‘고객센터’를 찾아 ‘탈퇴’ 키워드를 검색하자 질의응답(FAQ) 리스트 중에서 “회원 탈퇴는 어떻게 하나”라는 질문을 찾았고, 비로소 ‘회원 탈퇴하기’ 메뉴를 찾을 수 있었다. 그러나 정작 메뉴로 들어가 비밀번호를 입력하고 나자 “회원 탈퇴는 PC 버전으로 이동해 진행할 수 있다”는 하단의 안내 문구와 함께 ‘PC버전으로 이동’ 메뉴로 연결됐다. 이후에도 본인 확인과 이용내역 확인, 설문조사 등을 거쳐야 한다. ‘쿠팡에 바라는 점’ 등 설문조사까지 마쳐야 탈퇴가 가능하다. PC 버전으로 이동해야 탈퇴…“귀찮아서 포기”이 같은 과정을 거쳤더라도 쿠팡의 유료 멤버십인 ‘와우 멤버십’에 가입돼 있는 이용자는 먼저 와우 멤버십을 해지해야 한다. 그런데 와우 멤버십 해지 역시 복잡하다. 앱 내 ‘와우 멤버십’ 해지 메뉴로 들어가면 “지금 해지하면 쿠팡플레이 혜택을 즐길 수 없다”, “와우할인가로 구매할 수 없다”, “새벽배송, 당일배송 혜택이 사라진다”, “무료 이용권을 더 써보고 결정해라” 등의 안내문이 줄줄이 뜬다. 스크롤을 한참 내려야 ‘와우 전용 혜택 그만 받기’ 버튼이 나타나는데, 버튼을 눌러도 “혜택을 포기하면 와우 전용 쿠폰이 사라진다” 등 이중삼중의 질문을 해 답변을 유도한다. 이 같은 앱의 이용자 환경(UI)은 ‘다크 패턴’이라고 비판받는다. 다크 패턴은 스마트폰 애플리케이션 등의 UI을 교묘하게 설정해 이용자들에게 의도하지 않은 소비를 유도하거나 회원 탈퇴를 어렵게 하는 등의 눈속임을 뜻한다. 쿠팡의 탈퇴 절차가 지나치게 복잡한 탓에 네이버 카페 등 온라인 커뮤니티에서는 “쿠팡 탈퇴 방법”이 공유되고 있다. 쿠팡을 7년간 이용해왔다는 회사원 김모(39)씨는 “쿠팡 탈퇴 메뉴에 들어갔다 ‘PC 버전으로 이동’ 안내를 보고 바쁘고 짜증나서 포기했다”면서 “어차피 내 개인정보는 이미 공공재가 된 것 아니냐”라고 한탄했다. 쿠팡 측은 이용자들에게 보낸 문자메시지를 통해 “노출된 정보는 이름과 이메일 주소, 배송지 주소록, 주문정보”라며 결제 카드와 비밀번호 등은 노출되지 않았다고 설명했다. 다만 쿠팡의 이 같은 해명에도 이용자들의 불안은 가시지 않고 있다. 아파트 등 공동주택에 거주하는 이용자들은 자신의 주소록에 집 주소뿐 아니라 세대로 진입할 수 있는 공동현관 비밀번호도 입력하는 탓이다. 부모가 타지에서 사는 자녀들의 이름과 주소, 전화번호를 등록해 자녀에게 필요한 물건을 대신 배송해주는 사례도 적잖다. 사실상 온 가족의 ‘현관 앞’으로 도달할 수 있는 민감한 개인정보가 유출됐을 가능성에 이용자들은 불안을 호소한다. 쿠팡 측은 “쿠팡을 사칭하는 전화, 문자 등에 주의해달라”는 안내 외에는 이용자들이 취해야 할 조치를 안내하지 않았다. 그런데도 이용자들 사이에서는 자신이 아닌 누군가가 자신의 계정으로 로그인한 기록을 찾아 로그아웃하는 방법이 공유되는가 하면, 쿠팡 앱으로 해외 직구를 이용한 경우 ‘개인통관고유부호’도 유출됐을 수 있으니 바꿔야 한다는 주장까지 나오고 있다.

쿠팡의 대규모 개인정보 유출 사태가 확인되면서 소니나 야후 해킹에 버금가는 수준의 글로벌급 사고로 번질 수 있다는 우려가 커지고 있다. 단순한 이메일·비밀번호 유출을 넘어 집주소·배송기록·공동현관 비밀번호 등 생활형 정보까지 포함된 것으로 알려져 2차 피해 경고도 잇따르고 있다. 경찰, 피의자 IP 확보…협박 메일 2개 계정 추적 중 서울경찰청 사이버수사대는 1일 “쿠팡 측으로부터 서버 로그기록을 제출받아 분석 중이며 피의자가 사용한 IP를 확보해 추적 중”이라고 밝혔다. 경찰은 ‘회원들의 개인정보를 가지고 있다’며 협박성 이메일을 보낸 계정 2개에 대해서도 송신 경로를 추적하고 있다. 이메일은 지난달 16일과 25일 두 차례 발송됐고 동일인 소행인지 실제 유출자와 동일인인지 여부가 수사 중이다. 앞서 쿠팡에서 근무했던 중국 국적의 전직 직원이 고객 정보를 빼돌린 뒤 협박성 이메일을 보낸 정황이 포착됐다. 피의자가 이미 퇴사 후 출국한 상태로 확인되자 경찰은 국제 공조 수사에 나섰다. 30억 계정 털린 야후…역대 최대 유출 사건 2013~2014년 발생한 야후 해킹 사건은 역사상 최대 규모의 개인정보 유출로 기록됐다. 당시 약 30억 개 계정의 이름, 이메일 주소, 전화번호, 생년월일, 암호화된 비밀번호, 보안 질문·답변이 노출됐다. 이 사건은 2017년 야후의 매각 과정에도 직접적인 영향을 미쳐 인수 주체였던 버라이즌이 인수가를 3억 5000만 달러(약 4000억 원·모든 원화 환산은 사건 발생 당시 환율 기준) 낮췄다. 야후는 결국 피해자들과의 집단소송에서 총 1억 1750만 달러(약 1338억 원)의 합의금을 지급했다. 다만 전체 30억 계정이 아닌 실제 보상 대상은 약 1억 9400만 명 규모로 추정됐고 신청서를 제출한 이용자만 최대 358달러(약 40만 원) 한도 내에서 보상받았다. 소니 PSN 해킹…“기업 신뢰 무너진 상징적 사건” 2011년에는 일본 소니의 플레이스테이션 네트워크(PSN)가 해킹당해 7700만 명의 회원정보와 신용카드 정보가 유출됐다. 소니는 24일간 서비스를 중단하고 PSN 이용자 전원에게 무료 게임 2편과 30일 무료 이용권을 제공하는 등 사과·보상 조치를 취했다. 영국 당국은 정보보호법 위반으로 과징금을 부과했고 일본에서는 “기업 신뢰 붕괴”라는 여론이 확산되며 ‘소니 쇼크’라는 표현이 등장했다. 