“축하드립니다! 쿠팡 공식 제휴사 체험단으로 선정되셨습니다!” 쿠팡의 대규모 개인정보 유출 사태 이후 ‘탈팡’(쿠팡 탈퇴)한 직장인 한모(41)씨는 3일 아침 출근길에 이런 문자를 받았다. 체험단 참여를 신청하는 카카오톡 오픈채팅방 링크도 첨부돼 있었는데, 전형적인 스미싱 사기였다. 한씨는 “쿠팡을 사용하지 않는 주변에 물어보니 이런 문자를 받은 사람이 한 명도 없었다”며 “탈퇴해도 이미 유출된 정보로 이런 문자가 오는 것 아니냐”고 목소리를 높였다. 쿠팡을 이용한 지 2년 정도 된 직장인 강모(39)씨에게도 전날부터 이날까지 이틀 새 정체를 알 수 없는 국제 전화가 10통 가까이 걸려 왔다. 강씨는 “보이스피싱으로 의심되는 전화가 평소엔 거의 없었는데, 최근 들어 유독 늘었다”며 “실수로 전화를 받았을 땐 이미 상대방이 정확하게 내 이름과 주소를 알고 있었다”고 토로했다. 개인정보가 유출된 쿠팡 고객 중 스미싱, 보이스피싱이 의심되는 전화를 받는 경우가 늘면서 2차 피해에 대한 불안과 분노가 커지고 있다. 쿠팡 아이디가 미국에서 접속되는 일은 겪은 고객도 있었다. 박모(27)씨는 개인정보 유출 사태 이후 혹시나 해서 쿠팡에 접속해 로그인 기록을 살펴봤다. 박씨는 “12월 2일 미국에서 접속한 기록이 있는 것을 확인했는데, 저는 태어나서 미국을 간 적이 한 번도 없다”며 “유출된 정보에 비밀번호 등은 포함돼 있지 않다고 했지만 신뢰가 가지 않는다”고 했다. 이런 고객들의 우려와 달리 쿠팡은 보안 강화 대책을 적극 제시하는 등의 사후 대응에 손 놓고 있다. 쿠팡 메인 화면에는 사과문이나 2차 피해 방지, 보안 대책 강구와 같은 메시지보단 ‘한정 특가’, ‘반짝 세일’ 등의 문구가 주로 노출돼 있다. 이승준(31)씨는 “사태 이후 쿠팡 홈페이지에는 사과문보다 ‘할인쿠폰을 확인하라’ 같은 광고 배너만 있다”며 “탈퇴하고 싶어도 버튼조차 찾기 어렵고, 겨우 찾아 탈퇴하려 해도 6단계 이상 정보를 입력해야 한다. 고객은 어떻게 되든 상관없이 일단 돈만 벌겠다는 심보”라고 꼬집었다.

“축하드립니다! 쿠팡 공식 제휴사 체험단으로 선정되셨습니다!” 쿠팡의 대규모 개인정보 유출 사태 이후 ‘탈팡’(쿠팡 탈퇴)한 직장인 한모(41)씨는 3일 아침 출근길에 이런 문자를 받았다. 체험단 참여를 신청하는 카카오톡 오픈채팅방 링크도 첨부돼 있었는데, 전형적인 스미싱 사기였다. 한씨는 “쿠팡을 사용하지 않는 주변에 물어보니 이런 문자를 받은 사람이 한 명도 없었다”며 “탈퇴해도 이미 유출된 정보로 이런 문자가 오는 것 아니냐”고 목소리를 높였다. 쿠팡을 이용한 지 2년 정도 된 직장인 강모(39)씨에게도 전날부터 이날까지 이틀 새 정체를 알 수 없는 국제 전화가 10통 가까이 걸려 왔다. 강씨는 “보이스피싱으로 의심되는 전화가 평소엔 거의 없었는데, 최근 들어 유독 늘었다”며 “실수로 전화를 받았을 땐 이미 상대방이 정확하게 내 이름과 주소를 알고 있었다”고 토로했다. 개인정보가 유출된 쿠팡 고객 중 스미싱, 보이스피싱이 의심되는 전화를 받는 경우가 늘면서 2차 피해에 대한 불안과 분노가 커지고 있다. 쿠팡 아이디가 미국에서 접속되는 일은 겪은 고객도 있었다. 박모(27)씨는 개인정보 유출 사태 이후 혹시나 해서 쿠팡에 접속해 로그인 기록을 살펴봤다. 박씨는 “12월 2일 미국에서 접속한 기록이 있는 것을 확인했는데, 저는 태어나서 미국을 간 적이 한 번도 없다”며 “유출된 정보에 비밀번호 등은 포함돼 있지 않다고 했지만 신뢰가 가지 않는다”고 했다. 이런 고객들의 우려와 달리 쿠팡은 보안 강화 대책을 적극 제시하는 등의 사후 대응에 손 놓고 있다. 쿠팡 메인 화면에는 사과문이나 2차 피해 방지, 보안 대책 강구와 같은 메시지보단 ‘한정 특가’, ‘반짝 세일’ 등의 문구가 주로 노출돼 있다. 이승준(31)씨는 “사태 이후 쿠팡 홈페이지에는 사과문보다 ‘할인쿠폰을 확인하라’ 같은 광고 배너만 있다”며 “탈퇴하고 싶어도 버튼조차 찾기 어렵고, 겨우 찾아 탈퇴하려 해도 6단계 이상 정보를 입력해야 한다. 고객은 어떻게 되든 상관없이 일단 돈만 벌겠다는 심보”라고 꼬집었다.

SK텔레콤과 롯데카드, KT에 이어 쿠팡까지 지난 7개월간 해킹 등으로 통신사, 카드사, 온라인 유통 플랫폼 등 곳곳이 뚫렸다. 이 과정에서 새 나간 개인정보가 6300만건을 넘었다. 전 국민 수보다 많은 개인정보가 줄줄 새면서 언제 어디서라도 악용될 수 있는 2차 피해가 우려된다. 몸집 불리기에 급급한 기업의 안보 불감증이 근본 배경이지만 정부와 국회도 뒷짐만 졌던 책임을 피할 수 없다. 정부는 어제 국회에서 열린 쿠팡 개인정보 유출 사고 현안 질의에서 로그 분석 결과 3000만개 이상 계정의 공격 기간이 지난 6월 24일부터 11월 8일까지라고 밝혔다. 5개월 전부터 벌어진 유출을 기업도 정부도 까맣게 모르다가 고객 신고로 알게 됐다니 아무리 생각해도 황당하다. 정부는 스미싱 등 2차 피해 우려가 있어 모니터링을 강화하겠다고 했지만, 뒷북 대응이라는 비판이 나올 수밖에 없다. 이날 질의에서 “전자상거래법상 통신 판매로 재산상 손해가 났을 경우 영업정지를 할 수 있는데, 영업정지 가능 여부를 체크해 봤느냐”는 의원 질문에 정부는 “관계 기관과 협의하겠다”고만 했다. SK텔레콤 사태부터 관련 법·제도적 미비점과 솜방망이 처벌 등이 도마에 올랐으나 여전히 제자리걸음인 것이다. 2300만여명의 개인정보가 털린 SK텔레콤도 1348억원 수준의 과징금 부과에 그쳤다. SK텔레콤 사태 이후 신속한 공지와 조사, 과징금·과태료 강화 등을 담은 개인정보보호법 개정안은 22차례나 발의됐다. 그래 놓고 상임위 심사 단계에서 번번이 중단됐다. 국회와 정부가 말로만 보안 강화를 외치고 실제로는 손을 놓았던 것이다. 이재명 대통령은 어제 “관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상 제도를 현실화하는 등의 대책에 나서 달라”고 지시했다. 개인정보 유출 사고가 발생하면 기업이 문을 닫는 수준으로 책임을 물어야 한다. 개인정보 탈취 문제가 ‘국가적 재난’이 되고 있다. 보안 법안의 총체적 재점검에 나서야 한다.

