쿠팡에서 국민 4명 중 3명에 해당하는 대규모 정보 유출 사고가 발생한 것을 두고 회사 외형을 키우는 데 몰두한 나머지 정보보호에는 무감각했다는 비판이 거세지고 있다. 2023년부터 매년 10조원가량 매출이 뛰며 급속 성장을 해오는 동안 정보보호 투자 비중은 반대로 감소한 것으로 나타났다. 2010년 파격적인 할인 가격에 상품을 파는 ‘소셜커머스’로 출발했던 쿠팡이 로켓배송에 나선 것은 2014년이었다. 2012년 전통시장 활성화와 소상공인 보호라는 목적으로 개정된 유통산업발전법이 시행된 후였다. 개정법에 따라 대형 마트는 월 2회의 의무휴업일을 두고 밤 12시부터 오전 10시까지 영업을 할 수 없게 됐다. 점포 영업뿐 아니라 점포를 활용해 물건을 배송하는 새벽 배송에도 대형 마트가 나서지 못했던 이유다. 대형 마트가 규제를 받는 사이 빈자리를 쿠팡이 채우기 시작하면서 급속한 성장을 이뤘다. 지난 10년간 6조 2000억원을 들여 전국에 100여개의 물류 인프라를 구축했다. 쿠팡은 2023년 매출 31조 8298억원을 기록하며 이마트(연결 기준 매출 29조 4722억원)를 처음 넘어섰다. 지난해엔 매출 41조 2901억원을 기록했고 올해는 50조원 달성도 가능하단 예측이 나왔다. 반면 최근 4년간 쿠팡의 정보기술(IT) 투자 대비 정보보호 투자 비중은 꾸준히 하락했다. 한국인터넷진흥원(KISA)의 올해 공시에 따르면 쿠팡은 전체 IT 부문에 1조 9171억원을 투자했으며, 이 가운데 정보보호 부문에 투입한 금액은 890억원으로 전체의 4.6%에 그쳤다. 전체 정보보호 투자 공시 기업 773곳의 평균(6.28%)보다 낮은 수준이다. 정보보호 투자 비중을 연도별로 보면 2022년 7.1%(535억원), 2023년 6.9%(639억원), 지난해 5.6%(660억원)로 해마다 감소했다. 절대 규모만 놓고 보면 삼성전자, KT에 이어 세 번째로 많은 수준이지만 전체 IT 투자 증가 속도를 따라가지 못해 비중이 떨어진 셈이다. 매출 대비로 정보보호 투자 비중은 더 낮다. 쿠팡의 지난해 매출 대비 정보보호 부문 투자액은 0.2%로 같은 기간 카카오·SK텔레콤(0.7%), 네이버· KT(0.4%)보다 저조했다. 이를 두고 업계에선 “보안 투자에 상대적으로 소홀했던 것 아니냐”는 지적이 제기된다. 시장 지배자로 성장한 쿠팡은 구설에도 많이 올랐다. 지난해 검색 순위와 상품 후기를 조작했단 혐의로 공정거래위원회로부터 유통업계 사상 최대인 1682억원의 과징금을 부과받았다. 올해 국회 국정감사에선 물류 자회사인 쿠팡풀필먼트서비스의 퇴직금 미지급 사건과 관련해 검찰 내에서 불기소 압력이 있었단 의혹이 제기됐다. 최근엔 쿠팡이츠의 불공정한 약관에 대해서 공정위가 시정 조치를 내리기도 했다. 숱한 논란에도 쿠팡의 사업이 순항한 건 정치권과 정부 출신 인사를 대거 영입해온 것과 무관하지 않다. 올해 쿠팡 또는 그 계열사로 이직하기 위해 취업 심사를 받은 4급 보좌관은 총 9명이었다. 정부 출신 중에서 4급 이상 등 취업 심사 대상 퇴직자 9명이 올해 쿠팡이나 그 계열사에 취직했다. 