쿠팡의 퇴사한 직원이 회원 3370만명의 개인정보를 유출해 정보 보안에 비상이 걸린 가운데, 이번에는 지마켓에서 일부 회원들이 ‘무단 결제’ 피해를 입은 사실이 드러났다. 3일 유통업계에 따르면 지마켓 회원 60여명은 지난달 29일 이 같은 내용의 피해 사실을 금융감독원에 신고했다. 피해자들은 지마켓의 간편결제서비스인 ‘스마일페이’에 등록된 개인정보를 도용당해 기프트 상품권이 무단 결제된 것으로 알려졌다. 피해 금액은 1인당 3만원에서 20만원 수준이다. 지마켓 측은 “해킹이 아닌 명의 도용 사고로 추정된다”라고 설명했다. 외부 공격자가 취득한 이용자들의 계정과 아이디, 비밀번호, 스마일페이 비밀번호 등을 도용해 무단 결제한 것으로 보인다는 설명이다. 지마켓은 지난 1일 금감원에 문의한 뒤 이튿날 정식 신고했다. 이어 전날 홈페이지에 ‘개인정보 보호 강화 대책’을 공지하고 ▲로그인 비밀번호 변경 ▲로그인 2단계 인증 ▲보안 알림 기능 사용 등을 권장했다. 또 기프트 상품권 등 환금성 상품을 구매하는 회원에 대해 본인 인증을 강화했다고 덧붙였다. 금융당국은 지마켓에 대해 긴급 현장점검에 나섰다. 금감원 관계자는 “업체 측은 해킹이 아니라 외부에서 탈취된 계정 정보로 부정 결제가 이뤄졌다고 주장하고 있어 실제 사실관계를 확인하려고 한다”라면서 “피해자 보상이 제대로 진행되는지도 점검할 것”이라고 설명했다.

SK텔레콤과 롯데카드, KT에 이어 쿠팡까지 지난 7개월간 해킹 등으로 통신사, 카드사, 온라인 유통 플랫폼 등 곳곳이 뚫렸다. 이 과정에서 새 나간 개인정보가 6300만건을 넘었다. 전 국민 수보다 많은 개인정보가 줄줄 새면서 언제 어디서라도 악용될 수 있는 2차 피해가 우려된다. 몸집 불리기에 급급한 기업의 안보 불감증이 근본 배경이지만 정부와 국회도 뒷짐만 졌던 책임을 피할 수 없다. 정부는 어제 국회에서 열린 쿠팡 개인정보 유출 사고 현안 질의에서 로그 분석 결과 3000만개 이상 계정의 공격 기간이 지난 6월 24일부터 11월 8일까지라고 밝혔다. 5개월 전부터 벌어진 유출을 기업도 정부도 까맣게 모르다가 고객 신고로 알게 됐다니 아무리 생각해도 황당하다. 정부는 스미싱 등 2차 피해 우려가 있어 모니터링을 강화하겠다고 했지만, 뒷북 대응이라는 비판이 나올 수밖에 없다. 이날 질의에서 “전자상거래법상 통신 판매로 재산상 손해가 났을 경우 영업정지를 할 수 있는데, 영업정지 가능 여부를 체크해 봤느냐”는 의원 질문에 정부는 “관계 기관과 협의하겠다”고만 했다. SK텔레콤 사태부터 관련 법·제도적 미비점과 솜방망이 처벌 등이 도마에 올랐으나 여전히 제자리걸음인 것이다. 2300만여명의 개인정보가 털린 SK텔레콤도 1348억원 수준의 과징금 부과에 그쳤다. SK텔레콤 사태 이후 신속한 공지와 조사, 과징금·과태료 강화 등을 담은 개인정보보호법 개정안은 22차례나 발의됐다. 그래 놓고 상임위 심사 단계에서 번번이 중단됐다. 국회와 정부가 말로만 보안 강화를 외치고 실제로는 손을 놓았던 것이다. 이재명 대통령은 어제 “관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상 제도를 현실화하는 등의 대책에 나서 달라”고 지시했다. 개인정보 유출 사고가 발생하면 기업이 문을 닫는 수준으로 책임을 물어야 한다. 개인정보 탈취 문제가 ‘국가적 재난’이 되고 있다. 보안 법안의 총체적 재점검에 나서야 한다.

온라인 전자상거래 업체 G마켓에서 고객 60여명의 계정이 도용돼 무단 결제가 이뤄지는 사고가 일어나 금융감독원에 신고한 것으로 확인됐다. 2일 유통업계에 따르면 지난달 29일 “내가 구매한 적 없는 모바일 상품권이 결제됐다”며 G마켓에 결제 취소를 요청하는 문의가 접수됐다. 외부 공격자가 무단으로 계정에 등록된 간편 결제서비스인 ‘스마일페이’를 통해 기프트 상품권(금액 상품권)이 결제된 것으로 추정된다. 1인당 피해 금액은 3만원에서 20만원 수준이다. G마켓은 “내부 점검 결과 시스템 해킹 흔적은 없었다”며 “외부에서 탈취한 정보를 갖고 로그인을 해 결제를 한 것으로 파악했다”고 밝혔다. 피해 금액이 인당 100만원 이하라 법적으로 신고 대상은 아니다. 다만 최근 쿠팡의 대규모 개인정보 유출 사고가 일어난 점을 고려해 소비자 경각심이 높아진 만큼 2일 정식으로 금융 당국에 신고했다고 밝혔다. G마켓은 이날 홈페이지 공지사항에 ‘개인정보 보호 강화 대책’이란 공지를 올리고 로그인 비밀번호 변경, 로그인 2단계 인증, 보안 알림 기능 사용 권장 등을 안내했다. 기프트 상품권 등 환금성 상품 구매 시에 회원 본인 확인을 강화한다는 방침이다.