2차 피해 막는 사전통지안 등 22건국회 정무위 심사 문턱도 못 넘어강제력 없는 민관조사단도 한계과방위 출석한 쿠팡 대표 “제 책임” 쿠팡 고객 3370만명의 개인정보 유출은 몸집만 키우고 보안은 뒷전인 기업, 법 개정 등 제도 개선에 손을 놓고 있었던 국회와 정부가 만들어 낸 예견된 사태라는 목소리가 커지고 있다. 지난 4월 SK텔레콤(SKT) 유심(USIM·가입자 식별 모듈) 정보 유출 사태 이후 7개월이 넘도록 개인정보보호법 개정안은 단 한 건도 국회 문턱을 넘지 못했다. 소비자 불만이 폭발할 때 일시적으로 법안 발의가 이뤄지고 정작 실질적인 법 개정으로는 이어지지 않은 셈이다. 그 결과 개인정보 유출 이후 기업의 신속한 대응, 강제성 있는 조사, 처벌 강화 등은 여전히 기대하기 어려운 상황이다. 2일 서울신문 취재를 종합하면 SKT 해킹 사태가 발생한 4월부터 이날까지 7개월 동안 발의된 개인정보보호법 개정안은 총 22건이지만 모두 소관 상임위원회인 국회 정무위원회 심사 단계 문턱도 넘지 못했다. 발의된 의안 중 유출된 개인정보가 누구 것인지 특정할 수 없을 때 모든 정보 주체에게 신속하게 법정 통지 사항을 알리는 내용이 8건에 달한다. 하지만 법안 통과가 늦어지면서 이번 쿠팡 사태에서도 뒤늦게 안내를 받는 사례가 속출하고 있다. 곽진 아주대 사이버보안학과 교수는 “소비자가 스미싱 등 2차 범죄에 대응하려면 정보 유출 여부를 사전에 아는 것이 매우 중요하다”고 말했다. 민관합동조사단의 조사도 사실상 강제력이 없다는 지적이 이어졌으나 이 부분 역시 개선되지 않고 있다. 국회입법조사처는 지난 5월 ‘통신사 해킹 사고 사후대응의 문제점과 입법과제’를 통해 “사업자가 자료 제출을 거부해도 제재는 1000만원 이하 과태료 부과에 그친다. 이를 상향하거나 이행강제금을 부과해 조사 강제력을 강화해야 한다”고 지적했다. 개인정보 유출 관련 제도 개선이 이뤄지지 않는 건 ‘보안=비용’으로 보는 인식이 크기 때문이다. 한국인터넷기업협회도 관련 법 개정에 대해 정무위에 “신중한 검토가 필요하다”는 의견을 제출했다. 김명주 서울여대 지능정보보호학부 교수는 “기업 입장에서는 개인정보 보호 관련 규제가 ‘비용’이기 때문에 의견 협의가 이뤄지지 않고 있다”고 말했다. 황석진 동국대 국제정보보호대학원 교수는 “여야는 관련 법안을 민생 법안으로 보고 서둘러 제정해야 한다”고 건의했다. 박대준 쿠팡 대표는 이날 국회 과학기술정보방송통신위원회 긴급 현안질의에서 ‘김범석 쿠팡 의장이 사과할 의향은 없느냐’는 이훈기 더불어민주당 의원의 물음에 “제가 현재 이 사건에 대해 전체 책임을 지고 있다. 한국 법인 대표로서 사태를 해결하겠다”고 답했다. 배경훈 부총리 겸 과학기술정보통신부 장관은 김 의장을 겨냥해 “대다수 국민이 불안해하는 만큼 해당 기업의 최고책임자가 입장을 명확히 밝히는 게 필요할 것 같다”고 말했다. 아울러 금융감독원은 쿠팡의 결제 자회사 쿠팡페이에 대해 일주일간 현장 조사에 착수했다. 한편 민관합동조사단을 꾸리고 쿠팡의 개인정보 유출 사고 조사에 나선 과기정통부는 현안질의에서 “식별된 공격 기간은 지난 6월 24일부터 11월 8일까지”라고 공식 발표했다. 총 138일간이다.

쿠팡 고객 3370만 명의 개인정보가 유출되면서 파장이 일고 있는 가운데, 주문한 적 없는 택배가 중국에서 배송됐다는 사례가 심심치 않게 나오고 있다. 최근 엑스(X)에는 “여자 혼자 사는 집인데 시킨 적 없는 택배가 중국에서 온다. 택배에는 내 이름과 전화번호, 주소가 기입돼 있었다”, “택배를 발송한 사람의 번호가 중국 번호라 보낸 사람한테 연락을 할 수도 없다” 등의 글이 올라왔다. 해당 글 작성자는 자신의 사례를 공개하며 개인통관고유부호를 재발급 받으라고 권했다. 개인통관고유부호는 해외직구 시 세관 통관 절차에서 개인을 식별하기 위해 사용되는 번호다. 해당 게시물은 쿠팡 개인 정보 유출 사태와 맞물리면서 큰 주목을 받았다. 쿠팡에서 해외 직구 서비스를 이용할 때 반드시 개인통관고유번호를 입력해야 하는데, 개인 정보가 유출되면서 개인통관고유번호도 함께 유출됐을 가능성이 제기됐기 때문이다. 쿠팡 정보 유출 사고의 2차 피해를 우려한 일부 시민들이 개인통관고유부호를 바꾸려 관세청 전자통관시스템(유니패스)으로 몰려들면서 홈페이지가 일시 먹통이 되기도 했다. 2일 오후 3시 기준 관세청 유니패스 홈페이지는 접속 지연 상태가 지속됐다. 이는 전날 오전 9시 15분부터 시작된 접속 지연 사태가 이어진 것이다. 국회 과학기술정보방송통신위원회의 쿠팡 현안 질의가 진행되던 정오 경에는 트래픽이 더욱 폭주해 홈페이지가 일시 먹통이 됐다. 관세청은 홈페이지 공지를 통해 “현재 유니패스 이용량 증가 및 서버 처리 지연으로 인해 일부 서비스 이용이 원활하지 않을 수 있다”면서 “서비스는 안정화 작업 진행 중”이라고 안내했다. 2일 오후 5시 30분 기준, 유니패스 홈페이지는 아예 열리지 않거나 페이지가 열릴 때마다 상당한 로딩이 걸리는 상태다. 쿠팡 사태의 2차 피해를 우려하는 사람들 사이에서는 개인통관고유번호와 이미 유출된 개인 정보로 인해 스미싱 등에 노출되고 최악의 경우 밀수품 수입에 개인 명의가 도용될 수 있다는 우려까지 퍼지는 상황이다. 전문가들은 2차 피해를 막기 위해 쿠팡에서 결제 정보를 삭제하고 로그인 비밀번호를 바꾸는 등 조치를 해야 한다고 조언한다. 쿠팡은 이중 카드 결제 번호나 개인통관고유번호 등은 유출되지 않았다고 밝혔지만 아직 조사가 진행 중인 만큼 쿠팡 측 주장을 모두 신뢰하기는 어려운 상황이다. 비번 변경 공지 권유에 쿠팡이 내놓은 답변개인정보 도용과 보이스피싱, 스미싱 등을 통한 2차 피해가 우려되는 상황에서 쿠팡은 여전히 사태를 축소하는 데 급급한 모양새다. 2일 국회 과학기술정보방송통신위원회의 쿠팡 현안 질의에 참석한 김승주 고려대 정보보호대학원 교수는 “피해가 확산될 수 있어 쿠팡에 결제용 카드를 등록했다면 삭제해야 하고, 해당 (신용·체크) 카드의 비밀번호를 바꿀 수 있다면 바꾸는 것이 좋다”면서 “쿠팡 로그인 비밀번호도 바꾸면 좋다”고 말했다. 이후 과방위원장인 최민희 더불어민주당 의원이 쿠팡 측에 김 교수가 당부한 조치 3가지를 공지하라고 권고하자, 박대준 쿠팡 대표는 “(김 교수가 말한) 정보가 노출됐다고 확인된 바는 아직 없고, 너무 과잉해서 안내할 경우 불안감을 조성하게 된다”며 사실상 거절했다. 한편 관세청은 2026년부터 개인통관고유부호를 1년에 한 번씩 갱신하도록 하고, 도용이 의심될 경우 관세청이 직권으로 사용을 정지할 수 있도록 정했다.