일각에서는 쿠팡이 대관과 로비에만 집중하고 정작 보안이나 내부 근로환경 개선에는 소극적이었다는 비판이 제기된다. 한편 국회는 쿠팡 및 유관 기관 관계자들을 출석시켜 긴급 현안 질의를 진행한다. 2일에는 국회 과학기술정보방송통신위원회에서, 3일에는 정무위원회에서 각각 현안 질의를 한다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글 내용은) 사실이 아니다”라고 입장을 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글 내용은) 사실이 아니다”라고 입장을 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

쿠팡의 대규모 개인정보 유출 사태가 확인되면서 소니나 야후 해킹에 버금가는 수준의 글로벌급 사고로 번질 수 있다는 우려가 커지고 있다. 단순한 이메일·비밀번호 유출을 넘어 집주소·배송기록·공동현관 비밀번호 등 생활형 정보까지 포함된 것으로 알려져 2차 피해 경고도 잇따르고 있다. 경찰, 피의자 IP 확보…협박 메일 2개 계정 추적 중 서울경찰청 사이버수사대는 1일 “쿠팡 측으로부터 서버 로그기록을 제출받아 분석 중이며 피의자가 사용한 IP를 확보해 추적 중”이라고 밝혔다. 경찰은 ‘회원들의 개인정보를 가지고 있다’며 협박성 이메일을 보낸 계정 2개에 대해서도 송신 경로를 추적하고 있다. 이메일은 지난달 16일과 25일 두 차례 발송됐고 동일인 소행인지 실제 유출자와 동일인인지 여부가 수사 중이다. 앞서 쿠팡에서 근무했던 중국 국적의 전직 직원이 고객 정보를 빼돌린 뒤 협박성 이메일을 보낸 정황이 포착됐다. 피의자가 이미 퇴사 후 출국한 상태로 확인되자 경찰은 국제 공조 수사에 나섰다. 30억 계정 털린 야후…역대 최대 유출 사건 2013~2014년 발생한 야후 해킹 사건은 역사상 최대 규모의 개인정보 유출로 기록됐다. 당시 약 30억 개 계정의 이름, 이메일 주소, 전화번호, 생년월일, 암호화된 비밀번호, 보안 질문·답변이 노출됐다. 이 사건은 2017년 야후의 매각 과정에도 직접적인 영향을 미쳐 인수 주체였던 버라이즌이 인수가를 3억 5000만 달러(약 4000억 원·모든 원화 환산은 사건 발생 당시 환율 기준) 낮췄다. 야후는 결국 피해자들과의 집단소송에서 총 1억 1750만 달러(약 1338억 원)의 합의금을 지급했다. 다만 전체 30억 계정이 아닌 실제 보상 대상은 약 1억 9400만 명 규모로 추정됐고 신청서를 제출한 이용자만 최대 358달러(약 40만 원) 한도 내에서 보상받았다. 소니 PSN 해킹…“기업 신뢰 무너진 상징적 사건” 2011년에는 일본 소니의 플레이스테이션 네트워크(PSN)가 해킹당해 7700만 명의 회원정보와 신용카드 정보가 유출됐다. 소니는 24일간 서비스를 중단하고 PSN 이용자 전원에게 무료 게임 2편과 30일 무료 이용권을 제공하는 등 사과·보상 조치를 취했다. 