한국 축구 국가대표 백승호(버밍엄시티)가 어깨 부상을 털고 소속팀에서 득점을 폭발시키면서 미드필더의 줄이탈로 중원 고민에 휩싸였던 홍명보 대표팀 감독도 시름을 덜었다. 버밍엄은 2일(한국시간) 영국 버밍엄의 세인트앤드루스 스타디움에서 열린 2025~26 잉글랜드 프로축구 챔피언십(2부) 18라운드 왓퍼드와의 홈 경기에서 2-1로 이겼다. 3경기 연속 무패(2승1무)를 달린 버밍엄은 7위(승점 28점)로 올라섰다. 백승호는 전반 31분 선제골을 터트렸다. 전방 압박으로 공을 탈취한 다음 페널티박스 바깥에서 오른발 중거리 슛으로 골망을 흔들었다. 12분 뒤엔 더마레이 그레이가 추가 득점했다. 후반 16분 오트만 마암마가 추격 골을 넣었으나 왓퍼드는 승부를 뒤집지 못했다. 백승호는 지난달 9일 15라운드 미들즈브러 원정에서 전반 5분 만에 어깨를 다쳐 교체됐다. 이에 대표팀의 11월 A매치 국내 2연전(볼리비아, 가나)에 소집되지 못했다. 27일 17라운드 웨스트 브로미치 원정에 복귀해 풀타임을 소화한 백승호는 이날 리그 4호 골까지 신고했다. 지난달 5일 14라운드 밀월전에서 2경기 연속 골을 넣은 이후 한 달 만에 득점포를 가동했다. 이로써 홍 감독에게도 가용 자원이 늘어났다. 대표팀은 지난달 황인범(페예노르트)과 백승호가 모두 다쳐 권혁규(낭트), 옌스 카스트로프(묀헨글라트바흐), 원두재(코르파칸) 등이 3선을 책임졌지만 공격 전개에 어려움을 겪었다. 황인범의 부상이 반복되는 상황에서 백승호의 컨디션이 중요한 셈이다.

“서버 접근권 말소 안 해 생긴 일”개인정보 문 열어 놓은 꼴… 대통령실 “징벌적 손배 필요” 쿠팡에서 인증 관련 담당자로 일하던 중국인 개발자가 고객 3370만명의 개인정보를 유출한 사태와 관련해 쿠팡 측의 안일한 대응에 대한 비판이 커지고 있다. 정부는 외부 해킹이 아닌 쿠팡 측의 방치에 따라 이번 사건이 벌어졌다고 보고 관련 책임을 엄중히 묻겠다는 입장이다. 원활한 피해자 보상을 위해 징벌적 손해배상제 개선 카드도 꺼내 들었다. 경찰도 범행에 사용된 인터넷주소(IP)를 확보하는 등 수사에 속도를 내고 있다. 1일 정부 고위 관계자는 “쿠팡이 서버 관리를 굉장히 부실하게 한 것이라 책임을 피하기 어려울 것”이라고 말했다. 이 관계자는 “인증 관리 업무를 담당하던 중국인 개발자가 퇴사한 후에도 계속 서버 접근 권한을 말소하지 않아서 생긴 일”이라며 “본질적으로 해킹을 당한 롯데카드와는 아예 다른 사건”이라고 진단했다. 그는 또 “(인증키를) 말소시키지 않으니 시스템은 정상적 접근이라고 본 것”이라며 “혹시 다른 해킹이 있을지 한국인터넷진흥원(KISA)이 들여다보고 있는데 현재까진 나온 게 없다”고 전했다. 그러면서 “피해자 숫자와 범위 등이 더 늘어날 가능성은 충분해 보인다”고도 했다. 국회 과학기술정보방송통신위원장인 최민희 더불어민주당 의원실 등에 따르면 고객 정보를 빼돌린 직원은 퇴사 이후인 지난 6월 24일부터 개인정보에 접근한 것으로 추정된다. 이 직원은 개인정보 탈취 과정에서 시스템에 로그인 없이 접근할 수 있는 ‘인증 토큰’을 이용한 것으로 보인다. 이와 관련해 강훈식 대통령실 비서실장은 “징벌적 손해배상 제도가 사실상 작동하지 않고 있는 현실은 대규모 유출 사고를 막는 데 한계가 있다”며 “기업의 책임이 명백한 경우 제도가 실효성 있게 작동할 수 있도록 개선 방안을 검토하라”고 밝혔다. 아울러 강 실장은 과학기술정보통신부 등에 “근본적인 제도 보완, 현장 점검 체계 재정비, 기업 보안 역량 강화 지원책 등을 신속히 보고해 달라”고도 지시했다. 국회는 쿠팡 및 유관 기관 관계자들을 출석시켜 긴급 현안 질의를 진행한다. 2일에는 국회 과학기술정보방송통신위원회에서, 3일에는 정무위원회에서 각각 현안 질의를 한다. 경찰도 관련 수사를 진행 중이다. 서울경찰청 관계자는 이날 “쿠팡 측으로부터 서버 로그 기록을 제출받아서 분석 중”이라며 “정보 유출 등으로 협박하는 내용이 담긴 이메일 계정 2개를 추적하고 있다”고 밝혔다. 경찰은 피의자의 국적과 함께 정보 유출 당사자가 협박성 이메일을 보낸 사람과 동일인인지 등을 파악하고 있다. 경찰 관계자는 “피의자를 특정하기 위한 수사를 진행 중”이라며 “IP 추적을 위한 해외 공조도 벌이고 있다”고 설명했다. 쿠팡은 지난달 18일 개인정보보호위원회 등에 고객 4500여명의 개인정보가 유출됐다며 신고했고, 이후 같은 달 25일 정보통신망 침입 혐의로 고소장을 제출했다. 쿠팡 측은 협박 메일이 발송된 지 이틀이 지나서야 대응에 나섰다. 경찰은 지난달 28일 쿠팡 측 관계자를 불러 조사했다. 쿠팡이 회사 외형을 키우는 데 몰두한 나머지 정보보호에는 무감각했다는 비판이 거세지고 있다. 2023년부터 매년 10조원가량 매출이 뛰며 급성장해 오는 동안 정보보호 투자 비중은 반대로 감소해서다. 2010년 출범한 쿠팡이 로켓배송에 나선 것은 2014년이었다. 2012년 이후 규제에 묶인 대형마트의 빈자리를 채우기 시작하면서 급격히 몸집을 불렸다. 쿠팡은 2023년 매출 31조 8298억원을 기록하며 이마트(연결 기준 매출 29조 4722억원)를 처음 넘어섰다. 지난해 매출 41조 2901억원을 올렸고 올해에는 50조원 달성도 가능하다는 예측이 나왔다. 반면 최근 4년간 쿠팡의 정보기술(IT) 투자 대비 정보보호 투자 비중은 꾸준히 하락했다. KISA 공시에 따르면 쿠팡은 전체 IT 부문에 1조 9171억원을 투자했으며 이 가운데 정보보호 부문에 투입한 금액은 890억원으로 전체의 4.6%에 그쳤다. 전체 정보보호 투자 공시 기업 773곳의 평균(6.28%)보다 낮은 수준이다. 쿠팡의 지난해 매출 대비 정보보호 부문 투자액은 0.2%로 같은 기간 카카오·SK텔레콤(0.7%), 네이버·KT(0.4%)보다 저조했다. 숱한 논란에도 쿠팡의 사업이 순항한 건 정치권 및 정부 출신 인사를 대거 영입해 온 점과 무관하지 않다. 올해 쿠팡 또는 그 계열사로 이직하기 위해 취업 심사를 받은 4급 보좌관은 총 9명이었다. 정부 출신 중 4급 이상 등 취업 심사 대상 퇴직자 9명이 올해 쿠팡이나 그 계열사에 취직했다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글은) 사실과 다르다”고 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글 내용은) 사실이 아니다”라고 입장을 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글 내용은) 사실이 아니다”라고 입장을 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