쿠팡 고객 3370만명의 개인정보 유출은 몸집만 키우고 보안은 뒷전인 기업, 법 개정 등 제도 개선에 손 놓고 있었던 국회와 정부가 만들어낸 예견된 사태라는 목소리가 커지고 있다. 지난 4월 SK텔레콤(SKT) 유심(USIM·가입자 식별 모듈) 정보 유출 사태 이후 7개월이 넘도록 개인정보보호법 개정안은 단 한 건도 국회 문턱을 넘지 못했다. 소비자 불만이 폭발할 때 일시적으로 법안 발의가 이뤄지고, 정작 실질적인 법 개정으로 이어지지 않은 셈이다. 그 결과 개인정보 유출 이후 기업의 신속한 대응, 강제성 있는 조사, 처벌 강화 등은 여전히 기대하기 어려운 상황이다. 2일 서울신문 취재를 종합하면, SKT 해킹 사태가 발생한 4월부터 이날까지 7개월 동안 발의된 개인정보보호법 개정안은 모두 22건이지만, 모두 소관위원회인 정무위원회 심사 단계 문턱도 넘지 못했다. 발의된 의안 중 유출된 개인정보가 누구 것인지 특정할 수 없을 때 모든 정보주체에게 신속하게 법정 통지사항을 알리는 내용이 8건에 달한다. 하지만 법안 통과가 늦어지면서 이번 쿠팡 사태에서도 뒤늦게 안내를 받는 사례가 속출하고 있다. 곽진 아주대 사이버보안학과 교수는 “소비자가 스미싱 등 2차 범죄에 대응하려면 정보유출 여부를 사전에 아는 것이 매우 중요하다”고 말했다. 민관합동조사단의 조사도 사실상 강제력이 없다는 지적이 이어졌으나 이 부분 역시 개선되지 않고 있다. 국회입법조사처는 지난 5월 ‘통신사 해킹 사고 사후대응의 문제점과 입법과제’를 통해 “사업자가 자료 제출을 거부해도 제재는 1000만원 이하 과태료 부과에 그친다. 이를 상향하거나 이행강제금을 부과해 조사 강제력을 강화해야 한다”고 지적했다. 개인정보 유출 관련 제도 개선이 이뤄지지 않는 건 ‘보안=비용’으로 보는 인식이 커서다. 한국인터넷기업협회도 관련 법 개정에 대해 국회 정무위원회에 “신중한 검토가 필요하다”는 의견을 제출했다. 김명주 서울여대 지능정보보호학부 교수는 “기업 입장에서는 개인정보 보호 관련 규제가 ‘비용’이기 때문에 의견 협의가 이뤄지지 않고 있다”고 말했다. 황석진 동국대 국제정보보호대학원 교수는 “여야는 관련 법안을 민생 법안으로 보고 서둘러 제정해야 한다”고 건의했다. 박대준 쿠팡 대표는 이날 국회 과학기술정보방송통신위원회 긴급 현안질의에서 ‘김범석 쿠팡 의장이 사과할 의향은 없느냐’는 이훈기 더불어민주당 의원의 질의에 “제가 현재 이 사건에 대해 전체 책임을 지고 있다. 한국 법인 대표로서 사태를 해결하겠다”고 말했다. 한편 민관합동조사단을 꾸리고 쿠팡의 개인정보 유출 사고 조사에 나선 과학기술정보통신부는 현안질의에서 “식별된 공격 기간은 지난 6월 24일부터 11월 8일까지”라고 공식 발표했다. 총 138일 간이다. 류제명 과기정통부 2차관은 “3000만개 이상 계정의 개인 정보가 유출됐다”며 “KT 무단 소액결제 사고처럼 ‘관리 부실’이 이번 쿠팡 개인정보 유출 사고의 배경”이라고 밝혔다. 아울러 금융감독원은 쿠팡의 결제 자회사 쿠팡페이에 대해 일주일간 현장조사에 착수했다.