영국 당국은 정보보호법 위반으로 과징금을 부과했고 일본에서는 “기업 신뢰 붕괴”라는 여론이 확산되며 ‘소니 쇼크’라는 표현이 등장했다. 에퀴팩스·메리어트 등 글로벌 기업들도 잇단 유출 2017년 미국 신용평가사 에퀴팩스는 시스템 취약점을 방치한 채 수개월간 보안 경고를 무시하다가 1억 4700만 명의 신용정보가 유출됐다. 이 사건으로 경영진이 사퇴하고 미 의회 청문회가 열리는 등 파문이 컸다. 회사는 집단소송 합의로 총 7억 달러(약 8300억 원) 규모의 보상·과징금 패키지를 마련했으나 피해자 대부분은 애초 약속된 125달러 대신 10~20달러(약 1만~2만 원대)의 실보상만 받았다. 이듬해에는 세계 최대 호텔 체인 메리어트 인터내셔널의 예약망이 해킹돼 최대 5억 명의 투숙객 정보가 새나갔다. 영국 정보보호당국은 1840만 파운드(약 276억 원)의 과징금을 부과했고 미국·캐나다 등에서도 집단소송이 제기됐으며 피해 신고 고객을 대상으로 최대 100달러(약 12만 원) 수준의 보상이 제공됐다. 쿠팡, 외부 해킹 아닌 내부자 소행 정황쿠팡의 피해 규모(3370만 건)는 야후(30억)나 메리어트(5억)에 비하면 작지만 노출된 정보의 현실적 민감도는 훨씬 높다는 평가가 나온다. 특히 이름·주소·휴대전화번호뿐 아니라 공동현관 비밀번호, 배송 위치, 가족 구성 등 생활 공간과 연결된 정보가 포함돼 피해가 장기화될 가능성이 제기된다. 쿠팡은 “시스템 외부 침입 흔적은 없다”며 내부 비인가 조회로 인한 유출임을 시사했다. 보안 업계는 “이건 단순한 기술적 해킹이 아니라 내부 통제 실패”라며 기업의 데이터 접근 권한 관리가 허술했다는 점을 문제로 지적하고 있다. 집단소송, 실제 보상은 얼마나 받나 이번 사태를 계기로 해외 기업의 집단소송 보상 구조에도 관심이 쏠리고 있다. 미국 등에서는 대표 원고와 변호사단이 전체 피해자를 대신해 소송을 제기하며 개별 피해자는 변호사비를 직접 내지 않지만 전체 합의금의 20~40%가 수임료와 행정비용으로 공제된다. 결과적으로 1인당 보상액은 매우 낮아지는 구조다. 예를 들어 에퀴팩스 사건의 경우 총 7억 달러 중 약 25%가 변호사비로 빠졌고 피해자 대부분은 약속된 125달러 대신 10~20달러 수준만 받았다. 이처럼 집단소송은 금전적 보상보다 기업의 책임을 공식화하는 징벌적 절차라는 평가가 많다. 정부 조사 및 과징금 전망정부는 개인정보보호위원회와 과기정통부, 민간 보안 전문가들이 참여하는 민관합동조사단을 구성해 사고 원인을 조사 중이다. 개인정보보호법 개정으로 위반 시 전년도 매출의 최대 3%까지 과징금을 부과할 수 있어 쿠팡이 수천억 원대 제재를 받을 가능성도 제기된다. 앞서 2024년 SK텔레콤은 개인정보 유출로 역대 최대인 1347억 원의 과징금을 부과받았다. “사과보다 복구 중심 대응이 신뢰 회복의 출발점”쿠팡 사태는 한 기업의 보안 실패를 넘어 국민 대다수의 생활 정보가 얼마나 취약한지 드러낸 사건으로 평가된다. 데이터가 곧 신뢰가 되는 시대, 이번 사태가 ‘한국판 개인정보 위기’로 기록되지 않으려면 신속하고 투명한 대응이 필요하다.