中업체, 고객 타기팅 정교화 우려SKT 사태보다 심각한 피해 예상배송지는 계정보다 더 많이 유출주소 이용 실제 범죄도 대응해야 쿠팡에서 국내 인구 4분의3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생한 가운데 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 명예교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠 갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있는 만큼 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보가 복제폰을 만드는 데 악용될 수 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에 쓰일 가능성에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼 있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 말했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유는 중국에 개인정보가 유출되는 걸 우려하기 때문인데, 이번 사태로 어떤 제품을 샀는지 기질·성향을 나타내는 개인 식별 정보가 넘어가게 될 경우 중국 이커머스가 고객 타기팅을 더 정교화하는 데 쓰일 수 있다”고 지적했다. 이 경우 쿠팡뿐 아니라 국내 이커머스 산업 전체가 타격을 받을 수도 있다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”며 “이 경우 2차 피해가 즉각 일어나지 않고 소비자 경계가 느슨해진 뒤에 발생하기 때문에 쿠팡 때문인지 알 수 없게 되는 등 원인과 규모를 특정하기도 어려워 소비자 피해는 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개 이상의 배송지 정보를 입력했을 가능성이 높기 때문이다. 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이라는 전망도 나온다.

3370만명 고객정보 무단 노출 확인중국 국적 전 직원이 정보 빼돌린 듯카드·통신 사고 이어 불안감 확산 국내 1위 온라인 유통 기업인 쿠팡에서 우리나라 국민의 절반이 넘는 약 3370만명의 고객 계정 정보가 무단으로 노출되는 초유의 사고가 벌어지면서 국민 불안이 소위 포비아(공포증) 수준으로 치닫고 있다. 역대 최대 규모의 고객 정보 유출인 데다 쿠팡이 5개월간 지속된 개인정보 탈취 시도조차 인지하지 못했기 때문이다. 이번 사고가 중국 국적의 내부자 소행이라는 언급도 나온다. 전문가들은 이 사태가 스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격)이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고했다. 쿠팡이 고객 계정의 이름, 이메일, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보가 노출된 사실을 지난 29일 확인한 가운데 박대준 쿠팡 대표는 30일 정부서울청사에서 “국민 여러분께 불편을 끼쳐 드려 진심으로 사과드린다”며 첫 사과에 나섰다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 노출된 사실을 인지했다고 밝혔지만 후속 조사에서 7500배나 많은 3370만개가 유출된 것으로 확인됐다. 쿠팡 구매 이력이 있는 고객 수(2470만명)보다 900만명이나 많고, 역대 최대 과징금인 1348억원 처분을 받은 SK텔레콤의 개인정보 유출 규모(2324만명)도 크게 웃돈다. 쿠팡은 지난 6월 24일부터 5개월 동안 지속된 개인정보 탈취 시도를 전혀 파악하지 못했다는 점에서도 책임을 피하기 어려워 보인다. 여기에 중국 국적의 전 쿠팡 직원이 고객 정보를 유출했다는 의혹도 제기됐다.  경찰은 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의 제출받아 분석 중이다. 경찰은 “모든 가능성을 열어 두고 절차에 따라 수사하고 있다”고 전했다. 다만 쿠팡 측은 내부 직원 소행 가능성에 대해선 확인이 어렵다는 입장이다. 쿠팡은 이날 오후 웹사이트와 애플리케이션에 게재한 사과문에서 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않아 고객이 계정 관련해 조치를 취할 필요는 없다”고 밝혔다. 하지만 전문가들은 이번 사고가 스미싱이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고한다. 한국인터넷진흥원(KISA)은 ‘피해 보상’이나 ‘피해 사실 조회’, ‘환불’ 등의 키워드로 피해 기업(쿠팡)을 사칭하는 스미싱이나 보이스피싱 등에 주의할 것을 권고했다. 김기형 아주대 사이버보안학과 교수는 “최근 주문 건에 문제가 있다며 주소나 연락처를 다시 확인하라는 식의 피싱이 대표적”이라면서 “문자, 전화, 카카오톡 등 어떤 채널에서도 모르는 링크는 클릭하지 않는 것이 중요하다”고 말했다. 정보 유출 경로가 오리무중인 상황에서 피해를 본 소비자들은 분통을 터뜨리고 있다. 빠른 배송 때문에 쿠팡을 애용했다는 구정순(62)씨는 이번 사태가 터지자마자 쿠팡을 탈퇴했다. 구씨는 “회사가 정확한 진단이나 대책을 내놓지 못해 정보가 유출된 피해자만 발을 동동 구르고 있다”며 “‘전화번호는 노출됐는데 카드 정보와 비밀번호는 노출되지 않았다’는 회사의 설명을 어떻게 믿겠느냐”고 말했다. 일부 고객 사이에서는 공동 현관 비밀번호도 털렸을 수 있다는 불안감이 높은 상황이다. 쿠팡의 경우 음식이나 택배 배송 요청란에 아파트 공동 현관 비밀번호를 쓰는 경우가 많고 이를 배송 정보로 관리하기 때문이다.