에퀴팩스·메리어트 등 글로벌 기업들도 잇단 유출 2017년 미국 신용평가사 에퀴팩스는 시스템 취약점을 방치한 채 수개월간 보안 경고를 무시하다가 1억 4700만 명의 신용정보가 유출됐다. 이 사건으로 경영진이 사퇴하고 미 의회 청문회가 열리는 등 파문이 컸다. 회사는 집단소송 합의로 총 7억 달러(약 8300억 원) 규모의 보상·과징금 패키지를 마련했으나 피해자 대부분은 애초 약속된 125달러 대신 10~20달러(약 1만~2만 원대)의 실보상만 받았다. 이듬해에는 세계 최대 호텔 체인 메리어트 인터내셔널의 예약망이 해킹돼 최대 5억 명의 투숙객 정보가 새나갔다. 영국 정보보호당국은 1840만 파운드(약 276억 원)의 과징금을 부과했고 미국·캐나다 등에서도 집단소송이 제기됐으며 피해 신고 고객을 대상으로 최대 100달러(약 12만 원) 수준의 보상이 제공됐다. 쿠팡, 외부 해킹 아닌 내부자 소행 정황쿠팡의 피해 규모(3370만 건)는 야후(30억)나 메리어트(5억)에 비하면 작지만 노출된 정보의 현실적 민감도는 훨씬 높다는 평가가 나온다. 특히 이름·주소·휴대전화번호뿐 아니라 공동현관 비밀번호, 배송 위치, 가족 구성 등 생활 공간과 연결된 정보가 포함돼 피해가 장기화될 가능성이 제기된다. 쿠팡은 “시스템 외부 침입 흔적은 없다”며 내부 비인가 조회로 인한 유출임을 시사했다. 보안 업계는 “이건 단순한 기술적 해킹이 아니라 내부 통제 실패”라며 기업의 데이터 접근 권한 관리가 허술했다는 점을 문제로 지적하고 있다. 집단소송, 실제 보상은 얼마나 받나 이번 사태를 계기로 해외 기업의 집단소송 보상 구조에도 관심이 쏠리고 있다. 미국 등에서는 대표 원고와 변호사단이 전체 피해자를 대신해 소송을 제기하며 개별 피해자는 변호사비를 직접 내지 않지만 전체 합의금의 20~40%가 수임료와 행정비용으로 공제된다. 결과적으로 1인당 보상액은 매우 낮아지는 구조다. 예를 들어 에퀴팩스 사건의 경우 총 7억 달러 중 약 25%가 변호사비로 빠졌고 피해자 대부분은 약속된 125달러 대신 10~20달러 수준만 받았다. 이처럼 집단소송은 금전적 보상보다 기업의 책임을 공식화하는 징벌적 절차라는 평가가 많다. 정부 조사 및 과징금 전망정부는 개인정보보호위원회와 과기정통부, 민간 보안 전문가들이 참여하는 민관합동조사단을 구성해 사고 원인을 조사 중이다. 개인정보보호법 개정으로 위반 시 전년도 매출의 최대 3%까지 과징금을 부과할 수 있어 쿠팡이 수천억 원대 제재를 받을 가능성도 제기된다. 앞서 2024년 SK텔레콤은 개인정보 유출로 역대 최대인 1347억 원의 과징금을 부과받았다. “사과보다 복구 중심 대응이 신뢰 회복의 출발점”쿠팡 사태는 한 기업의 보안 실패를 넘어 국민 대다수의 생활 정보가 얼마나 취약한지 드러낸 사건으로 평가된다. 데이터가 곧 신뢰가 되는 시대, 이번 사태가 ‘한국판 개인정보 위기’로 기록되지 않으려면 신속하고 투명한 대응이 필요하다.

쿠팡의 대규모 개인정보 유출 사태가 확인되면서 소니나 야후 해킹에 버금가는 수준의 글로벌급 사고로 번질 수 있다는 우려가 커지고 있다. 단순한 이메일·비밀번호 유출을 넘어 집주소·배송기록·공동현관 비밀번호 등 생활형 정보까지 포함된 것으로 알려져 2차 피해 경고도 잇따르고 있다. 경찰, 피의자 IP 확보…협박 메일 2개 계정 추적 중 서울경찰청 사이버수사대는 1일 “쿠팡 측으로부터 서버 로그기록을 제출받아 분석 중이며 피의자가 사용한 IP를 확보해 추적 중”이라고 밝혔다. 경찰은 ‘회원들의 개인정보를 가지고 있다’며 협박성 이메일을 보낸 계정 2개에 대해서도 송신 경로를 추적하고 있다. 이메일은 지난달 16일과 25일 두 차례 발송됐고 동일인 소행인지 실제 유출자와 동일인인지 여부가 수사 중이다. 앞서 쿠팡에서 근무했던 중국 국적의 전직 직원이 고객 정보를 빼돌린 뒤 협박성 이메일을 보낸 정황이 포착됐다. 피의자가 이미 퇴사 후 출국한 상태로 확인되자 경찰은 국제 공조 수사에 나섰다. 30억 계정 털린 야후…역대 최대 유출 사건 2013~2014년 발생한 야후 해킹 사건은 역사상 최대 규모의 개인정보 유출로 기록됐다. 당시 약 30억 개 계정의 이름, 이메일 주소, 전화번호, 생년월일, 암호화된 비밀번호, 보안 질문·답변이 노출됐다. 이 사건은 2017년 야후의 매각 과정에도 직접적인 영향을 미쳐 인수 주체였던 버라이즌이 인수가를 3억 5000만 달러(약 4000억 원·모든 원화 환산은 사건 발생 당시 환율 기준) 낮췄다. 야후는 결국 피해자들과의 집단소송에서 총 1억 1750만 달러(약 1338억 원)의 합의금을 지급했다. 다만 전체 30억 계정이 아닌 실제 보상 대상은 약 1억 9400만 명 규모로 추정됐고 신청서를 제출한 이용자만 최대 358달러(약 40만 원) 한도 내에서 보상받았다. 소니 PSN 해킹…“기업 신뢰 무너진 상징적 사건” 2011년에는 일본 소니의 플레이스테이션 네트워크(PSN)가 해킹당해 7700만 명의 회원정보와 신용카드 정보가 유출됐다. 소니는 24일간 서비스를 중단하고 PSN 이용자 전원에게 무료 게임 2편과 30일 무료 이용권을 제공하는 등 사과·보상 조치를 취했다. 영국 당국은 정보보호법 위반으로 과징금을 부과했고 일본에서는 “기업 신뢰 붕괴”라는 여론이 확산되며 ‘소니 쇼크’라는 표현이 등장했다. 