쿠팡의 대규모 개인정보 유출 사태가 확인되면서 소니나 야후 해킹에 버금가는 수준의 글로벌급 사고로 번질 수 있다는 우려가 커지고 있다. 단순한 이메일·비밀번호 유출을 넘어 집주소·배송기록·공동현관 비밀번호 등 생활형 정보까지 포함된 것으로 알려져 2차 피해 경고도 잇따르고 있다. 경찰, 피의자 IP 확보…협박 메일 2개 계정 추적 중 서울경찰청 사이버수사대는 1일 “쿠팡 측으로부터 서버 로그기록을 제출받아 분석 중이며 피의자가 사용한 IP를 확보해 추적 중”이라고 밝혔다. 경찰은 ‘회원들의 개인정보를 가지고 있다’며 협박성 이메일을 보낸 계정 2개에 대해서도 송신 경로를 추적하고 있다. 이메일은 지난달 16일과 25일 두 차례 발송됐고 동일인 소행인지 실제 유출자와 동일인인지 여부가 수사 중이다. 앞서 쿠팡에서 근무했던 중국 국적의 전직 직원이 고객 정보를 빼돌린 뒤 협박성 이메일을 보낸 정황이 포착됐다. 피의자가 이미 퇴사 후 출국한 상태로 확인되자 경찰은 국제 공조 수사에 나섰다. 30억 계정 털린 야후…역대 최대 유출 사건 2013~2014년 발생한 야후 해킹 사건은 역사상 최대 규모의 개인정보 유출로 기록됐다. 당시 약 30억 개 계정의 이름, 이메일 주소, 전화번호, 생년월일, 암호화된 비밀번호, 보안 질문·답변이 노출됐다. 이 사건은 2017년 야후의 매각 과정에도 직접적인 영향을 미쳐 인수 주체였던 버라이즌이 인수가를 3억 5000만 달러(약 4000억 원·모든 원화 환산은 사건 발생 당시 환율 기준) 낮췄다. 야후는 결국 피해자들과의 집단소송에서 총 1억 1750만 달러(약 1338억 원)의 합의금을 지급했다. 다만 전체 30억 계정이 아닌 실제 보상 대상은 약 1억 9400만 명 규모로 추정됐고 신청서를 제출한 이용자만 최대 358달러(약 40만 원) 한도 내에서 보상받았다. 소니 PSN 해킹…“기업 신뢰 무너진 상징적 사건” 2011년에는 일본 소니의 플레이스테이션 네트워크(PSN)가 해킹당해 7700만 명의 회원정보와 신용카드 정보가 유출됐다. 소니는 24일간 서비스를 중단하고 PSN 이용자 전원에게 무료 게임 2편과 30일 무료 이용권을 제공하는 등 사과·보상 조치를 취했다. 영국 당국은 정보보호법 위반으로 과징금을 부과했고 일본에서는 “기업 신뢰 붕괴”라는 여론이 확산되며 ‘소니 쇼크’라는 표현이 등장했다. 에퀴팩스·메리어트 등 글로벌 기업들도 잇단 유출 2017년 미국 신용평가사 에퀴팩스는 시스템 취약점을 방치한 채 수개월간 보안 경고를 무시하다가 1억 4700만 명의 신용정보가 유출됐다. 이 사건으로 경영진이 사퇴하고 미 의회 청문회가 열리는 등 파문이 컸다. 회사는 집단소송 합의로 총 7억 달러(약 8300억 원) 규모의 보상·과징금 패키지를 마련했으나 피해자 대부분은 애초 약속된 125달러 대신 10~20달러(약 1만~2만 원대)의 실보상만 받았다. 이듬해에는 세계 최대 호텔 체인 메리어트 인터내셔널의 예약망이 해킹돼 최대 5억 명의 투숙객 정보가 새나갔다. 영국 정보보호당국은 1840만 파운드(약 276억 원)의 과징금을 부과했고 미국·캐나다 등에서도 집단소송이 제기됐으며 피해 신고 고객을 대상으로 최대 100달러(약 12만 원) 수준의 보상이 제공됐다. 쿠팡, 외부 해킹 아닌 내부자 소행 정황쿠팡의 피해 규모(3370만 건)는 야후(30억)나 메리어트(5억)에 비하면 작지만 노출된 정보의 현실적 민감도는 훨씬 높다는 평가가 나온다. 특히 이름·주소·휴대전화번호뿐 아니라 공동현관 비밀번호, 배송 위치, 가족 구성 등 생활 공간과 연결된 정보가 포함돼 피해가 장기화될 가능성이 제기된다. 쿠팡은 “시스템 외부 침입 흔적은 없다”며 내부 비인가 조회로 인한 유출임을 시사했다. 보안 업계는 “이건 단순한 기술적 해킹이 아니라 내부 통제 실패”라며 기업의 데이터 접근 권한 관리가 허술했다는 점을 문제로 지적하고 있다. 