안랩 ‘2025년 사이버 위협 동향’ 북한 배후의 해킹 조직들이 인공지능(AI) 기술까지 동원해 한국 정부·IT·금융 등 핵심 분야를 상대로 전방위적인 사이버 공격을 강화하고 있는 것으로 나타났다. 악성 문서 제작과 피싱 위장 수법이 생성형 AI를 만나 한층 정교해지면서 기존의 패턴 기반 방어 체계를 우회하는 사례가 빠르게 늘고 있다는 분석이다. 30일 안랩이 발간한 ‘2025년 사이버 위협 동향 & 2026년 보안 전망’ 보고서에 따르면, 지난해 10월부터 올 9월까지 1년 동안 북한 배후로 지목된 지능형 해킹(APT) 활동은 총 86건으로 집계됐다. 같은 기간 중국(27건), 러시아·인도(각 18건) 등 다른 국가들과 비교해도 압도적으로 많은 수치다. 정부기관과 금융회사, IT 기업, 언론사 등 다수의 국내 기관과 기업이 연중 지속적으로 표적이 된 것으로 조사됐다. 주요 공격세력으로는 북한 정찰총국과 연계된 라자루스(Lazarus·31건), 김수키(Kimsuky·27건), 안다리엘(Andariel) 등이 확인됐다. 각각의 조직은 고유한 전술로 침투를 시도해왔다. 라자루스는 암호화폐 탈취를 비롯한 금전적 목적의 공격에 집중하며, 윈도·맥·리눅스 등 다양한 운영체제를 지원하는 멀티 플랫폼 악성코드를 개발해 활용하는 것으로 나타났다. 정상 웹사이트에 악성코드를 심어 감염을 유도하는 ‘워터링 홀’ 기법, 소프트웨어 취약점 악용 등이 대표적이다. 최근 가상자산거래소 업비트 해킹 사건에서도 라자루스의 기존 수법과 유사한 정황이 다수 포착된 것으로 전해졌다. 김수키는 특정 인물이나 기관을 정밀하게 겨냥한 스피어 피싱을 주력으로 한다. 강연 요청서나 인터뷰 의뢰서를 사칭해 실제와 거의 동일한 형태의 악성 문서를 보내는 방식이 반복적으로 확인됐다. 최근에는 페이스북·텔레그램 등 다양한 플랫폼을 활용한 다단계 공격을 시도하는가 하면, AI 기반 위조 신분증까지 사용한 사례도 포착되는 등 사회공학적 기법이 한층 고도화하고 있다. 안다리엘은 계정 정보 탈취와 랜섬웨어 배포가 주력 분야로, 국내 보안업체의 인증서를 훔쳐 악성코드에 서명하는 방식까지 활용한 것으로 조사됐다. 공격 전반에서 공통적으로 드러나는 가장 큰 변화는 ‘AI 활용’이다. 생성형 AI가 악성 문서 작성과 피싱 메시지 구성에 적극 활용되면서 한국어 문장과 문서 형식이 실제 업무 문서와 거의 구분되지 않을 정도로 자연스럽게 만들어지고 있다. 이 때문에 제목·문체 등으로 악성 파일을 판별하던 기존 탐지 체계가 무력화되는 사례가 늘고 있다. 자동화 도구를 이용한 악성코드 변종 생산 속도도 빨라져 단일 방어 체계만으로는 대응이 쉽지 않다는 것이 전문가들의 지적이다. 이에 국내 기업과 기관들은 보안 체계를 재정비하고 있다. 위험도가 높은 첨부파일을 자동 분석하는 ‘메일 샌드박스’ 도입이 확대되는 한편, 계정 탈취를 막기 위한 다중 인증(MFA) 적용 범위도 넓어지고 있다. 정부와 민간은 위협 정보 공유 체계를 세분화하고 분야별 대응 매뉴얼을 보완하는 등 다층 방어망 구축에 속도를 내고 있다.

쿠팡에서 국내 인구 4분의 3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생하자, 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있어서 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보로 복제폰을 만드는데 악용될 가능성이 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유가 중국에 개인정보가 넘어갈까봐였는데, 이번 사태로 개인이 식별되는 정보가 넘어가게 될 경우 중국 이커머스가 고객 타겟팅을 더 정교화하는데 쓰일 수 있다”고 말했다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”면서 “3차 피해는 쿠팡 때문인지 특정할 수도 없고 피해 규모를 규명하기도 어려워 소비자 피해가 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개의 배송지 정보를 입력했을 가능성이 높기 때문이다. 이 경우 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이란 전망도 나온다. 전문가들은 피해를 본 소비자라면 보이스피싱, 스미싱 등에 유의할 것을 당부했다. 한국인터넷진흥원(KISA)은 출처가 불분명한 사이트 주소(링크)가 포함된 문자 메시지를 받은 경우 클릭하지 말고 바로 삭제하라고 권고한다. 의심되는 사이트 주소는 정상 사이트와 일치하는지 확인하는 편이 좋다. 카카오톡 채널 ‘보호나라’를 활용해 스미싱·피싱 사이트 여부를 확인하고 신고할 수 있다. 번호 도용 가능성이 의심된다면 이동통신사에서 제공하는 ‘번호도용문자 차단서비스’를 신청할 수 있다. 개인정보보호위원회가 운영하는 ‘개인정보포털’은 개인정보의 다크웹 유출 여부, 분쟁 조정 등의 서비스를 제공한다.

프로축구 K리그1 순위 쟁탈전에서 자동 강등의 절망에 빠진 팀은 대구FC였다. 대구는 에이스 세징야의 부상 투혼에도 집중력이 무너지면서 10년 만에 K리그2(2부)로 떨어졌다. 대구는 30일 대구 iM뱅크파크에서 열린 2025 K리그1 최종 38라운드 안방경기에서 FC안양과 2-2로 비겼다. 전반 4분 만에 마테우스, 이창용에게 연속 실점했지만 후반에 지오바니, 세징야가 추격골을 넣으며 패배는 면했다. 승점 34점(7승13무18패)으로 최하위(12위)를 확정한 대구는 다음 시즌 K리그2에서 승격에 도전해야 하는 처지가 됐다. K리그1 최하위는 승강 플레이오프(PO) 없이 강등된다. 이날 11위 제주 SK(39점·10승9무19패)가 울산 HD를 1-0으로 꺾으면서 대구가 승리했어도 순위를 뒤집지 못하는 상황이었다. 대구는 경기 시작 1분 만에 김주공의 후방 패스 실수로 선제골을 내줬다. 공을 가로챈 안양의 마테우스가 페널티박스 바깥에서 왼발로 공을 띄워 골키퍼의 손을 넘겼다. 대구는 3분 뒤 코너킥 혼전 중에 골문으로 쇄도한 이창용에게 골을 먹혔다. 골키퍼 한태희가 몸을 날려 김운의 헤더를 막았으나 리바운드된 공이 추가 실점으로 연결됐다. 허리와 무릎을 다쳐 지난 2경기를 쉬었던 세징야는 불완전한 몸 상태에도 후반 시작과 함께 출격했다. 대구는 후반 13분 김정현의 태클로 공을 탈취한 뒤 지오바니가 왼발 슈팅으로 추격 골을 터트렸다. 후반 추가 시간엔 세징야가 에드가 실바의 헤더 패스를 받아 머리로 골망을 흔들었지만 역전까진 시간이 부족했다. 2021시즌 K리그1 3위로 구단 역대 최고 성적을 남긴 대구는 점차 추락했다. 세징야가 지난해 리그 14골 8도움, 올해 12골 12도움으로 중심을 잡았으나 그를 지원할 자원이 마땅치 않았다. 올 시즌도 세징야 다음으로 많이 득점한 선수가 6골의 에드가였다. 지난 시즌에도 승강 PO를 통해 가까스로 잔류한 대구는 뚜렷한 선수 보강 없이 올 시즌을 맞았고 초반부터 하위권의 늪을 헤맸다. 4월 중순까지 개막 9경기에서 2승1무6패에 그친 박창현 전 감독이 지휘봉을 내려놨고 5월 말 김병수 감독이 소방수로 부임했으나 반전하지 못했다. 36세의 세징야도 시즌 내내 크고 작은 부상에 시달리면서 대구는 강등의 아픔을 피하지 못했다.