12월 1일부터 모집…착수금 1인당 만 원 최근 쿠팡에서 3,370만 건에 달하는 고객 개인정보가 무단 유출된 사실이 드러난 가운데, 법률사무소 화음(대표변호사 정재권)이 쿠팡 개인정보유출 피해자 집단소송 접수를 시작했다고 밝혔다. 법률사무소 화음은 지난 12월 1일부터 쿠팡 개인정보 유출 사태와 관련해 쿠팡 측에 집단소송을 제기하기 위한 참여자를 모집하고 있다. 법률사무소 화음 정재권 변호사는 “이번 개인정보유출 사건은 외부의 해킹이 아닌 ‘내부 직원’에 의한 유출이므로 쿠팡의 책임이 보다 막중하다”라며 “유출된 정보에는 이름, 휴대전화 번호와 이메일 주소가 포함되어 있어 다른 웹사이트에 대입하는 크리덴셜 스터핑 공격 시도의 가능성이 있으며, 2차 추가 피해의 우려가 있다. 배송 지연을 사칭한 스미싱, 가족과 지인의 정보까지 유추되어 활용되는 등 사생활 침해 위험도 매우 높아 보인다”라고 전했다. 이어 “개인정보보호법에 따르면 정보주체는 법 위반 행위로 손해를 입으면 개인정보처리자에게 배상을 청구할 수 있고, 이 경우 사업자가 고의·과실이 없음을 입증하지 못하면 책임을 면할 수 없다. 과거 카드사 정보 유출, 인터파크 해킹 사건 등에서 법원은 기업의 과실이 인정될 경우 피해자 1인당 10~20만 원 내외의 위자료를 인정한 바 있다. 이번 사건은 주소지(거주지) 정보가 포함돼 스토킹, 보이스피싱 등 오프라인 범죄 악용 가능성이 크므로 더 높은 위자료가 인정될 여지가 있다. 집단 소송을 통해 효율적인 권리 구제와 유사 사태 재발 방지가 최선의 선택이 될 수 있다”라고 전했다. 실제로 해당 사건은 온라인에서도 움직임이 확산되고 있다. 개인정보 유출 사실이 공개된 지 이틀 만에 네이버에는 쿠팡 집단소송 관련 카페가 10여 곳 개설됐으며, 현재도 가입자 수가 빠르게 늘고 있다. 이번에 유출된 계정 정보가 3,370만 개에 달하는 만큼 개인정보 유출 관련 국내 단체 소송 가운데 최대 규모가 될 수 있다는 전망이 나온다. 앞서 법률사무소 화음은 SKT 유심정보 유출 피해자 단체소송을 3차까지 진행한 바 있다. 특히 화음 정재권 대표변호사는 과학기술정보통신부 고문변호사로 고도의 경험과 전문성을 바탕으로 소송을 진행해 나간다. 현재 법률사무소 화음에서 진행하는 쿠팡 개인정보유출 집단소송은 착수금 1만 원으로 참여할 수 있으며, 홈페이지 내 신청서 작성 등의 방법으로 신청자를 모집하고 있다. 배상금은 최소 10만 원에서 최대 30만 원 정도로 예상하고 있으며, 진행 과정에서 구체적 사실관계의 확정 및 증거 현출에 따라 청구금액을 확장하는 방식으로 진행할 예정이다. 정 변호사는 “과학기술정보통신부 고문 변호사로서의 경험을 통해 축적된 정보통신 관련 법률 및 정책에 대한 높은 이해도는 이번 소송을 성공적으로 이끄는 데 큰 강점이 될 것”이라며 “더 이상 혼자 고민하지 마시고, 저희와 함께 목소리를 내주시길 바란다”라고 밝혔다. 한편, 법률사무소 화음은 과학기술정보통신부(과기부) 고문 변호사로 위촉된 정재권 대표변호사를 포함해 IT 분야의 전문성을 지닌 변호사들로 구성된 로펌이다.

쿠팡에서 3000만명이 넘는 고객의 정보가 유출된 사실이 드러난 가운데, 식별된 공격 기간은 올해 6월 24일부터 11월 8일까지인 것으로 나타났다. 2일 국회 과학기술정보방송통신위원회(과방위) 쿠팡 개인정보 유출 사고 관련 긴급 현안 질의에서 류제명 과학기술정보통신부 2차관은 대응 경과보고를 통해 “지난해 7월부터 올해 11월까지 전수 로그 분석을 한 결과 3000만개 이상 계정에서 개인정보가 유출됐다”며 이같이 밝혔다. 류 차관은 “공격자는 로그인 없이 고객 정보를 여러 차례 비정상으로 접속해 유출했다”며 “이 과정에서 쿠팡 서버 접속 시 이용되는 인증용 토큰을 전자 서명하는 암호키가 사용됐다”고 설명했다. 개인정보 유출 규모는 약 3370만건이다. 정보에는 고객 이름, 이메일 주소, 배송지 주소록(이름·전화번호·주소) 등이 포함됐다. 류 차관은 조사 과정에서 실제 피해 계정 수는 달라질 수 있다고 전했다. 현재는 퇴사한 중국인 인증 담당자가 개인정보를 유출했다는 의혹에 대해 류 차관은 “현재 언급되는 공격자의 신상에 대한 정보는 경찰 수사로 확인이 필요하다”며 “확인이 필요한 미상자가 쿠팡 측에 메일을 보내 이메일, 배송지 등 3000만건의 개인정보 유출을 주장했다”고 했다. 정부는 앞으로 민관 합동조사단을 통해 사고 경위와 쿠팡의 보안 문제점을 면밀히 규명하고 결과를 투명하게 공개하겠다는 방침이다. 류 차관은 스미싱 등 2차 피해 우려가 커진 만큼 “2차 피해 발생 여부를 지속 모니터링하고, 개인정보위·경찰청 등 관계기관과 공조해 추가 피해를 방지하겠다”고 밝혔다.

쿠팡에서 3370만건의 개인정보가 한꺼번에 빠져나간 데 이어 유출 정보를 ‘언론에 공개하겠다’는 협박 이메일까지 등장했다. 단순한 사고를 넘어 국가적 사이버 보안 사태가 이미 2차 범죄 단계에 진입했다는 의미다. 어제 금융당국이 보이스피싱·스미싱 등 각종 금융사기에 악용될 우려가 높다는 이유로 소비자경보 ‘주의’를 발령했다. 가입자 규모에 비춰 상당수 국민들이 잠재적 피해자가 될 수 있다는 우려도 높아지는 상황이다. 불안에 떨고 있는 국민에게 당장 필요한 것은 2차 피해 차단을 위한 실행 계획이다. 정부는 유출 정보가 암거래 게시판이나 해킹 커뮤니티 등으로 흘러가는지 24시간 추적하고, 거래나 공유 시도가 포착되는 즉시 삭제 요청과 차단 조치를 해야 한다. 금융기관·포털·통신·택배사와 연동한 피싱 자동 감지 체계도 적극 검토해야 한다. 쿠팡 역시 이용자의 불안을 낮추는 실질적 조치에 나서야 한다. 피해 계정 비밀번호·OTP(일회용 인증 비밀번호) 일괄 초기화, 배송지 주소록 암호화 및 재동의 절차, 로그인 위치·기기 이상 탐지 시스템 구축은 지금도 실행할 수 있다. 안내 문자 발송만으로는 책임을 면할 수 없다. 개인정보 자산을 잠재적 범죄 도구로 전락시킨 책임은 전적으로 기업이 감당해야 한다. 우리는 이미 생활·결제·택배·병원·쇼핑의 70% 이상을 플랫폼을 통해 처리한다. 내부 직원 단 한 명이 두 차례 보안 절차를 우회해 정보를 반출할 수 있었으니 우리 데이터가 얼마나 쉽게 위험에 노출되는지 적나라하게 확인한 셈이다. 이번 사태는 쿠팡뿐만이 아니라 한국 디지털 경제 전체에 울린 경고음이다. 정부는 개인정보를 다루는 기업의 내부 반출 차단 시스템(DLP) 도입 의무화 등 제도적 개선에 나서야 한다. 이번 사태를 전환점으로 디지털 보안 체계를 한 단계 끌어올리지 못한다면 제2·제3의 쿠팡 사태는 언제든 반복될 수 있다.