집단소송, 실제 보상은 얼마나 받나 이번 사태를 계기로 해외 기업의 집단소송 보상 구조에도 관심이 쏠리고 있다. 미국 등에서는 대표 원고와 변호사단이 전체 피해자를 대신해 소송을 제기하며 개별 피해자는 변호사비를 직접 내지 않지만 전체 합의금의 20~40%가 수임료와 행정비용으로 공제된다. 결과적으로 1인당 보상액은 매우 낮아지는 구조다. 예를 들어 에퀴팩스 사건의 경우 총 7억 달러 중 약 25%가 변호사비로 빠졌고 피해자 대부분은 약속된 125달러 대신 10~20달러 수준만 받았다. 이처럼 집단소송은 금전적 보상보다 기업의 책임을 공식화하는 징벌적 절차라는 평가가 많다. 정부 조사 및 과징금 전망정부는 개인정보보호위원회와 과기정통부, 민간 보안 전문가들이 참여하는 민관합동조사단을 구성해 사고 원인을 조사 중이다. 개인정보보호법 개정으로 위반 시 전년도 매출의 최대 3%까지 과징금을 부과할 수 있어 쿠팡이 수천억 원대 제재를 받을 가능성도 제기된다. 앞서 2024년 SK텔레콤은 개인정보 유출로 역대 최대인 1347억 원의 과징금을 부과받았다. “사과보다 복구 중심 대응이 신뢰 회복의 출발점”쿠팡 사태는 한 기업의 보안 실패를 넘어 국민 대다수의 생활 정보가 얼마나 취약한지 드러낸 사건으로 평가된다. 데이터가 곧 신뢰가 되는 시대, 이번 사태가 ‘한국판 개인정보 위기’로 기록되지 않으려면 신속하고 투명한 대응이 필요하다.

쿠팡이 퇴사한 직원에 의해 3370만명의 개인정보가 유출된 사건과 관련해 경찰이 피의자의 IP를 확보해 추적하고 있다고 1일 밝혔다. 서울경찰청 관계자는 이날 정례 간담회에서 “현재 쿠팡 측으로부터 서버 로그기록을 제출받아서 분석 중”이라며 “피의자가 범행에 사용한 IP를 확보해 추적 중”이라고 말했다. 경찰은 또한 “회원들의 개인정보를 가지고 있다”며 협박 이메일을 보낸 계정 2개도 추적하고 있다. 경찰에 따르면 지난달 16일 쿠팡 고객들에게, 이어 25일 쿠팡 고객센터 이메일 계정으로 협박 메일이 발송됐다. 경찰은 두 차례의 메일을 보낸 사람이 동일인인지, 또 쿠팡에서 개인정보를 유출해간 사람과 동일인인지를 파악 중이다. 피의자가 쿠팡에서 퇴사한 중국인으로 알려진 가운데 경찰은 “여러 가능성이 있어 제출된 자료를 바탕으로 분석하고 있다”고 설명했다. 쿠팡에서 근무했던 중국 국적 직원이 고객 정보를 유출했다는 의혹에 대해 서울청 관계자는 “여러 가능성이 있어 제출된 자료를 바탕으로 분석하고 있다”며 “(유력 용의자가 중국 국적일 가능성을) 포함해 수사 중이고 국적에 대해서는 말씀드리기 어렵다”라고 밝혔다. 이번에 개인정보가 유출된 3370만명은 사실상 쿠팡 전체 가입 계정 전체에 달하는 규모이며, 성인 4명 중 3명에 육박한다. 가입자의 이름과 전화번호, 주소 등 쉽게 바꿀 수 없는 인적 사항뿐 아니라 가입자들이 주문한 내역까지 유출된 탓에 피해 범위와 파장이 크다고 전문가들은 분석한다. 가입자들의 집 현관 앞까지 도달하는 택배 배송과 관련된 정보는 물론 가입자의 가족 구성원 및 생활 패턴을 들여다볼 수 있는 내밀한 정보까지 뚫린 셈이다. 가입자들은 쿠팡 탈퇴는 물론 아파트 공동현관에서 사용해왔던 출입 비밀번호를 바꾸는 등 대응에 나서고 있지만 이미 속수무책이라는 지적이 나온다. 7년 넘게 쿠팡을 이용해왔던 김모(39)씨는 “사실상 속옷 사이즈 관련 정보까지 넘어간 셈”이라며 “인제 와서 쿠팡을 탈퇴해봤자 늦은 것 같다. 내 개인정보는 해외에서 공공재처럼 떠돌아다닐 것”이라고 토로했다. 업계에서는 쿠팡이 수천억원대의 과징금 철퇴를 맞을 수 있다는 관측이 나온다. 2023년 개정된 개인정보보호법에 따르면 법 위반 시 전년도 전체 매출액의 최대 3%까지 과징금을 부과할 수 있다. 지난해 발생한 SK텔레콤의 개인정보 유출 사고와 관련해 SK텔레콤은 역대 최대 규모인 1347억 9000만원의 과징금을 부과받았다.