‘홈캠’으로 불리며 범죄 예방 등을 위해 가정집 등에 설치된 인터넷 프로토콜(IP) 카메라 12만여대를 해킹해 성 착취물 수백개를 제작·판매한 피의자들이 검거됐다. 경찰청 국가수사본부는 IP 카메라를 해킹한 피의자 4명을 검거하고, 이 가운데 영상물을 성착취물로 제작하거나 판매한 A씨 등 3명을 구속했다고 30일 밝혔다. 피의자들은 범행을 공모한 공범 관계는 아닌 걸로 조사됐다. IP 카메라는 인터넷을 통해 다른 기기로 실시간 영상 송출이 가능한 장비로, 흔히 가정집에서 반려동물, 자녀나 노인의 안전을 확인하거나 범죄 예방 등 목적으로 설치하는 경우가 많다. 경찰에 따르면 무직인 A씨는 6만 3000대의 IP 카메라를 해킹해 탈취한 영상으 545개의 성 착취물을 제작한 혐의를 받는다. A씨는 이렇게 제작한 불법 영상을 해외 사이트에 팔아 3500만원어치의 가상자산을 챙긴 것으로 조사됐다. 피의자 중엔 회사원도 있었다. B씨는 IP 카메라 7만대를 해킹하고 648개의 성 착취물을 제작·판매해 가상자산 1800만원어치를 챙긴 혐의를 받는다. 두 사람이 만든 영상은 최근 1년간 특정 사이트에 게시된 영상의 62%에 달했다. 이 해외 사이트는 다양한 국가 피해자들의 불법 촬영 영상이 올라오고 있다. 현재 경찰은 해외 수사기관과 공조해 해당 사이트 운영자에 대한 법적 조치를 진행하고 있다. 이밖에 자영업자인 C씨는 IP 카메라 1만 5000대, 또 다른 회사원 D씨는 136대를 해킹한 것으로 조사됐다. 심지어 C씨는 해킹한 영상으로 아동·청소년 성착취물을 제작했다. 다만 경찰은 두 사람이 영상을 유포하거나 판매한 정황은 없는 것으로 파악했다. 피의자들에게 영상을 사들인 불법 사이트에서 성 착취물을 구매하고 시청한 3명도 붙잡혔다. 경찰 관계자는 “성착취물 구매자와 시청자들에 대한 수사도 이어가고 있다”고 말했다. 대량으로 해킹된 IP 카메라들은 아이디와 비밀번호가 동일하게 단순 반복되거나, 숫자나 문자 조합이 단순한 형태로 설정됐던 것으로 전해졌다. 인터넷망에 연결돼 영상을 실시간 송출하는 방식인 IP 카메라는 외부 접속이 차단된 폐쇄회로(CC)TV보다 설치가 간단하고 저렴하지만, 보안에는 더 취약하다. 경찰은 수사 과정에서 확인된 피해 장소 58곳에 대해서는 수사관이 직접 방문하거나 전화 또는 우편을 통해 피해 사실을 통지하고 비밀번호 변경 등을 안내했다. 방송미디어통신심의위원회에 해당 사이트 접속 차단을 요청했고, 외국 법집행기관과 협력해 폐쇄를 추진 중이다. 경찰 관계자는 “IP 카메라 사용자는 계정 비밀번호를 8자리 이상으로 특수문자를 포함해 변경하고, 제품이 이중 인증을 지원하면 반드시 활성화하는 게 보다 안전하다”며 “6개월에 한 번 이상 비밀번호를 변경하고 관련 소프트웨어를 최신 버전으로 유지할 필요도 있다”고 강조했다.

국내 전자상거래(이커머스) 시장 1위 업체인 쿠팡의 대규모 개인정보 유출이 반년 전부터 발생했을 가능성이 제기되면서 소비자들 사이에서 불안과 우려가 커지고 있다. 정부는 민간과 합동조사단을 꾸려 사고 원인 분석에 나섰고, 경찰은 수사에 착수했다. 30일 유통업계에 따르면 쿠팡은 전날 오후 “고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다”고 공지했다. 쿠팡은 노출된 고객 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 ‘제한’됐고, 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 이어 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 덧붙였다. 고객의 민감한 개인정보 탈취 시도가 이미 5개월 전에 시작됐다는 것이다. 쿠팡은 이번 유출 사고를 지난 18일에서야 인지하고 지난 20일과 전날 각각 관련 내용을 개인정보보호위원회에 신고했다. 개인정보보호위는 현재 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인 정보 유출 사태에 대한 수사에 착수했다. 전자상거래를 이용하는 국민이라면 대부분 쓰고 있다고 볼 수 있는 쿠팡에서 대규모 고객 정보 유출 사고가 발생하면서 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 전날 관련 기사에는 “개인정보 털렸는데 그냥 미안하다고 문자 하나만 띡 보내면 다냐”, “요즘 광고 전화 너무 많이 오더니”, “전 국민 털렸네” 등 정보 유출에 대한 불안과 분노 섞인 댓글이 달렸다. 또 고객의 이름과 이메일, 전화번호, 주소만으로도 분히 사기 등의 범죄에 악용될 수 있다는 지적도 나온다. 특히 주소가 유출되면서 문 앞 배송을 원활히 하기 위해 기재한 공동 현관 비밀번호까지 다 노출된 것 아니냐는 불안까지 제기되고 있다. 쿠팡이 피해 규모를 9일 만에 약 7500배로 조정한 것을 두고도 향후 조사 결과에 따라 피해 규모가 더 커질지도 모른다는 추측도 나온다. 또 지난 6월부터 정보 탈취 시도가 있었던 것으로 확인된 만큼 정보 유출이 수개월에 걸쳐 이뤄졌을 가능성도 제기된다. 쿠팡은 지난 20일 정보 유출 피해 고객 계정이 4500여개라고 발표했으나 29일에는 3370만개라고 다시 공지했다. 쿠팡이 지난 3분기 실적 발표 당시 언급한 프로덕트 커머스 부분 활성고객(구매 이력이 있는 고객)이 2470만명인데 이보다 훨씬 많은 수준이다. 사실상 전체 고객의 정보가 유출된 것으로 보인다. 또 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만명)를 뛰어넘는 규모다. 다른 기업들의 보안 관련 사고에서도 당국의 조사가 진행되면서 피해 규모는 더 커졌다. 앞서 사이버 침해 사고가 발생한 롯데카드의 경우 지난 9월 4일 사과문에서는 “현재까지 조사한 결과에 따르면 고객 정보 유출 사실은 확인되지 않았다”고 공지했으나, 그로부터 2주 뒤에는 카드번호뿐 아니라 CVC번호 등 민감 정보까지 유출됐다고 밝혔다. KT의 경우 해킹 사고 처리 과정에서 서버를 폐기해 증거를 은닉했다는 의혹이 제기돼 경찰이 이달 강제수사에 착수했다.