에퀴팩스·메리어트 등 글로벌 기업들도 잇단 유출 2017년 미국 신용평가사 에퀴팩스는 시스템 취약점을 방치한 채 수개월간 보안 경고를 무시하다가 1억 4700만 명의 신용정보가 유출됐다. 이 사건으로 경영진이 사퇴하고 미 의회 청문회가 열리는 등 파문이 컸다. 회사는 집단소송 합의로 총 7억 달러(약 8300억 원) 규모의 보상·과징금 패키지를 마련했으나 피해자 대부분은 애초 약속된 125달러 대신 10~20달러(약 1만~2만 원대)의 실보상만 받았다. 이듬해에는 세계 최대 호텔 체인 메리어트 인터내셔널의 예약망이 해킹돼 최대 5억 명의 투숙객 정보가 새나갔다. 영국 정보보호당국은 1840만 파운드(약 276억 원)의 과징금을 부과했고 미국·캐나다 등에서도 집단소송이 제기됐으며 피해 신고 고객을 대상으로 최대 100달러(약 12만 원) 수준의 보상이 제공됐다. 쿠팡, 외부 해킹 아닌 내부자 소행 정황쿠팡의 피해 규모(3370만 건)는 야후(30억)나 메리어트(5억)에 비하면 작지만 노출된 정보의 현실적 민감도는 훨씬 높다는 평가가 나온다. 특히 이름·주소·휴대전화번호뿐 아니라 공동현관 비밀번호, 배송 위치, 가족 구성 등 생활 공간과 연결된 정보가 포함돼 피해가 장기화될 가능성이 제기된다. 쿠팡은 “시스템 외부 침입 흔적은 없다”며 내부 비인가 조회로 인한 유출임을 시사했다. 보안 업계는 “이건 단순한 기술적 해킹이 아니라 내부 통제 실패”라며 기업의 데이터 접근 권한 관리가 허술했다는 점을 문제로 지적하고 있다. 집단소송, 실제 보상은 얼마나 받나 이번 사태를 계기로 해외 기업의 집단소송 보상 구조에도 관심이 쏠리고 있다. 미국 등에서는 대표 원고와 변호사단이 전체 피해자를 대신해 소송을 제기하며 개별 피해자는 변호사비를 직접 내지 않지만 전체 합의금의 20~40%가 수임료와 행정비용으로 공제된다. 결과적으로 1인당 보상액은 매우 낮아지는 구조다. 예를 들어 에퀴팩스 사건의 경우 총 7억 달러 중 약 25%가 변호사비로 빠졌고 피해자 대부분은 약속된 125달러 대신 10~20달러 수준만 받았다. 이처럼 집단소송은 금전적 보상보다 기업의 책임을 공식화하는 징벌적 절차라는 평가가 많다. 정부 조사 및 과징금 전망정부는 개인정보보호위원회와 과기정통부, 민간 보안 전문가들이 참여하는 민관합동조사단을 구성해 사고 원인을 조사 중이다. 개인정보보호법 개정으로 위반 시 전년도 매출의 최대 3%까지 과징금을 부과할 수 있어 쿠팡이 수천억 원대 제재를 받을 가능성도 제기된다. 앞서 2024년 SK텔레콤은 개인정보 유출로 역대 최대인 1347억 원의 과징금을 부과받았다. “사과보다 복구 중심 대응이 신뢰 회복의 출발점”쿠팡 사태는 한 기업의 보안 실패를 넘어 국민 대다수의 생활 정보가 얼마나 취약한지 드러낸 사건으로 평가된다. 데이터가 곧 신뢰가 되는 시대, 이번 사태가 ‘한국판 개인정보 위기’로 기록되지 않으려면 신속하고 투명한 대응이 필요하다.

쿠팡이 퇴사한 직원에 의해 3370만명의 개인정보가 유출된 사건과 관련해 경찰이 피의자의 IP를 확보해 추적하고 있다고 1일 밝혔다. 서울경찰청 관계자는 이날 정례 간담회에서 “현재 쿠팡 측으로부터 서버 로그기록을 제출받아서 분석 중”이라며 “피의자가 범행에 사용한 IP를 확보해 추적 중”이라고 말했다. 경찰은 또한 “회원들의 개인정보를 가지고 있다”며 협박 이메일을 보낸 계정 2개도 추적하고 있다. 경찰에 따르면 지난달 16일 쿠팡 고객들에게, 이어 25일 쿠팡 고객센터 이메일 계정으로 협박 메일이 발송됐다. 경찰은 두 차례의 메일을 보낸 사람이 동일인인지, 또 쿠팡에서 개인정보를 유출해간 사람과 동일인인지를 파악 중이다. 피의자가 쿠팡에서 퇴사한 중국인으로 알려진 가운데 경찰은 “여러 가능성이 있어 제출된 자료를 바탕으로 분석하고 있다”고 설명했다. 쿠팡에서 근무했던 중국 국적 직원이 고객 정보를 유출했다는 의혹에 대해 서울청 관계자는 “여러 가능성이 있어 제출된 자료를 바탕으로 분석하고 있다”며 “(유력 용의자가 중국 국적일 가능성을) 포함해 수사 중이고 국적에 대해서는 말씀드리기 어렵다”라고 밝혔다. 이번에 개인정보가 유출된 3370만명은 사실상 쿠팡 전체 가입 계정 전체에 달하는 규모이며, 성인 4명 중 3명에 육박한다. 가입자의 이름과 전화번호, 주소 등 쉽게 바꿀 수 없는 인적 사항뿐 아니라 가입자들이 주문한 내역까지 유출된 탓에 피해 범위와 파장이 크다고 전문가들은 분석한다. 가입자들의 집 현관 앞까지 도달하는 택배 배송과 관련된 정보는 물론 가입자의 가족 구성원 및 생활 패턴을 들여다볼 수 있는 내밀한 정보까지 뚫린 셈이다. 가입자들은 쿠팡 탈퇴는 물론 아파트 공동현관에서 사용해왔던 출입 비밀번호를 바꾸는 등 대응에 나서고 있지만 이미 속수무책이라는 지적이 나온다. 7년 넘게 쿠팡을 이용해왔던 김모(39)씨는 “사실상 속옷 사이즈 관련 정보까지 넘어간 셈”이라며 “인제 와서 쿠팡을 탈퇴해봤자 늦은 것 같다. 내 개인정보는 해외에서 공공재처럼 떠돌아다닐 것”이라고 토로했다. 업계에서는 쿠팡이 수천억원대의 과징금 철퇴를 맞을 수 있다는 관측이 나온다. 2023년 개정된 개인정보보호법에 따르면 법 위반 시 전년도 전체 매출액의 최대 3%까지 과징금을 부과할 수 있다. 지난해 발생한 SK텔레콤의 개인정보 유출 사고와 관련해 SK텔레콤은 역대 최대 규모인 1347억 9000만원의 과징금을 부과받았다.