나경원 국민의힘 의원이 국내 전자상거래 1위 업체인 쿠팡에서 3000만건이 넘는 대규모 개인정보 유출 사고가 발생한 것과 관련, “이재명 대통령은 지금 즉시 중국 정부에 (유출 용의자) 체포와 국내 송환을 공식 요구해야 한다”고 주장했다. 나 의원은 지난 30일 자신의 페이스북에 올린 글에서 “쿠팡 고객 3370만명의 개인정보 유출 용의자인 중국인 쿠팡 전 직원이 중국으로 달아났다고 한다”며 이같이 말했다. 그는 “이름, 전화번호, 주소, 이메일, 일부 주문 내역까지 포함한 3370만 개인정보가 유출됐다. 싸이월드·SK텔레콤 사태를 뛰어넘는 역대급 개인정보 참사”라고 언급한 뒤 “중국의 수사력과 통제력을 감안하면 의지만 있으면 주요 용의자의 소재 파악과 신병 확보는 하루면 가능하다”고 했다. 나 의원은 이어 “이 대통령이 이 정도 사건에도 중국 정부에 정식 수사·체포·송환을 분명하게 요구하지 못한다면, 이 정권은 국민 기본권보다 중국 눈치를 먼저 보는 ‘친중 쎄쎄 정권’이라는 것을 자인하는 것”이라고 강조했다. 그는 아울러 “또한 정부는 국민의 2차 피해 방지 종합 대책도 즉시 마련해야 한다”며 “피해 규모 축소·은폐 의혹까지 자초한 쿠팡에도 이에 상응하는 책임을 반드시 물어야 한다”고 덧붙였다. 한편 쿠팡 고객 개인정보 유출 사고를 수사하는 경찰은 일각에서 쿠팡에서 근무했던 중국 국적 직원이 고객 정보를 유출했다는 의혹과 관련 신중한 입장인 것으로 전해졌다. 경찰은 지난달 21일 이 사건에 대해 입건 전 조사(내사)에 착수했으며, 25일 정보통신망법상 정보통신망 침입 혐의로 ‘성명불상자’를 수사해달라는 쿠팡의 고소장을 접수해 수사로 전환했다. 28일엔 쿠팡 측 고소인 조사를 마쳤다. 유재성 경찰청장 직무대행은 이날(30일) 정부서울청사에서 열린 관계 부처 긴급 대책회의에서 “다수의 국민이 피해를 입은 사안인 만큼 철저한 수사를 통해 진상을 규명하고 피의자를 신속히 검거하겠다”고 약속했다. 박대준 쿠팡 대표는 이날 관계부처 긴급 대책회의 출석 전 기자들과 만나 “이번 사태로 인해 피해를 보신 쿠팡 고객들과 국민들께 심려를 끼쳐드려 너무 죄송한 말씀과 사과의 말씀을 드린다”며 고개를 숙였다. 박 대표는 일각에서 제기된 ‘중국 국적 직원의 개인정보 유출’ 의혹과 관련해서는 “수사 영역이고 수사에 적극 협조 중”이라며 “그 얘기를 하는 것 자체가 수사에 영향을 주는 만큼 말씀드리기 어렵다”고 말을 아꼈다.