국내 최대 가상자산(암호화폐) 거래소 업비트에서 445억원 규모의 디지털자산이 해킹으로 탈취되는 사고가 발생했다. 해당 자산은 세게 최대 가상자산 거래소인 바이낸스로 이동됐다는 정황이 보고 됐다. 사고 인지부터 공지까지 약 8시간이 소요되면서 ‘늑장 대응’ 논란도 제기됐다. 오경석 두나무 대표이사는 27일 오후 12시 33분 공지를 통해 “오전 4시 42분쯤 솔라나 네트워크 계열 자산 일부가 알 수 없는 외부 지갑으로 전송된 정황을 확인했다”며 “회원 자산에 피해가 발생하지 않도록 전액 업비트 자산으로 충당할 예정”이라고 밝혔다. 이와 관련 금융감독원은 현장 점검에 착수했고 경찰청 국가수사본부 사이버테러수사대도 입건 전 조사에 나섰다. 이번 사고로 블록체인 플랫폼 ‘솔라나’를 기반으로 발행된 토큰 445억원 상당이 유출된 것으로 파악됐다. 당초 피해액은 540억원으로 추산됐으나, 오전 4시 42분 기준 시세를 적용해 445억원으로 조정됐다. 가상자산추적분석 전문기업 클로인트는 조사 결과 유출된 자산이 다수의 중개 지갑으로 분산된 뒤 대부분이 바이낸스로 빠져나간 흐름을 포착했다고 밝혔다. 전형적인 자금 세탁 수법이다. 업비트에서 해킹 사고가 발생한 것은 이번이 두 번째다. 정확히 6년 전인 2019년 11월 27일에도 업비트에서 580억원 규모의 이더리움이 탈취됐다. 당시에도 핫월렛에 있던 자산을 모두 콜드월렛으로 옮기고 회사 자산으로 피해액을 메웠다. 수사 결과 경찰청 국가수사본부는 북한 정찰총국 산하 해킹조직 ‘라자루스’와 ‘안다리엘’ 소행으로 판단했다. 한편, 이번 해킹 여파로 관련 가상자산 가격이 급등, 해외와 가격 괴리가 크게 나타나는 ‘가두리 펌핑’ 현상도 나타났다. 대표적으로 이날 오후 5시 17분 현재 업비트에서 오르카(ORCA)는 전일 대비 두배 가까이 급등한 3196원에 거래되고 있다. 메테오레와 레이디움도 각각 84.23%, 41.95% 뛰었다. 같은 기간 시가총액 1·2위인 비트코인(0.76%), 이더리움(-0.13%) 상승 폭을 압도한다.