국내 최대 온라인 유통업체인 쿠팡에서 벌어진 3400만건 고객 정보 유출 사태의 파장이 일파만파다. 올 들어 금융사와 통신사 등에서 유사 사고가 잇따라 터져 가뜩이나 국민 불안이 꼭대기까지 차오른 터에 전 국민을 패닉으로 몰아넣은 최악의 사태가 아닐 수 없다. 국민 4명 중 3명이 해당하는 방대한 피해 규모가 무엇보다 충격적이다. 더욱 기막힌 것은 해외 서버를 통한 비정상 접속이 지난 6월 말부터 계속됐는데도 회사가 이를 5개월간 전혀 알아채지도 못했다는 사실이다. 로켓배송 등 속도와 혁신을 앞세워 초고속 성장한 거대 기업이 정작 디지털 사회의 기본적 신뢰 기반인 고객 정보 보호에는 한없이 굼뜨고 무능했다. 배신감과 분노를 넘어 허탈감까지 든다. 쿠팡은 지난 29일 “고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다”면서 “해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정한다”고 밝혔다. 노출된 정보는 고객 이름과 이메일, 전화번호, 주소, 일부 주문 정보이며 결제 정보와 신용카드 번호는 포함되지 않았다는 것이 쿠팡 측의 주장이다. 그러나 쿠팡은 지난 20일 개인정보보호위원회에 처음 신고할 당시 피해 계정을 4500여개로 보고했다가 9일 만에 사실상 전 회원 규모로 피해 범위를 대폭 수정했다. 앞으로 조사 결과에 따라 피해 규모가 더 늘어날 가능성도 배제할 수 없다. 정부는 민관 합동조사단을 꾸려 사고 원인 분석과 재발 방지 대책 마련에 나섰다. 유출 정보를 악용한 스미싱·보이스피싱 등 2차 피해에 대한 불안이 큰 만큼 이를 차단하기 위한 다각적 대응이 무엇보다 시급하다. 쿠팡은 이번 사태를 외부 해킹이 아닌 내부 직원의 소행으로 보고 경찰에 고소장을 제출했다. 만일 내부자 범죄가 맞다면 조직 관리 부실 책임은 더욱 무거울 수밖에 없다. 기업의 안이한 보안 의식 탓에 국민 전체가 잠재적 범죄 위험에 노출된 만큼 그에 상응하는 책임을 져야 한다. 쿠팡은 박대준 대표의 사과문을 통해 합동조사단과 긴밀히 협력하고 추가 피해 예방에 최선을 다하겠다고 했다. 정부가 “쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 고객 정보가 유출됐다”고 확인한 만큼 실질적인 피해 보상과 재발 방지 대책이 뒤따라야 한다. 정부 역시 이번 사태를 엄중하게 받아들여야 한다. 쿠팡은 국가가 인증한 ‘정보보호 및 개인정보보호 관리체계 인증’(ISMS-P)을 취득하고도 대규모 유출 사고를 냈다. 정부와 기업 모두 보안 의식을 획기적으로 개선하지 않는다면 유사 사고는 언제든 되풀이될 수밖에 없다.

쿠팡의 대규모 개인정보 유출로 보이스피싱·스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격) 등 2차 범죄에 대한 경계가 필요한 상황이다. 30일 한국인터넷진흥원(KISA)과 전문가 조언 등을 토대로 상황별 행동 요령을 정리했다. Q. 문자메시지로 ‘피해 보상 신청’ 혹은 ‘환불’ 링크를 받았다면. A. 정보 유출 시 가장 흔한 2차 피해는 피해 보상 신청이나 환불 등을 빌미로 악성 링크를 보내는 스미싱이다. 출처가 불분명한 사이트 주소(링크)가 포함된 문자메시지를 받은 경우 클릭하지 말고 즉시 삭제해야 한다. 카카오톡 채널 ‘보호나라’를 활용하면 스미싱·피싱 의심 사이트를 조회하고 신고할 수 있다. 유출 사실 통보나 보상·환불 절차 안내를 가장해 전화로 원격 제어 앱을 설치하라고 하는 식의 보이스피싱 수법도 조심해야 한다. 기관이나 금융회사는 전화나 문자로 앱 설치나 사이트 접속을 요구하지 않는다. Q. 모바일 결제 피해를 막으려면. A. 유출된 개인정보가 모바일 결제나 휴대전화 개통·계좌 개설에 무단으로 사용될 위험도 있다. 이동통신사 고객센터를 통해 소액결제 내역을 수시로 확인하고 이상이 있으면 경찰에 신고해야 한다. 아울러 명의도용 방지 서비스나 비대면 계좌 개설 안심 차단 서비스 등을 신청하면 추가 피해를 줄일 수 있다. Q. 해외 직구를 자주 한다면. A. 쿠팡이 유출된 개인정보 항목에 ‘일부 주문 정보’가 있었다고 밝히면서 관세청 전자통관시스템을 통해 개인통관고유부호를 재발급받는 소비자들도 있다. 누군가 자신의 고유부호를 이용해 해외에서 사기 주문을 할 수 있다는 우려 때문이다. 개인통관고유부호는 세관 통관절차를 위해 사용되는 개인 식별번호로, 한 사람당 하나의 부호가 부여된다. 쿠팡 측은 “현재까지 확인된 사항에 따르면 개인통관부호는 노출되지 않았다”고 밝혔다. Q. 내 정보가 다크웹에서 유통되는지 확인하려면. A. 개인정보보호위원회가 운영하는 ‘개인정보포털’을 이용하면 ‘다크웹’ 등 음성화 사이트에서 자신의 정보가 유통되고 있는지 확인할 수 있다.

3370만명 고객정보 무단 노출 확인중국 국적 전 직원이 정보 빼돌린 듯카드·통신 사고 이어 불안감 확산 국내 1위 온라인 유통 기업인 쿠팡에서 우리나라 국민의 절반이 넘는 약 3370만명의 고객 계정 정보가 무단으로 노출되는 초유의 사고가 벌어지면서 국민 불안이 소위 포비아(공포증) 수준으로 치닫고 있다. 역대 최대 규모의 고객 정보 유출인 데다 쿠팡이 5개월간 지속된 개인정보 탈취 시도조차 인지하지 못했기 때문이다. 이번 사고가 중국 국적의 내부자 소행이라는 언급도 나온다. 전문가들은 이 사태가 스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격)이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고했다. 쿠팡이 고객 계정의 이름, 이메일, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보가 노출된 사실을 지난 29일 확인한 가운데 박대준 쿠팡 대표는 30일 정부서울청사에서 “국민 여러분께 불편을 끼쳐 드려 진심으로 사과드린다”며 첫 사과에 나섰다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 노출된 사실을 인지했다고 밝혔지만 후속 조사에서 7500배나 많은 3370만개가 유출된 것으로 확인됐다. 쿠팡 구매 이력이 있는 고객 수(2470만명)보다 900만명이나 많고, 역대 최대 과징금인 1348억원 처분을 받은 SK텔레콤의 개인정보 유출 규모(2324만명)도 크게 웃돈다. 쿠팡은 지난 6월 24일부터 5개월 동안 지속된 개인정보 탈취 시도를 전혀 파악하지 못했다는 점에서도 책임을 피하기 어려워 보인다. 여기에 중국 국적의 전 쿠팡 직원이 고객 정보를 유출했다는 의혹도 제기됐다.  경찰은 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의 제출받아 분석 중이다. 경찰은 “모든 가능성을 열어 두고 절차에 따라 수사하고 있다”고 전했다. 다만 쿠팡 측은 내부 직원 소행 가능성에 대해선 확인이 어렵다는 입장이다. 쿠팡은 이날 오후 웹사이트와 애플리케이션에 게재한 사과문에서 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않아 고객이 계정 관련해 조치를 취할 필요는 없다”고 밝혔다. 하지만 전문가들은 이번 사고가 스미싱이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고한다. 한국인터넷진흥원(KISA)은 ‘피해 보상’이나 ‘피해 사실 조회’, ‘환불’ 등의 키워드로 피해 기업(쿠팡)을 사칭하는 스미싱이나 보이스피싱 등에 주의할 것을 권고했다. 김기형 아주대 사이버보안학과 교수는 “최근 주문 건에 문제가 있다며 주소나 연락처를 다시 확인하라는 식의 피싱이 대표적”이라면서 “문자, 전화, 카카오톡 등 어떤 채널에서도 모르는 링크는 클릭하지 않는 것이 중요하다”고 말했다. 정보 유출 경로가 오리무중인 상황에서 피해를 본 소비자들은 분통을 터뜨리고 있다. 빠른 배송 때문에 쿠팡을 애용했다는 구정순(62)씨는 이번 사태가 터지자마자 쿠팡을 탈퇴했다. 구씨는 “회사가 정확한 진단이나 대책을 내놓지 못해 정보가 유출된 피해자만 발을 동동 구르고 있다”며 “‘전화번호는 노출됐는데 카드 정보와 비밀번호는 노출되지 않았다’는 회사의 설명을 어떻게 믿겠느냐”고 말했다. 일부 고객 사이에서는 공동 현관 비밀번호도 털렸을 수 있다는 불안감이 높은 상황이다. 쿠팡의 경우 음식이나 택배 배송 요청란에 아파트 공동 현관 비밀번호를 쓰는 경우가 많고 이를 배송 정보로 관리하기 때문이다.