6월 24일 발생… 11월 18일에 인지“정상적 로그인 없이 고객정보 유출”“서버 보안인증 취약점 악용해 공격”정부, 국가 배후 범죄 가능성도 논의일부 집단소송 카페·단톡방 개설도 이번 쿠팡의 정보 유출을 두고 특히 사고를 인지하기까지 5개월이나 걸렸다는 데 대한 비판이 거세다. 회사의 깜깜이 대응에 실망한 소비자들은 집단소송 등 단체 행동에 나설 움직임도 보이고 있다. 30일 쿠팡에 따르면 고객 계정과 관련된 개인정보 무단 접근은 지난 6월 24일부터 시작됐지만 쿠팡은 이를 지난 18일에야 인지하게 됐다. 쿠팡은 그동안 공격자 입장에서 취약점을 찾는 ‘레드팀’과 선제적 위협 탐지·대응을 맡는 ‘고스트팀’을 운영하면서 수준 높은 보안 조직을 갖췄다고 홍보했지만, 정작 개인정보 노출 기간이나 사고 발생 원인에 대해서는 ‘조사 중’이라며 함구하고 있다. 쿠팡 측은 “현재까지 2차 피해는 보고된 바 없다”고 했지만 소비자의 불안과 불신은 확산하고 있다. 민관합동조사단을 꾸리고 쿠팡 본사에서 현장 조사를 진행 중인 정부는 쿠팡 서버 인증 체계에 취약점이 있었다고 짚었다. 이날 배경훈 부총리 겸 과학기술정보통신부 장관은 정부서울청사에서 관계 부처 긴급회의를 열고 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3000만개 이상 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인했다”고 설명했다. 정부는 회의에서 국가 배후 범죄 가능성에 대해서도 논의했으며 쿠팡 서버에서 악성 코드는 발견되지 않았다고 밝혔다. 쿠팡의 개인정보보호법상 안전조치의무 위반이 확인되면 엄정 제재할 방침이다. 이번 사고가 쿠팡의 내부 직원 소행이라는 추측이 나오면서 내부 보안 대책에 허점이 있었다는 비판도 피할 수 없게 됐다. 특히 수천만명의 정보가 새 나가는 동안 자체적으로 부정·불법행위를 탐지해 내지 못할 정도로 쿠팡 서버의 모니터링 체계가 미흡했다는 지적이 나온다. 염흥열 순천향대 정보보호학과 명예교수는 “유출자가 직장 상사 등의 ID와 비밀번호를 확보해 타인의 접근 권한까지 가졌을 가능성이 있다”며 “서버 접속 과정에서 2차 인증이 필요한데도 1차 인증만으로 통과되는 등 인증 체계에 취약점이 있는 것으로 추정된다”고 말했다. 쿠팡의 책임과 보상을 촉구하기 위한 소비자 움직임도 확산하고 있다. 지난 29일 네이버에 개설된 ‘쿠팡 정보유출 집단소송 카페’ 운영진은 “3370만명이 피해를 본 초유의 사태에 대해 법적 책임을 묻고 공동 대응 방안을 마련하겠다”며 출범 취지를 밝혔다. 카카오톡에서 ‘쿠팡 정보유출 피해자 모임’ 채팅방을 개설한 이모(49)씨도 “개인의 힘으로는 거대 기업인 쿠팡의 안일한 대응에 맞서기 어렵다고 판단했다”면서 “집단분쟁조정 신청이나 공동소송까지 고려하고 있다”고 설명했다. 손해배상 집단소송을 준비 중인 김경호 변호사(법무법인 호인)는 “핵심 쟁점은 쿠팡이 개인정보보호법 제29조에 따른 안전조치의무를 다했는지 여부”라면서 “해킹 기술이 고도화됐다 하더라도 쿠팡이 당시 기술 수준에서 요구되는 접근 통제, 접속 기록 보관, 암호화 조치 등을 소홀히 했다면 과실이 인정된다”고 주장했다.

3370만명 고객정보 무단 노출 확인중국 국적 전 직원이 정보 빼돌린 듯카드·통신 사고 이어 불안감 확산 국내 1위 온라인 유통 기업인 쿠팡에서 우리나라 국민의 절반이 넘는 약 3370만명의 고객 계정 정보가 무단으로 노출되는 초유의 사고가 벌어지면서 국민 불안이 소위 포비아(공포증) 수준으로 치닫고 있다. 역대 최대 규모의 고객 정보 유출인 데다 쿠팡이 5개월간 지속된 개인정보 탈취 시도조차 인지하지 못했기 때문이다. 이번 사고가 중국 국적의 내부자 소행이라는 언급도 나온다. 전문가들은 이 사태가 스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격)이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고했다. 쿠팡이 고객 계정의 이름, 이메일, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보가 노출된 사실을 지난 29일 확인한 가운데 박대준 쿠팡 대표는 30일 정부서울청사에서 “국민 여러분께 불편을 끼쳐 드려 진심으로 사과드린다”며 첫 사과에 나섰다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 노출된 사실을 인지했다고 밝혔지만 후속 조사에서 7500배나 많은 3370만개가 유출된 것으로 확인됐다. 쿠팡 구매 이력이 있는 고객 수(2470만명)보다 900만명이나 많고, 역대 최대 과징금인 1348억원 처분을 받은 SK텔레콤의 개인정보 유출 규모(2324만명)도 크게 웃돈다. 쿠팡은 지난 6월 24일부터 5개월 동안 지속된 개인정보 탈취 시도를 전혀 파악하지 못했다는 점에서도 책임을 피하기 어려워 보인다. 여기에 중국 국적의 전 쿠팡 직원이 고객 정보를 유출했다는 의혹도 제기됐다.  경찰은 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의 제출받아 분석 중이다. 경찰은 “모든 가능성을 열어 두고 절차에 따라 수사하고 있다”고 전했다. 다만 쿠팡 측은 내부 직원 소행 가능성에 대해선 확인이 어렵다는 입장이다. 쿠팡은 이날 오후 웹사이트와 애플리케이션에 게재한 사과문에서 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않아 고객이 계정 관련해 조치를 취할 필요는 없다”고 밝혔다. 하지만 전문가들은 이번 사고가 스미싱이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고한다. 한국인터넷진흥원(KISA)은 ‘피해 보상’이나 ‘피해 사실 조회’, ‘환불’ 등의 키워드로 피해 기업(쿠팡)을 사칭하는 스미싱이나 보이스피싱 등에 주의할 것을 권고했다. 김기형 아주대 사이버보안학과 교수는 “최근 주문 건에 문제가 있다며 주소나 연락처를 다시 확인하라는 식의 피싱이 대표적”이라면서 “문자, 전화, 카카오톡 등 어떤 채널에서도 모르는 링크는 클릭하지 않는 것이 중요하다”고 말했다. 정보 유출 경로가 오리무중인 상황에서 피해를 본 소비자들은 분통을 터뜨리고 있다. 빠른 배송 때문에 쿠팡을 애용했다는 구정순(62)씨는 이번 사태가 터지자마자 쿠팡을 탈퇴했다. 구씨는 “회사가 정확한 진단이나 대책을 내놓지 못해 정보가 유출된 피해자만 발을 동동 구르고 있다”며 “‘전화번호는 노출됐는데 카드 정보와 비밀번호는 노출되지 않았다’는 회사의 설명을 어떻게 믿겠느냐”고 말했다. 일부 고객 사이에서는 공동 현관 비밀번호도 털렸을 수 있다는 불안감이 높은 상황이다. 쿠팡의 경우 음식이나 택배 배송 요청란에 아파트 공동 현관 비밀번호를 쓰는 경우가 많고 이를 배송 정보로 관리하기 때문이다.