가상자산 거래소 업비트가 27일 새벽 약 445억 원 규모의 디지털 자산 해킹 피해를 입었다. 이 사고는 두나무와 네이버파이낸셜의 합병 기자간담회가 열린 당일에 발생했다. 새벽 4시 42분, ‘비정상 이체’ 포착…540억→445억 정정 업비트 운영사 두나무는 즉시 솔라나 네트워크 기반 입출금 서비스를 전면 중단하고 긴급 보안 점검에 들어갔다. 두나무는 “이날 오전 4시 42분쯤 내부에서 지정하지 않은 외부 지갑 주소로 약 540억 원 상당의 솔라나 네트워크 계열 자산 일부가 전송된 정황을 확인했다”며 “회원 자산 피해는 없도록 전액 업비트 자산으로 충당할 예정”이라고 밝혔다. 이후 오후 3시쯤 해킹 규모를 약 445억 원으로 정정하고 “비정상 출금 시점의 시세를 기준으로 환산했다”고 설명했다. 유출된 자산 20여 종…솔라나 생태계 전반 타격 이어 “핫월렛(Hot Wallet·인터넷 연결 지갑)에서 해킹이 발생했으며, 자산이 분리 보관되는 콜드월렛(Cold Wallet·오프라인 지갑)은 어떠한 침해나 탈취도 없었다”고 덧붙였다. 유출된 자산은 ▲솔라나(SOL) ▲유에스디코인(USDC) ▲렌더(RENDER) ▲웜홀(W) ▲피스네트워크(PYTH) ▲지토(JTO) ▲주피터(JUP) ▲봉크(BONK) ▲아이오넷(IO) ▲드리프트(DRIFT) ▲레이디움(RAY) ▲오르카(ORCA) 등 주요 토큰을 비롯해 ▲액세스프로토콜(ACS) ▲매직에덴(ME) ▲오피셜트럼프(TRUMP) ▲두들즈(DOOD) ▲펏지펭귄(PENGU) ▲솔레이어(LAYER) ▲후마파이낸스(HUMA) ▲소닉SVM(SONIC) 등 신규 프로젝트 토큰까지 포함됐다. 두나무는 해킹 직후 모든 자산을 콜드월렛으로 옮기고 블록체인(온체인) 상에서 자산 이동을 차단하는 조치를 취했다. 약 23억 원 규모의 솔레이어(LAYER) 토큰은 동결에 성공했으며, 나머지 자산도 추적 중이다. 금융당국·KISA 동시 대응…FIU 제재 여파 속 또 악재보안업계는 “솔라나 네트워크 계열 자산을 관리하던 직원 PC가 악성코드에 감염됐을 가능성”을 주요 원인으로 보고 있다. 금융감독원과 한국인터넷진흥원(KISA)은 해킹 사실 통보 직후 현장 점검에 착수했다. 금융당국 관계자는 “사태 파악을 위해 현장 점검에 바로 돌입했다”며 “피해 경위와 시스템 취약점을 조사 중”이라고 밝혔다. 한편 해외 커뮤니티에서도 반응이 이어졌다. 암호화폐 커뮤니티 레딧닷컴에서는 “업비트가 또 털렸다니 믿기 어렵다”는 반응부터 “솔라나 지갑 결함 가능성이 크다”, “중앙화 거래소(CeFi)가 더 안전하다는 말은 농담일 뿐”이라는 비판까지 다양한 의견이 쏟아졌다. 일부는 “직원 내부 해킹 가능성도 배제할 수 없다”고 지적했다. 이번 사고는 업비트에서 6년 만에 발생한 대규모 해킹이다. 지난 2019년 11월 27일에도 약 580억 원 규모의 이더리움(34만 2000ETH)이 익명 지갑으로 유출됐으며, 당시 북한 해커조직 ‘라자루스’와 ‘안다리엘’이 배후로 지목됐다. ‘합병 잔칫날’ 불참한 김형년 부회장 이달 초 업비트는 금융정보분석원(FIU)으로부터 고객확인(KYC) 및 자금세탁방지(AML) 의무 위반으로 352억 원의 과징금과 신규 고객 자산이체 3개월 제한 제재를 받았다. FIU는 당시 현장 점검에서 KYC 미이행 사례 약 530만 건과 의심거래 보고 누락 15건을 적발했다고 밝혔다. 이날 경기 성남시 분당구 네이버 1784 사옥에서 열린 두나무-네이버파이낸셜 합병 기자간담회에는 이해진 네이버 의장, 송치형 두나무 회장, 최수연 네이버 대표, 오경석 두나무 대표, 박상진 네이버파이낸셜 대표 등 양사 고위 인사가 총출동했지만 김형년 두나무 부회장은 불참했다. “전액 보상, 순차적 서비스 재개”최근 ‘디콘(D-CON) 2025’ 콘퍼런스에서 대외 행보를 재개한 김 부회장이 돌연 자리를 비운 이유를 두고, 업계는 “해킹 대응 컨트롤타워 역할을 맡은 것 아니냐”는 관측을 제기했다. 두나무는 “행사 전 해킹 정황을 인지했으나 상황 파악 후 공지하는 과정에서 발표가 늦어졌을 뿐 간담회 일정과는 무관하다”고 설명했다. 두나무는 “회원 자산 피해는 없으며, 회사 자산으로 전액 보상할 계획”이라며 “안전성이 확보되는 대로 입출금 서비스를 차례대로 재개할 예정”이라고 밝혔다. 이번 피해액은 두나무의 3분기 순이익(2390억 원)의 약 18.6%에 해당한다.

가상자산 거래소 업비트가 27일 새벽 약 445억 원 규모의 디지털 자산 해킹 피해를 입었다. 이 사고는 두나무와 네이버파이낸셜의 합병 기자간담회가 열린 당일에 발생했다. 새벽 4시 42분, ‘비정상 이체’ 포착…540억→445억 정정 업비트 운영사 두나무는 즉시 솔라나 네트워크 기반 입출금 서비스를 전면 중단하고 긴급 보안 점검에 들어갔다. 두나무는 “이날 오전 4시 42분쯤 내부에서 지정하지 않은 외부 지갑 주소로 약 540억 원 상당의 솔라나 네트워크 계열 자산 일부가 전송된 정황을 확인했다”며 “회원 자산 피해는 없도록 전액 업비트 자산으로 충당할 예정”이라고 밝혔다. 이후 오후 3시쯤 해킹 규모를 약 445억 원으로 정정하고 “비정상 출금 시점의 시세를 기준으로 환산했다”고 설명했다. 유출된 자산 20여 종…솔라나 생태계 전반 타격 이어 “핫월렛(Hot Wallet·인터넷 연결 지갑)에서 해킹이 발생했으며, 자산이 분리 보관되는 콜드월렛(Cold Wallet·오프라인 지갑)은 어떠한 침해나 탈취도 없었다”고 덧붙였다. 유출된 자산은 ▲솔라나(SOL) ▲유에스디코인(USDC) ▲렌더(RENDER) ▲웜홀(W) ▲피스네트워크(PYTH) ▲지토(JTO) ▲주피터(JUP) ▲봉크(BONK) ▲아이오넷(IO) ▲드리프트(DRIFT) ▲레이디움(RAY) ▲오르카(ORCA) 등 주요 토큰을 비롯해 ▲액세스프로토콜(ACS) ▲매직에덴(ME) ▲오피셜트럼프(TRUMP) ▲두들즈(DOOD) ▲펏지펭귄(PENGU) ▲솔레이어(LAYER) ▲후마파이낸스(HUMA) ▲소닉SVM(SONIC) 등 신규 프로젝트 토큰까지 포함됐다. 두나무는 해킹 직후 모든 자산을 콜드월렛으로 옮기고 블록체인(온체인) 상에서 자산 이동을 차단하는 조치를 취했다. 약 23억 원 규모의 솔레이어(LAYER) 토큰은 동결에 성공했으며, 나머지 자산도 추적 중이다. 금융당국·KISA 동시 대응…FIU 제재 여파 속 또 악재보안업계는 “솔라나 네트워크 계열 자산을 관리하던 직원 PC가 악성코드에 감염됐을 가능성”을 주요 원인으로 보고 있다. 금융감독원과 한국인터넷진흥원(KISA)은 해킹 사실 통보 직후 현장 점검에 착수했다. 금융당국 관계자는 “사태 파악을 위해 현장 점검에 바로 돌입했다”며 “피해 경위와 시스템 취약점을 조사 중”이라고 밝혔다. 한편 해외 커뮤니티에서도 반응이 이어졌다. 암호화폐 커뮤니티 레딧닷컴에서는 “업비트가 또 털렸다니 믿기 어렵다”는 반응부터 “솔라나 지갑 결함 가능성이 크다”, “중앙화 거래소(CeFi)가 더 안전하다는 말은 농담일 뿐”이라는 비판까지 다양한 의견이 쏟아졌다. 일부는 “직원 내부 해킹 가능성도 배제할 수 없다”고 지적했다. 이번 사고는 업비트에서 6년 만에 발생한 대규모 해킹이다. 지난 2019년 11월 27일에도 약 580억 원 규모의 이더리움(34만 2000ETH)이 익명 지갑으로 유출됐으며, 당시 북한 해커조직 ‘라자루스’와 ‘안다리엘’이 배후로 지목됐다. ‘합병 잔칫날’ 불참한 김형년 부회장 이달 초 업비트는 금융정보분석원(FIU)으로부터 고객확인(KYC) 및 자금세탁방지(AML) 의무 위반으로 352억 원의 과징금과 신규 고객 자산이체 3개월 제한 제재를 받았다. FIU는 당시 현장 점검에서 KYC 미이행 사례 약 530만 건과 의심거래 보고 누락 15건을 적발했다고 밝혔다. 이날 경기 성남시 분당구 네이버 1784 사옥에서 열린 두나무-네이버파이낸셜 합병 기자간담회에는 이해진 네이버 의장, 송치형 두나무 회장, 최수연 네이버 대표, 오경석 두나무 대표, 박상진 네이버파이낸셜 대표 등 양사 고위 인사가 총출동했지만 김형년 두나무 부회장은 불참했다. “전액 보상, 순차적 서비스 재개”최근 ‘디콘(D-CON) 2025’ 콘퍼런스에서 대외 행보를 재개한 김 부회장이 돌연 자리를 비운 이유를 두고, 업계는 “해킹 대응 컨트롤타워 역할을 맡은 것 아니냐”는 관측을 제기했다. 두나무는 “행사 전 해킹 정황을 인지했으나 상황 파악 후 공지하는 과정에서 발표가 늦어졌을 뿐 간담회 일정과는 무관하다”고 설명했다. 두나무는 “회원 자산 피해는 없으며, 회사 자산으로 전액 보상할 계획”이라며 “안전성이 확보되는 대로 입출금 서비스를 차례대로 재개할 예정”이라고 밝혔다. 이번 피해액은 두나무의 3분기 순이익(2390억 원)의 약 18.6%에 해당한다.