쿠팡에서 국내 인구 4분의 3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생하자, 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있어서 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보로 복제폰을 만드는데 악용될 가능성이 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유가 중국에 개인정보가 넘어갈까봐였는데, 이번 사태로 개인이 식별되는 정보가 넘어가게 될 경우 중국 이커머스가 고객 타겟팅을 더 정교화하는데 쓰일 수 있다”고 말했다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”면서 “3차 피해는 쿠팡 때문인지 특정할 수도 없고 피해 규모를 규명하기도 어려워 소비자 피해가 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개의 배송지 정보를 입력했을 가능성이 높기 때문이다. 이 경우 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이란 전망도 나온다. 전문가들은 피해를 본 소비자라면 보이스피싱, 스미싱 등에 유의할 것을 당부했다. 한국인터넷진흥원(KISA)은 출처가 불분명한 사이트 주소(링크)가 포함된 문자 메시지를 받은 경우 클릭하지 말고 바로 삭제하라고 권고한다. 의심되는 사이트 주소는 정상 사이트와 일치하는지 확인하는 편이 좋다. 카카오톡 채널 ‘보호나라’를 활용해 스미싱·피싱 사이트 여부를 확인하고 신고할 수 있다. 번호 도용 가능성이 의심된다면 이동통신사에서 제공하는 ‘번호도용문자 차단서비스’를 신청할 수 있다. 개인정보보호위원회가 운영하는 ‘개인정보포털’은 개인정보의 다크웹 유출 여부, 분쟁 조정 등의 서비스를 제공한다.

‘(부고)아버지가 11월 14일 12시 세상을 떠났습니다. 장례식장 위치입니다. http://g***.co/VYX’’ 이런 부고장이나 청첩장 등의 문자메시지에 악성 앱 설치 링크를 보내는 방식으로 120억원을 가로챈 스미싱 조직이 경찰에 붙잡혔다. 피해액을 기준으로 국내 최대 규모다. 서울경찰청 사이버수사과는 스미싱 조직 총책인 중국 국적 A(38)씨를 비롯한 일당 13명을 정보통신망법·통신사기피해환급법 위반 등 혐의로 검찰에 송치했다고 26일 밝혔다. 중국에서 범행을 지시한 해외 총책 2명에 대해선 인터폴 적색 수배령을 내렸다. 경찰에 따르면 이들은 2023년 7월부터 올해 6월까지 청첩장, 부고장, 교통법규 위반 고지서 등으로 꾸민 문자를 보낸 것으로 조사됐다. 문자에 첨부된 인터넷 주소 링크를 클릭하면 악성 앱이 설치되고, 이후 휴대전화 개인정보가 도용되는 구조였다. 권한을 탈취한 이들은 개인정보를 통해 알뜰폰을 개통한 뒤 피해자의 금융계좌 등에서 본인 인증을 거쳐 자금을 빼냈다. 이들에게 당한 피해자는 1000명 이상으로 지금까지 확인된 피해 금액만 120억원대로 파악됐다. 50대 이상 피해자가 전체 80~90뉴에 달했으며, 가장 큰 피해를 본 경우는 60대로 모두 4억 8500만원을 뜯겼다. 이들이 저지른 스미싱 범죄에는 전국 수사관서에 미제로 남겨진 사건 900여건이 포함된 것으로 파악됐다. 경찰은 수사 과정에서 본인인증 체계의 취약점을 확인해 통신사 2곳과 금융기관 2곳에 보안 강화 후속 조치를 주문했다. 경찰 관계자는 “지인 명의의 문자메시지라도 전화를 통해 확인하는 등 경각심을 가져야 한다”고 말했다.

‘(부고)아버지가 11월 14일 12시 세상을 떠났습니다. 장례식장 위치입니다. http://g***.co/VYX’’ 이런 부고장이나 청첩장 등의 문자메시지에 악성 앱 설치 링크를 보내는 방식으로 120억원을 가로챈 스미싱 조직이 경찰에 붙잡혔다. 피해액을 기준으로 국내 최대 규모다. 서울경찰청 사이버수사과는 스미싱 조직 총책인 중국 국적 A(38)씨를 비롯한 일당 13명을 정보통신망법·통신사기피해환급법 위반 등 혐의로 검찰에 송치했다고 26일 밝혔다. 중국에서 범행을 지시한 해외 총책 2명에 대해선 인터폴 적색 수배령을 내렸다. 경찰에 따르면 이들은 2023년 7월부터 올해 6월까지 청첩장, 부고장, 교통법규 위반 고지서 등으로 꾸민 문자를 보낸 것으로 조사됐다. 문자에 첨부된 인터넷 주소 링크를 클릭하면 악성 앱이 설치되고, 이후 휴대전화 개인정보가 도용되는 구조였다. 권한을 탈취한 이들은 개인정보를 통해 알뜰폰을 개통한 뒤 피해자의 금융계좌 등에서 본인 인증을 거쳐 자금을 빼냈다. 이들에게 당한 피해자는 1000명 이상으로 지금까지 확인된 피해 금액만 120억원대로 파악됐다. 50대 이상 피해자가 전체 80~90％에 달했으며, 가장 큰 피해를 본 경우는 60대로 모두 4억 8500만원을 뜯겼다. 이들이 저지른 스미싱 범죄에는 전국 수사관서에 미제로 남겨진 사건 900여건이 포함된 것으로 파악됐다. 경찰은 수사 과정에서 본인 인증 체계의 취약점을 확인해 통신사 2곳과 금융기관 2곳에 보안 강화 후속 조치를 주문했다. 경찰 관계자는 “지인 명의의 문자메시지라도 전화를 통해 확인하는 등 경각심을 가져야 한다”고 말했다.