이번 쿠팡의 정보 유출은 특히 사고를 인지하기까지 5개월이나 걸렸다는 데 대한 비판이 거세다. 회사의 깜깜이 대응에 실망한 소비자들은 집단소송 등 단체 행동에 나설 움직임도 보이고 있다. 30일 쿠팡에 따르면 고객 계정과 관련된 개인정보 무단 접근은 지난 6월 24일부터 시작됐지만, 쿠팡은 이를 지난 18일에야 인지하게 됐다. 쿠팡은 그동안 공격자 입장에서 취약점을 찾는 ‘레드팀’과 선제적 위협 탐지·대응을 맡은 ‘고스트팀’을 운영하면서 수준 높은 보안 조직을 갖췄다고 홍보했지만 정작 개인정보 노출 기간이나 사고 발생 원인에 대해서는 ‘조사 중’이라며 함구하고 있다. 쿠팡 측은 “현재까지 2차 피해는 보고된 바 없다”고 했지만 소비자의 불안과 불신은 확산하고 있다. 민관합동조사단을 꾸리고 쿠팡 본사에서 현장 조사를 진행 중인 정부는 쿠팡 서버 인증 체계에 취약점이 있었다고 짚었다. 이날 배경훈 부총리 겸 과학기술정보통신부 장관은 정부서울청사에서 관계 부처 긴급회의를 열고 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3000만개 이상 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인했다”고 설명했다. 정부는 회의에서 국가 배후 범죄 가능성에 대해서도 논의했으며, 쿠팡 서버에서 악성코드는 발견되지 않았다고 밝혔다. 쿠팡의 개인정보보호법상 안전조치의무 위반이 확인되면 엄정 제재할 방침이다. 이번 사고가 쿠팡의 내부 직원 소행이라는 추측이 나오면서 내부 보안 대책에 허점이 있었다는 비판도 피할 수 없게 됐다. 특히 수천만명의 정보가 새 나가는 동안 자체적으로 부정·불법 행위를 탐지해 내지 못할 정도로 쿠팡 서버의 모니터링 체계가 미흡했다는 지적이 나온다. 염흥열 순천향대 정보보호학과 명예교수는 “유출자가 직장 상사 등의 ID와 비밀번호를 확보해 타인의 접근 권한까지 가졌을 가능성이 있다”며 “서버 접속 과정에서 2차 인증이 필요한데도 1차 인증만으로 통과되는 등 인증 체계의 취약점이 추정된다”고 말했다. 쿠팡의 책임과 보상을 촉구하기 위한 소비자 움직임도 확산하고 있다. 지난 29일 네이버에 개설된 ‘쿠팡 정보유출 집단소송 카페’ 운영진은 “3370만명이 피해를 본 초유의 사태에 대해 법적 책임을 묻고 공동 대응 방안을 마련하겠다”며 출범 취지를 밝혔다. 카카오톡에서 ‘쿠팡 정보유출 피해자 모임’ 채팅방을 개설한 이모(49)씨도 “개인의 힘으로는 거대 기업인 쿠팡의 안일한 대응에 맞서기 어렵다고 판단했다”면서 “집단 분쟁 조정 신청이나 공동소송까지 고려하고 있다”고 설명했다. 손해배상 집단소송을 준비 중인 김경호 변호사(법무법인 호인)는 “핵심 쟁점은 쿠팡이 개인정보보호법 제29조에 따른 ‘안전조치의무’를 다했는지 여부”라면서 “해킹 기술이 고도화됐다 하더라도 쿠팡이 당시 기술 수준에서 요구되는 접근 통제, 접속 기록 보관, 암호화 조치 등을 소홀히 했다면 과실이 인정된다”고 주장했다.

‘홈캠’으로 불리며 범죄 예방 등을 위해 가정집 등에 설치된 인터넷 프로토콜(IP) 카메라 12만여대를 해킹해 성 착취물 수백개를 제작·판매한 피의자들이 검거됐다. 경찰청 국가수사본부는 IP 카메라를 해킹한 피의자 4명을 검거하고, 이 가운데 영상물을 성착취물로 제작하거나 판매한 A씨 등 3명을 구속했다고 30일 밝혔다. 피의자들은 범행을 공모한 공범 관계는 아닌 걸로 조사됐다. IP 카메라는 인터넷을 통해 다른 기기로 실시간 영상 송출이 가능한 장비로, 흔히 가정집에서 반려동물, 자녀나 노인의 안전을 확인하거나 범죄 예방 등 목적으로 설치하는 경우가 많다. 경찰에 따르면 무직인 A씨는 6만 3000대의 IP 카메라를 해킹해 탈취한 영상으 545개의 성 착취물을 제작한 혐의를 받는다. A씨는 이렇게 제작한 불법 영상을 해외 사이트에 팔아 3500만원어치의 가상자산을 챙긴 것으로 조사됐다. 피의자 중엔 회사원도 있었다. B씨는 IP 카메라 7만대를 해킹하고 648개의 성 착취물을 제작·판매해 가상자산 1800만원어치를 챙긴 혐의를 받는다. 두 사람이 만든 영상은 최근 1년간 특정 사이트에 게시된 영상의 62%에 달했다. 이 해외 사이트는 다양한 국가 피해자들의 불법 촬영 영상이 올라오고 있다. 현재 경찰은 해외 수사기관과 공조해 해당 사이트 운영자에 대한 법적 조치를 진행하고 있다. 이밖에 자영업자인 C씨는 IP 카메라 1만 5000대, 또 다른 회사원 D씨는 136대를 해킹한 것으로 조사됐다. 심지어 C씨는 해킹한 영상으로 아동·청소년 성착취물을 제작했다. 다만 경찰은 두 사람이 영상을 유포하거나 판매한 정황은 없는 것으로 파악했다. 피의자들에게 영상을 사들인 불법 사이트에서 성 착취물을 구매하고 시청한 3명도 붙잡혔다. 경찰 관계자는 “성착취물 구매자와 시청자들에 대한 수사도 이어가고 있다”고 말했다. 대량으로 해킹된 IP 카메라들은 아이디와 비밀번호가 동일하게 단순 반복되거나, 숫자나 문자 조합이 단순한 형태로 설정됐던 것으로 전해졌다. 인터넷망에 연결돼 영상을 실시간 송출하는 방식인 IP 카메라는 외부 접속이 차단된 폐쇄회로(CC)TV보다 설치가 간단하고 저렴하지만, 보안에는 더 취약하다. 경찰은 수사 과정에서 확인된 피해 장소 58곳에 대해서는 수사관이 직접 방문하거나 전화 또는 우편을 통해 피해 사실을 통지하고 비밀번호 변경 등을 안내했다. 방송미디어통신심의위원회에 해당 사이트 접속 차단을 요청했고, 외국 법집행기관과 협력해 폐쇄를 추진 중이다. 경찰 관계자는 “IP 카메라 사용자는 계정 비밀번호를 8자리 이상으로 특수문자를 포함해 변경하고, 제품이 이중 인증을 지원하면 반드시 활성화하는 게 보다 안전하다”며 “6개월에 한 번 이상 비밀번호를 변경하고 관련 소프트웨어를 최신 버전으로 유지할 필요도 있다”고 강조했다.