‘(부고)아버지가 11월 14일 12시 세상을 떠났습니다. 장례식장 위치입니다. http://g***.co/VYX’’ 이런 부고장이나 청첩장 등의 문자메시지에 악성 앱 설치 링크를 보내는 방식으로 120억원을 가로챈 스미싱 조직이 경찰에 붙잡혔다. 피해액을 기준으로 국내 최대 규모다. 서울경찰청 사이버수사과는 스미싱 조직 총책인 중국 국적 A(38)씨를 비롯한 일당 13명을 정보통신망법·통신사기피해환급법 위반 등 혐의로 검찰에 송치했다고 26일 밝혔다. 중국에서 범행을 지시한 해외 총책 2명에 대해선 인터폴 적색 수배령을 내렸다. 경찰에 따르면 이들은 2023년 7월부터 올해 6월까지 청첩장, 부고장, 교통법규 위반 고지서 등으로 꾸민 문자를 보낸 것으로 조사됐다. 문자에 첨부된 인터넷 주소 링크를 클릭하면 악성 앱이 설치되고, 이후 휴대전화 개인정보가 도용되는 구조였다. 권한을 탈취한 이들은 개인정보를 통해 알뜰폰을 개통한 뒤 피해자의 금융계좌 등에서 본인 인증을 거쳐 자금을 빼냈다. 이들에게 당한 피해자는 1000명 이상으로 지금까지 확인된 피해 금액만 120억원대로 파악됐다. 50대 이상 피해자가 전체 80~90뉴에 달했으며, 가장 큰 피해를 본 경우는 60대로 모두 4억 8500만원을 뜯겼다. 이들이 저지른 스미싱 범죄에는 전국 수사관서에 미제로 남겨진 사건 900여건이 포함된 것으로 파악됐다. 경찰은 수사 과정에서 본인인증 체계의 취약점을 확인해 통신사 2곳과 금융기관 2곳에 보안 강화 후속 조치를 주문했다. 경찰 관계자는 “지인 명의의 문자메시지라도 전화를 통해 확인하는 등 경각심을 가져야 한다”고 말했다.

‘(부고)아버지가 11월 14일 12시 세상을 떠났습니다. 장례식장 위치입니다. http://g***.co/VYX’’ 이런 부고장이나 청첩장 등의 문자메시지에 악성 앱 설치 링크를 보내는 방식으로 120억원을 가로챈 스미싱 조직이 경찰에 붙잡혔다. 피해액을 기준으로 국내 최대 규모다. 서울경찰청 사이버수사과는 스미싱 조직 총책인 중국 국적 A(38)씨를 비롯한 일당 13명을 정보통신망법·통신사기피해환급법 위반 등 혐의로 검찰에 송치했다고 26일 밝혔다. 중국에서 범행을 지시한 해외 총책 2명에 대해선 인터폴 적색 수배령을 내렸다. 경찰에 따르면 이들은 2023년 7월부터 올해 6월까지 청첩장, 부고장, 교통법규 위반 고지서 등으로 꾸민 문자를 보낸 것으로 조사됐다. 문자에 첨부된 인터넷 주소 링크를 클릭하면 악성 앱이 설치되고, 이후 휴대전화 개인정보가 도용되는 구조였다. 권한을 탈취한 이들은 개인정보를 통해 알뜰폰을 개통한 뒤 피해자의 금융계좌 등에서 본인 인증을 거쳐 자금을 빼냈다. 이들에게 당한 피해자는 1000명 이상으로 지금까지 확인된 피해 금액만 120억원대로 파악됐다. 50대 이상 피해자가 전체 80~90％에 달했으며, 가장 큰 피해를 본 경우는 60대로 모두 4억 8500만원을 뜯겼다. 이들이 저지른 스미싱 범죄에는 전국 수사관서에 미제로 남겨진 사건 900여건이 포함된 것으로 파악됐다. 경찰은 수사 과정에서 본인 인증 체계의 취약점을 확인해 통신사 2곳과 금융기관 2곳에 보안 강화 후속 조치를 주문했다. 경찰 관계자는 “지인 명의의 문자메시지라도 전화를 통해 확인하는 등 경각심을 가져야 한다”고 말했다.