최근 개인정보 탈취, 해킹 사태 등으로 정보 보안에 대한 경각심이 커진 가운데 통신사들이 보이스피싱 피해를 막기 위한 대응책 마련에 나섰다. SK텔레콤은 최근 인공지능(AI) 서비스인 ‘에이닷’에 최신 글로벌 AI 거대언어모델(LLM)을 도입하고 문자 보안 기능인 ‘AI 메시지’를 새롭게 추가하는 업그레이드를 단행했다. AI 메시지는 △발신번호 △문자 내용 △링크(URL) 등을 AI가 분석해 스팸·피싱이 의심되는 문자를 자동으로 분류한다. 의심 문자는 △사칭주의(가족·금융기관 등 사칭) △사기주의(대출·취업 빌미) △링크주의(악성 앱·개인정보 탈취 링크 포함) 등으로 분류된다. 위험 문자 자체가 앱 내에서 보이지 않도록 설정할 수 있는 ‘주의할 메시지 숨기기’ 기능도 있다. 안드로이드 운영체제(AOS)에서는 에이닷 전화 앱에서, iOS에서는 에이닷 앱 내 ‘전화’ 메뉴에서 사용할 수 있다. 추석 연휴 기간 365일 연중무휴 24시간 운영되는 ‘T 안심 24시간보안센터’도 운영한다. △피싱·스미싱·해킹 등에 대한 즉각 차단과 긴급 조치 △2차 피해 방지를 위한 보안 점검·예방 서비스 안내 및 기관 신고 지원 △피해조사, 보상 및 사후 관리까지 피해 복구를 지원한다. KT는 화자 인식과 딥보이스(AI로 만든 가짜 음성) 탐지 기능을 통합한 ‘AI 보이스피싱 탐지서비스 2.0’을 적용하고 있다. 실제 음성 데이터를 기반으로 위험 여부를 탐지하고, 보이스피싱 고위험 통화로 판단될 경우 강제 종료시킨다. 국립과학수사연구원이 보유한 실제 보이스피싱 통화 내역을 활용해 보이스피싱 탐지 정확도를 높였다. 올해 보이스피싱 탐지율 95% 이상, 약 2000억 원의 피해 예방을 목표로 하고 있다. 스팸 문자 메시지에 대해선 실시간 AI 키워드 등록 시스템을 이용해 투자 유도형, SNS 대화 유도형 등 새로운 유형의 변종 스팸에 대응할 수 있도록 필터링 구조를 지속해서 업데이트하고 있다. LG유플러스는 ‘익시오’ 앱을 통해 실시간 보이스피싱 경고 알림을 받을 수 있다. AI 통화 서비스인 익시오는 실증특례를 통해 보이스피싱범의 성문 데이터를 기반으로 탐지 정확도를 높였다. 악성 앱이 설치되면 카카오톡 알림톡으로 위험 앱이 설치됐다는 통보도 받을 수 있다. 또 전국 1800여개의 모든 대리점에서 스미싱 문자 수신, 악성 앱 감염 등 위협이 의심되는 고객에게 맞춤 상담과 보안 조치를 지원한다. 대리점을 방문해 보안 조치를 요청하면 각 매장에 배치된 보안 전문 인력이 악성 앱 대응에 나선다.

추석 연휴를 맞아 이동통신 3사는 특별 소통 상황실을 운영하는 등 비상 대응 체계를 강화한다. 영상통화 무료 제공 등 추석 혜택도 제공한다. SK텔레콤은 2~9일 특별 소통 상황실을 운영하고 자회사 및 관계사와 총 1만 2000여명의 인력을 투입해 전국 통신망을 24시간 모니터링한다고 2일 밝혔다. 추석 당일인 6일에는 데이터 사용량이 평시보다 19% 증가할 것으로 예상하고 사전 점검을 마쳤으며, 국제 로밍 사용량은 최대 30% 증가할 것으로 예상해 해외 중계 사업자와의 협력을 강화하기로 했다. KT도 추석연휴 기간 전국에 4000여명의 네트워크 전문가를 매치해 네트워크 집중 관제 체계를 가동한다. 과천 네트워크 관제센터를 중심으로 통신 서비스를 24시간 상시 모니터링 할 예정이다. 교통 정체가 예상되는 주요 고속도로와 휴게소, 인파 밀집 지역인 터미널, KTX·SRT 역사, 공항 등 665곳을 집중관리 지역으로 선정해 이동통신 기지국 증설과 서비스 품질 점검을 마쳤으며, 안부 인사나 선물 택배 등을 가장한 스미싱이나 디도스 등 사이버 공격에도 대비해 실시간 감시와 차단을 강화하기로 했다. LG유플러스도 서울 마곡사옥에 종합상황실 열고 24시간 집중 모니터링 돌입한다. 명절 통화량 및 데이터 사용량 추이를 분석해 주요 고속도로 요금소 및 휴게소 상습 정체구간 등 중요 거점지역에 현장요원을 배치하고, 상시 출동 준비태세를 갖췄다. 추석 연휴를 맞아 추가 혜택도 있다. SK텔레콤과 LG유플러스는 가족, 친척, 지인들과 안부인사를 나눌 수 있게 3~9일 7일간 영상통화 서비스를 무료 제공한다.

정부 전산망 ‘마비’와 추석·소비쿠폰 지급 등이 겹치며 ‘스미싱’ 피해 주의보가 발령됐다. 1일 세종시에 따르면 대전 국가정보자원관리원(국정자원) 화재로 전산망 복구 기간 전화나 문자메시지로 대체 사이트 접속과 앱 재설치 등을 유도하는 범죄에 각별한 주의를 당부했다. 이어 국정자원 화재로 인한 정부24 변경 주소 안내 및 접속유도, 서비스 장애에 따른 납세 지연 사유 신청, 민원 서비스 장애로 인한 일상생활 피해 국민 보상금 신청 등을 사례로 들었다. 선물 배송이 많은 추석과 2차 민생 회복 소비 쿠폰 지급과 맞물려 유통·금융기관 등을 사칭한 전화금융사기(보이스피싱)와 문자메시지 사기(스미싱) 등도 우려되고 있다. 세종시 관계자는 “시민의 소중한 재산과 안전을 지키기 위해 정부와 긴밀한 협력체계를 강화하고 있다”며 “예방수칙을 실천해 피해를 보지 않도록 경각심을 가져야 한다”고 강조했다. 앞서 정부는 국가 전산망 장애와 관련해 정부·공공기관 등으로 속인 스미싱 공격에 대한 주의를 당부했다. 스미싱은 문자메시지(SMS)와 피싱(Phishing)의 합성어로, 악성 앱 주소가 포함된 휴대전화 문자를 대량 전송해 이용자가 악성 앱을 설치하거나 전화하도록 유도해 금융정보·개인정보 등을 탈취하는 수법이다. 정부 전산장애를 빌미로 임시 본인인증을 거론하며 신분증과 계좌번호, 비밀번호 같은 개인정보 입력을 요구한다. 정부와 지자체, 금융기관 등은 시스템 장애 등 재난 상황 알림 안내 문자 발송 시 인터넷주소(URL)가 포함된 문자메시지를 발송하지 않는다고 강조했다. 경찰청·인터넷진흥원 등은 스미싱 공격에 대한 모니터링을 강화하고, 피해 신고 시 즉시 수사에 착수하는 등 신속 대응체계를 가동하고 있다. 보안업체 관계자는 “사이버 위협은 추석 선물 배송이나 교통법규 위반 과태료 같은 전형적인 스미싱 수법을 넘어 첨단 AI까지 동원해 교묘해지고 있다”며 “계정 탈취는 지인을 대상으로 한 2차 범죄에 악용돼 더 큰 피해로 이어질 수 있다”고 경고했다.