국내 전자상거래(이커머스) 시장 1위 업체인 쿠팡의 대규모 개인정보 유출이 반년 전부터 발생했을 가능성이 제기되면서 소비자들 사이에서 불안과 우려가 커지고 있다. 정부는 민간과 합동조사단을 꾸려 사고 원인 분석에 나섰고, 경찰은 수사에 착수했다. 30일 유통업계에 따르면 쿠팡은 전날 오후 “고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다”고 공지했다. 쿠팡은 노출된 고객 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 ‘제한’됐고, 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 이어 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 덧붙였다. 고객의 민감한 개인정보 탈취 시도가 이미 5개월 전에 시작됐다는 것이다. 쿠팡은 이번 유출 사고를 지난 18일에서야 인지하고 지난 20일과 전날 각각 관련 내용을 개인정보보호위원회에 신고했다. 개인정보보호위는 현재 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인 정보 유출 사태에 대한 수사에 착수했다. 전자상거래를 이용하는 국민이라면 대부분 쓰고 있다고 볼 수 있는 쿠팡에서 대규모 고객 정보 유출 사고가 발생하면서 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 전날 관련 기사에는 “개인정보 털렸는데 그냥 미안하다고 문자 하나만 띡 보내면 다냐”, “요즘 광고 전화 너무 많이 오더니”, “전 국민 털렸네” 등 정보 유출에 대한 불안과 분노 섞인 댓글이 달렸다. 또 고객의 이름과 이메일, 전화번호, 주소만으로도 분히 사기 등의 범죄에 악용될 수 있다는 지적도 나온다. 특히 주소가 유출되면서 문 앞 배송을 원활히 하기 위해 기재한 공동 현관 비밀번호까지 다 노출된 것 아니냐는 불안까지 제기되고 있다. 쿠팡이 피해 규모를 9일 만에 약 7500배로 조정한 것을 두고도 향후 조사 결과에 따라 피해 규모가 더 커질지도 모른다는 추측도 나온다. 또 지난 6월부터 정보 탈취 시도가 있었던 것으로 확인된 만큼 정보 유출이 수개월에 걸쳐 이뤄졌을 가능성도 제기된다. 쿠팡은 지난 20일 정보 유출 피해 고객 계정이 4500여개라고 발표했으나 29일에는 3370만개라고 다시 공지했다. 쿠팡이 지난 3분기 실적 발표 당시 언급한 프로덕트 커머스 부분 활성고객(구매 이력이 있는 고객)이 2470만명인데 이보다 훨씬 많은 수준이다. 사실상 전체 고객의 정보가 유출된 것으로 보인다. 또 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만명)를 뛰어넘는 규모다. 다른 기업들의 보안 관련 사고에서도 당국의 조사가 진행되면서 피해 규모는 더 커졌다. 앞서 사이버 침해 사고가 발생한 롯데카드의 경우 지난 9월 4일 사과문에서는 “현재까지 조사한 결과에 따르면 고객 정보 유출 사실은 확인되지 않았다”고 공지했으나, 그로부터 2주 뒤에는 카드번호뿐 아니라 CVC번호 등 민감 정보까지 유출됐다고 밝혔다. KT의 경우 해킹 사고 처리 과정에서 서버를 폐기해 증거를 은닉했다는 의혹이 제기돼 경찰이 이달 강제수사에 착수했다.

백두산 천지에서 태극기를 흔들다 중국 공안의 조사를 받았던 한국인 유튜버가 중국 입국을 거부당했다고 밝혔다. 중국은 북한과 접경지인 백두산 천지에서 애국가 제창이나 태극기 사용을 엄격히 금지하고 있어 관련 조치에 관심이 쏠린다. 유튜브 채널 ‘시수기릿’을 운영하며 47만명 넘는 구독자를 보유한 A씨는 지난 26일 “결국 중국 입국을 거절당했습니다”라는 제목의 영상을 통해 자신이 중국행 비행기에 올랐다가 입국심사대에서 제지돼 그대로 귀국했다고 전했다. 장자제 여행을 위해 지난 11일 중국으로 향했지만, 입국심사 단계에서 곧바로 조사실로 이송됐다는 설명이다. A씨는 “입국 거부 사유에 대한 설명도 듣지 못했다”고 말했다. 다만 지난 7월 백두산 천지에서 태극기를 흔들며 애국가를 부르다가 공안에 체포돼 약 6시간 조사를 받았던 일을 언급하며 “블랙리스트에 오른 것 같다”고 추정했다. 당시 공안은 그의 소지품과 휴대전화 앨범을 모두 확인하고 태극기를 압수한 것으로 알려졌다. 이번 조사 역시 강도는 더 셌던 것으로 보인다. A씨는 “공안이 카카오톡 비밀번호를 풀라고 했고, 휴지통·유튜브 기록까지 싹 다 확인했다”며 “일행들도 모두 조사를 받아야 했다”고 전했다. 이어 “유튜브에 남아 있던 태극기 흔드는 영상을 비공개로 돌리려 화장실로 갔는데, 문을 잠그지 못하게 해 반쯤 닫아놓은 채 매니저에게 영상을 내려달라고 부탁했다”고 긴박했던 상황을 털어놨다. 그러나 공안은 이미 해당 영상을 파악하고 있었던 것으로 보인다. A씨는 “얼굴도 모자이크된 영상이었는데 공안이 숏츠 화면을 보여주며 ‘너 아니냐’고 했다”며 “정말 소름 돋았다”고 말했다. A씨는 “중국으로 가는 데 140만원, 돌아오는 데 100만원 넘게 들었다”며 “총 250만원을 날렸다. 비행기만 8시간 넘게 타고 고생 많이 했다”고 했다. 백두산은 현재 중국이 약 75%, 북한이 약 25%를 관할하고 있으며, 천지의 절반 이상(약 54.5%)은 북한 관할 지역이다. 중국은 동북공정을 진행하며 관련 지역 내 한국인의 정치적·상징적 행동을 민감하게 통제해온 것으로 알려졌다.

최근 해킹으로 611만여명의 고객 및 임직원의 개인정보가 유출된 국내 대형 게임사 넷마블이 이른바 3N(넥슨·넷마블·엔씨소프트)으로 불리는 게임업체 중 정보보호 투자 규모는 가장 적은 것으로 나타났다. 28일 한국인터넷진흥원(KISA)의 ‘정보보호 공시현황’에 따르면 넷마블이 지난해 지출한 정보보호 부문 투자액은 약 57억원으로 전체 정보기술 부문 투자액 1100억원의 5.2% 수준이다. 엔씨소프트는 182억원, 넥슨코리아는 228억원을 보안에 투자했고, 국내 상장 게임사 중 시가총액 1위인 크래프톤은 97억원을 투자했다. 정보보호 지출 규모도 최근 점점 줄인 것으로 나타났다. 넷마블은 2021년 정보보호 분야에 73억원을 썼지만, 2022년엔 66억원, 2023년 52억원으로 줄었다. 반면 엔씨소프트는 2022년 이후 게임 매출 감소에도 불구하고 2021년 162억원에서 지난해 투자 규모를 약 12% 늘렸다. 같은 기간 넥슨코리아는 67%, 크래프톤은 138% 늘렸다. 넷마블은 지난 22일 바둑·장기 등 PC 게임 포털사이트에서 발생한 고객 및 일부 임직원 정보 유출 건에 대한 자체 조사 결과, 휴면 계정을 포함해 611만여명의 회원 정보가 유출된 것으로 집계됐다고 전날 밝혔다. 주민등록번호와 같은 고유식별정보나 민감정보 유출은 없었지만 이름과 생년월일, 암호화된 비밀번호 등이 유출된 것으로 조사됐다. 또 휴면 처리된 채 남아 있던 ID와 비밀번호 3100만여개, 2015년 이전 PC방 가맹점 6만 6000여곳의 사업주 이름과 이메일 정보 등이 함께 유출됐다고 밝혔다.

경남 창원시 한 산하기관에서 발생한 직장 내 괴롭힘과 관련해 해당 기관에도 손해배상 책임이 있다는 법원 판단이 나왔다. 이 판단과 관련한 사건은 2020년 있었다. 딩시 산하기관 소속 시설에서 일하던 9급 여성 공무원 A씨는 함께 일하던 당시 간부 공무원 B씨와 당시 7급 공무원 C씨에게 괴롭힘을 당했다. B씨는 회의 중 자료를 보고 발언하던 A씨에게 “적은 거 보지 말고 생각해서 이야기해라”고 하는 등 A씨를 모욕했다. A씨가 사무실 의자에 앉는 순간 입으로 방귀 소리를 내기도 했다. B씨는 다른 직원들이 있는 자리에서 A씨 몸매에 대해 발언하는 등 성희롱 행위도 한 것으로 파악됐다. C씨는 바꾼 사무실 비밀번호를 A씨에게 알려주지 않았다. 다른 직원들에게도 비밀번호를 알려주지 말라고 지시하는 등 A씨 업무를 방해했다. A씨에게 직장 내 괴롭힘 신고를 받은 산하기관은 정식 조사 이후 인사위원회를 열고 2020년 11월 B씨에게 정직 1개월, C씨에게 견책 처분을 의결했다. B·C씨는 이후 각각 모욕과 업무방해 혐의로 약식기소돼 2021년 11월 각각 벌금 200만원의 약식명령을 받았고 이는 같은 해 12월 확정됐다. A씨는 직장 내 괴롭힘으로 말미암은 정신적 손해를 배상하라며 2023년 8월 산하기관을 상대로도 손해배상 소송을 냈다. 창원지법 민사9단독은 1년 반가량 심리를 거쳐 지난 2월 B씨와 산하기관이 공동으로 1000만원을, C씨와 산하기관이 공동으로 300만원을 A씨에게 지급하라고 원고 일부 승소 판결을 했다. 재판부는 B·C씨 언행이 직장 내 괴롭힘에 해당하기에 두 사람이 원고가 입은 정신적 손해를 배상할 의무가 있다고 판단했다. 그러면서 B·C씨의 직장 내 괴롭힘 행위에 직무 관련성이 인정되기에 산하기관도 사용자 책임에 기해 원고의 정신적 손해를 배상해야 한다고 판시했다. 재판부는 “피용자(피고용인)가 고의로 다른 사람에게 성희롱 등 가해행위를 한 경우 그 행위가 피용자의 사무 집행 그 자체는 아니더라도 사용자의 사업과 시간·장소적으로 근접하고 사무를 처리하는 과정에서 이뤄지거나 가해행위 동기가 업무 처리와 관련된 것이라면 사용자의 사무 집행행위와 관련된 것으로 보아 사용자 책임이 성립한다”고 설명했다. 피고 측은 1심 판결 이후 항소했지만, 항소심을 맡은 창원지법 제1민사부는 지난달 31일 항소 기각 판결을 내렸다. 이후 이 판결은 지난 20일 확정됐다.