KT 대표 “펨토셀 외주 허점” 인정과기부 차관 “복제폰 위험성 볼 것”28만명 중 19만명 재발급 등 조치MBK, 롯데카드 매각 계획 재확인증인 채택된 김병주 회장 불출석 24일 국회에서 열린 ‘KT·롯데카드 해킹 사태’ 청문회에서 여야 의원들이 해당 기업들의 관리 소홀과 늑장 대응에 대해 집중 추궁했다. 과학기술정보통신부는 이 자리에서 고의성이 확인되면 경찰 수사 의뢰 등에 나서겠다는 입장을 밝혔다. 김영섭 KT 대표는 이날 청문회에서 허술한 ‘초소형 기지국’(펨토셀) 관리와 늑장 대응 등으로 질타를 받았다. 김 대표는 경찰의 해킹 통보 후 8일이나 지나서야 신고한 것과 관련해 “당시 스미싱으로 오인해 대응이 늦어졌을 뿐, 은폐 의도는 없었다”고 해명했다. 김 대표는 사퇴 의사에 대해선 “사태 수습이 우선”이라며 유보하는 태도를 취했다. 해킹의 주요 경로로 지목된 펨토셀을 부실하게 관리했다는 지적도 잇따랐다. 김 대표는 “외주 관리 체계에 허점이 있었던 것은 인정한다”고 했다. 류제명 과학기술정보통신부 2차관은 “서버 폐기나 신고 지연 등에 고의성이 있는지 파악하는 대로 필요시 경찰 수사 의뢰 등 강력 조치하겠다”고 했다. 그러면서 “(복제폰 생성 위험성도) 면밀히 보겠다”고 덧붙였다. 기업의 보안 부실로 인해 발생한 사태인 만큼 번호 이동 고객에 대한 위약금을 면제해야 한다는 지적이 거듭됐다. 김 대표는 “서버 해킹으로 개인 정보가 유출된 2만 30명에 대한 위약금 면제를 적극 검토하겠다”고 했지만, 전체 고객 위약금 면제 여부에 대해선 “최종 조사 결과를 보고 검토할 예정”이라며 선을 그었다. 류 차관은 “KT가 안전한 통신 제공의 의무를 위반했다면 당연히 위약금 면제 조치가 이루어져야 한다고 생각한다”고 말했다. KT는 무단 소액결제 사태와 관련해 올해 발생한 모든 인증 방식 내용 내역에 대해 전수조사를 실시할 계획이다. 이날 청문회에 출석한 조좌진 롯데카드 대표는 200GB 상당의 고객 정보 유출 사태와 관련 “카드 재발급이 100만명까지 밀려있는 상황으로 이번 주말까지는 대부분 해소가 될 것”이라고 밝혔다. 조 대표는 카드 재발급이 늦어지는 이유에 대해 “하루 24시간을 온전히 가동해서 재발급할 수 있는 캐파(Capa)가 6만장”이라며 이같이 답했다. 롯데카드는 지난달 보안패치 누락으로 해킹 사고가 발생해 회원 297만명의 정보가 유출됐다. KT 서버 해킹 사건과 달리 아직 피해액은 발생하지 않았지만 297만명 중 28만명은 연계정보(CI), 주민등록번호, 카드번호, 유효기간, 보안코드(CVC) 번호 등 부정 사용이 가능한 핵심정보까지 유출됐다. 롯데카드에 따르면 전날 오후 6시 기준 정보가 유출된 전체 고객 297만명 중 카드 재발급 신청을 한 이들은 약 65만명, 카드 비밀번호 변경은 82만명, 카드 정지 11만명, 카드 해지 4만명 등으로 집계됐다. 특히 CVC 번호 등 핵심 정보가 유출된 고객 28만명 중에는 19만명(68%)에게 카드 재발급, 비밀번호 변경, 카드 정지·해지 등 조치를 했다. 롯데카드는 신용정보법과 개인정보보호법을 근거로 총 800억원 이상의 과징금을 부과받을 위기다. 롯데카드는 향후 5년간 1100억원의 정보 보안 투자를 후속 대책으로 내세웠으나, 최대주주인 사모펀드 MBK파트너스의 윤종하 부회장은 이날 청문회에서 보안투자를 강화하겠다면서도 롯데카드 매각 계획을 재확인했다. 증인으로 채택된 김병주 MBK파트너스 회장은 불출석했다.

KT 무단 소액결제 사태가 최소 지난달 초부터 이어져 온 것으로 나타났다. 초기에 KT가 적극적으로 대응하지 않아 피해가 커진 게 아니냐는 지적이 나온다. 17일 국회 과학기술정보방송통신위원회 소속 황정아 더불어민주당 의원실이 KT로부터 제출받은 자료에 따르면 KT가 파악한 피해 고객 수와 결제 건수는 지난달 5일부터 이달 3일까지 278명, 총 527건이다. 피해는 총 16일에 걸쳐 발생했는데 문제는 최초 발생일(8월 5일)이 언론 보도로 관련 사태가 알려지기 시작한 시점보다 한 달이나 앞서 있었다는 점이다. 일일 한 자릿수에 머물던 무단 소액결제는 8월 21일과 26일에 각 33건, 27일에는 106건으로 급증했다. 이후에도 결제 건수는 두 자릿수에서 오르내려 뚜렷이 늘어난 추세를 보였다. 특히 8월 21일을 기점으로 피해 규모가 확대된 점을 들어 일각에선 해커들이 사전에 예행연습을 거쳤다는 추측도 나온다. KT는 이달 1일 수사기관으로부터 소액결제 피해 분석을 요청받았다. 당시엔 일반적인 스미싱 가능성이 크다고 판단해 즉각 대응하지 않았는데, 그러는 사이 2일과 3일 이틀간 109건의 피해가 추가로 발생했다. KT가 비정상 결제를 차단한 건 5일 새벽부터였고 이후엔 유사한 사례가 발생하지 않고 있다. KT는 “수사 문의를 받은 후 구체적 피해 명단 확인과 원인 파악에 최소한의 시간이 필요했다”면서 “사전에 확인하고 조치하지 못한 점에 대해 송구하다”고 밝혔다. 황 의원은 “최소 8월 5일부터 이상 신호가 있었는데 KT의 축소·은폐 시도로 피해가 막대해졌다”며 “과학기술정보통신부가 즉각적인 전수조사를 통해 피해 상황을 국민께 소상히 보고하고 축소·은폐 행위를 발본색원해야 한다”고 했다.