남자 동창과 불륜을 저지른 아내가 집을 나간 뒤 처가와 회사로 아내의 짐을 보낸 남성이 아내로부터 “법적인 책임을 묻겠다”는 말을 들었다는 사연이 전해졌다. 25일 YTN 라디오 ‘조인섭 변호사의 상담소’에는 결혼 5년 차로 세 살 아이를 둔 남성 A씨의 사연이 전해졌다. A씨는 “몇 달 전부터 출퇴근이 일정했던 아내의 행동이 수상해졌다”며 “갑자기 야근하더니 주말에도 출근했다. 한밤중 베란다에서 몰래 통화하는 모습도 여러 번 봤다”고 토로했다. 그러던 어느 날, A씨의 아내는 동창을 만나러 간다며 금요일 저녁에 집을 나간 뒤 연락이 끊겼다. 새벽이 돼서야 겨우 통화가 됐는데, 아내는 친구와 정동진에 일출을 보러 갔다고 주장했다. 심지어 아내는 “나온 김에 주말 동안 놀다가 들어가겠다”고 뻔뻔한 태도를 보였고, 화가 난 A씨는 “당장 집으로 들어와”라고 소리쳤지만 소용없었다. 결국 아내는 다음날 집에 들어왔고 부부는 며칠 동안 냉전 상태로 지냈다. A씨는 “아내는 작정한 것처럼 막 나가기 시작했다. 야근한다면서 자정이 다 돼서 들어왔는데 머리카락이 젖어있었다. 모텔에 다녀온 건 아닐까 의심할 수밖에 없었다”고 토로했다. 그날 밤 A씨는 침대에 놓인 아내의 휴대전화를 치우다가 우연히 문자메시지를 봤다. A씨의 의심은 틀리지 않았다. 아내는 남자 동창과 단둘이 만나고 있었다. 화가 난 A씨는 곧바로 잠든 아내를 깨워서 따져 물었다. 그러자 아내는 남자 동창과의 관계를 순순히 인정한 뒤 오히려 화를 내면서 이혼을 요구했다. A씨는 “아침에 아내가 말도 없이 출근하더니 문자를 보냈다. ‘며칠 친정에서 지내다 갈 테니 아이를 부탁한다’는 내용이었다”면서 “배신감에 온몸이 떨려 아내와 이혼하기로 결심했다. 아내의 짐을 모두 싸서 처가와 회사로 보냈고, 장인·장모님께도 아내가 외도했다고 알렸다”고 말했다. 이어 “집 현관 비밀번호도 바꿨는데 아내가 ‘공동명의 집에 왜 못 들어가게 하냐. 왜 회사로 짐을 보내 망신을 주냐. 법적으로 책임을 묻겠다’고 화를 냈다”며 “제가 한 행동이 이혼 소송에 영향을 미치게 되는지, 명예훼손으로 처벌받을 수도 있는지 궁금하다”고 물었다. 사연을 접한 조윤용 변호사는 “A씨가 아내를 집에 못 들어오게 한 건 잘못일 수 있다. 하지만 아내가 먼저 외도했고, 이혼을 요구한 점을 고려하면 법원에서는 아내를 유책배우자로 판단할 가능성이 크다”고 말했다. 그러면서 “공동명의 집의 비밀번호를 바꾼 건 아내의 권리를 침해한 행위로 손괴죄가 될 수 있다. 하지만 이혼 소송 과정에서 흔히 벌어지는 일이라 결국 재산분할 과정에서 정산될 수 있다”고 덧붙였다. 이어 “명예훼손이 되려면 불특정 다수에게 알려졌다는 공연성이 필요하다. 양가 부모님에게 외도 사실을 알린 건 전파 가능성이 작아 명예훼손죄가 인정되기 어렵다. 아내의 짐을 회사로 보낸 것도 사실 적시로 보기 어려워 명예훼손이라고 보진 않는다. 다만, 짐이나 상자에 모욕적인 표현이 적혀 있었다면 모욕죄로 처벌될 수 있다”고 조언했다. 또한 “아이와의 면접 교섭 문제도 중요하다. 별거 초기에는 어느 정도 이해받을 수 있지만, 이후에도 고의로 아내의 면접 교섭을 막으면 양육권에서 크게 불리해질 수 있다”고 설명했다.

일본인 여성이 그룹 방탄소년단(BTS) 멤버 정국(28)의 자택에 무단으로 침입을 시도했다는 신고가 접수돼 경찰이 사실관계 파악에 나섰다. 19일 경찰에 따르면 서울 용산경찰서는 50대 일본인 여성 A씨를 주거침입 미수 혐의로 입건 전 조사(내사)하고 있다. A씨는 지난 12일부터 14일 사이에 정국의 자택 현관 잠금장치를 수차례 누른 혐의를 받고 있다. 신고는 지난 14일 접수됐다. A씨의 귀국 여부는 아직 확인되지 않은 상태다. 경찰은 우선 피해자 조사를 통해 사실관계를 파악할 방침이다. 여성 팬이 정국의 자택에 침입을 시도하는 사례는 지속해 반복되고 있다. 앞서 지난 8월 한국 국적 40대 여성이 경찰에 현행범 체포돼 지난달 검찰에 넘겨졌다. 지난 6월에는 정국의 군대 전역 당일 자택 현관 비밀번호를 수차례 누른 30대 중국인 여성이 지난 9월 기소유예 처분을 받았다. 한편 정국은 계속되는 자택 침입 시도와 관련, 지난 9월 라이브 방송에서 강경 대응을 예고한 바 있다. 당시 정국은 8월 자택 침입 시도 사건을 언급하면서 “제가 집에서 폐쇄회로(CC)TV로 다 보고 있었다”며 “경찰분들이 오시는 소리가 나니까 지하 주차장에서 문을 열고 허겁지겁 도망치려 하더라”고 말했다. 이어 “찾아오면 내가 가둬버릴 거다. 다 기록되니까 증거 확보돼서 그냥 끌려가는 것”이라며 “우리 집 주차장에 잘못 발 들이면 못 나간다. 제가 열어주지 않는 한 갇힌다. 경찰서로 가고 싶지 않으면 절대 오지 마시라”고 경고했다.

중국 전자상거래 업체들이 일부 소비자들의 ‘반품 악용’을 막기 위해 의류에 대형 라벨이나 자물쇠를 부착하는 이색적인 방지책을 내놓고 있다. 옷을 한두 번 입은 뒤 반품하는 소비 행태가 확산하자 이를 차단하려는 조치다. 최근 중국 최대 쇼핑 행사인 광군제(光棍節·11월 11일)를 맞아 여러 온라인 상점이 의류에 ‘라벨 제거 시 교환·환불 불가’ 문구가 적힌 A4용지만한 태그를 달거나, 지퍼 부분에 비밀번호 자물쇠를 거는 방식 등을 도입했다고 홍콩 사우스차이나모닝포스트(SCMP)가 14일(현지시간) 보도했다. 베이징의 한 온라인 상점은 “구매 확정 후에야 자물쇠 비밀번호를 알려준다”며 “무료로 옷을 입고 반품하는 일부 소비자들의 행위를 막기 위한 취지”라고 설명했다. 중국 전자상거래업계는 2014년 개정된 소비자권익보호법 시행 이후 ‘7일 무조건 반품제’를 도입했다. 상품을 받은 뒤 7일 이내라면 이유를 불문하고 반품할 수 있는 제도다. 하지만 일부 소비자가 이를 악용해 ‘입고 반품’하는 사례가 늘면서, 상점들의 피해가 커지고 있다는 지적이 나온다. 2024년에는 한 상점주가 “학생들이 의상 7벌을 착용 후 반품했다”며 불만을 제기한 사례가 온라인에서 화제를 모았다. 의류가 오염된 데다 가격표까지 제거됐지만, 플랫폼은 학생 측의 반품 요청을 받아들여 전액 환불을 진행했다. 상점주는 “너무 마음이 아팠다”며 사건을 폭로했다. 2025년에는 중국의 2인조 밴드가 무대에서 착용한 약 120만 원 상당의 재킷 두 벌을 반품해 논란이 일었다. 이후 문제가 커지자 스타일리스트가 브랜드 측에 사과하고 보상을 제안했다. 상인들은 플랫폼이 대체로 소비자 편을 든다고 토로한다. 중국 매체에 따르면 여성복 온라인 상점의 평균 반품률은 50~60%에 달하며, 특히 정장류에서 ‘착용 후 반품’이 빈번한 것으로 알려졌다. 베이징중원법률사무소의 왕웨이웨이 변호사는 “소비자는 반품 전 상품의 완전한 상태를 보장해야 하며, 그렇지 않다면 상점이 환불을 거부할 수 있다”고 말했다. 네티즌들 역시 “가격표를 단 채 여행을 다니는 사람들을 자주 보는데, 소비자로서 반품된 상품을 구매할까 봐 불쾌하다”며 상점들의 ‘대형 라벨’ 전략을 지지하고 있다.