中업체, 고객 타기팅 정교화 우려SKT 사태보다 심각한 피해 예상배송지는 계정보다 더 많이 유출주소 이용 실제 범죄도 대응해야 쿠팡에서 국내 인구 4분의3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생한 가운데 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 명예교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠 갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있는 만큼 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보가 복제폰을 만드는 데 악용될 수 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에 쓰일 가능성에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼 있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 말했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유는 중국에 개인정보가 유출되는 걸 우려하기 때문인데, 이번 사태로 어떤 제품을 샀는지 기질·성향을 나타내는 개인 식별 정보가 넘어가게 될 경우 중국 이커머스가 고객 타기팅을 더 정교화하는 데 쓰일 수 있다”고 지적했다. 이 경우 쿠팡뿐 아니라 국내 이커머스 산업 전체가 타격을 받을 수도 있다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”며 “이 경우 2차 피해가 즉각 일어나지 않고 소비자 경계가 느슨해진 뒤에 발생하기 때문에 쿠팡 때문인지 알 수 없게 되는 등 원인과 규모를 특정하기도 어려워 소비자 피해는 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개 이상의 배송지 정보를 입력했을 가능성이 높기 때문이다. 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이라는 전망도 나온다.

3370만명 고객정보 무단 노출 확인중국 국적 전 직원이 정보 빼돌린 듯카드·통신 사고 이어 불안감 확산 국내 1위 온라인 유통 기업인 쿠팡에서 우리나라 국민의 절반이 넘는 약 3370만명의 고객 계정 정보가 무단으로 노출되는 초유의 사고가 벌어지면서 국민 불안이 소위 포비아(공포증) 수준으로 치닫고 있다. 역대 최대 규모의 고객 정보 유출인 데다 쿠팡이 5개월간 지속된 개인정보 탈취 시도조차 인지하지 못했기 때문이다. 이번 사고가 중국 국적의 내부자 소행이라는 언급도 나온다. 전문가들은 이 사태가 스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격)이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고했다. 쿠팡이 고객 계정의 이름, 이메일, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보가 노출된 사실을 지난 29일 확인한 가운데 박대준 쿠팡 대표는 30일 정부서울청사에서 “국민 여러분께 불편을 끼쳐 드려 진심으로 사과드린다”며 첫 사과에 나섰다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 노출된 사실을 인지했다고 밝혔지만 후속 조사에서 7500배나 많은 3370만개가 유출된 것으로 확인됐다. 쿠팡 구매 이력이 있는 고객 수(2470만명)보다 900만명이나 많고, 역대 최대 과징금인 1348억원 처분을 받은 SK텔레콤의 개인정보 유출 규모(2324만명)도 크게 웃돈다. 쿠팡은 지난 6월 24일부터 5개월 동안 지속된 개인정보 탈취 시도를 전혀 파악하지 못했다는 점에서도 책임을 피하기 어려워 보인다. 여기에 중국 국적의 전 쿠팡 직원이 고객 정보를 유출했다는 의혹도 제기됐다.  경찰은 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의 제출받아 분석 중이다. 경찰은 “모든 가능성을 열어 두고 절차에 따라 수사하고 있다”고 전했다. 다만 쿠팡 측은 내부 직원 소행 가능성에 대해선 확인이 어렵다는 입장이다. 쿠팡은 이날 오후 웹사이트와 애플리케이션에 게재한 사과문에서 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않아 고객이 계정 관련해 조치를 취할 필요는 없다”고 밝혔다. 하지만 전문가들은 이번 사고가 스미싱이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고한다. 한국인터넷진흥원(KISA)은 ‘피해 보상’이나 ‘피해 사실 조회’, ‘환불’ 등의 키워드로 피해 기업(쿠팡)을 사칭하는 스미싱이나 보이스피싱 등에 주의할 것을 권고했다. 김기형 아주대 사이버보안학과 교수는 “최근 주문 건에 문제가 있다며 주소나 연락처를 다시 확인하라는 식의 피싱이 대표적”이라면서 “문자, 전화, 카카오톡 등 어떤 채널에서도 모르는 링크는 클릭하지 않는 것이 중요하다”고 말했다. 정보 유출 경로가 오리무중인 상황에서 피해를 본 소비자들은 분통을 터뜨리고 있다. 빠른 배송 때문에 쿠팡을 애용했다는 구정순(62)씨는 이번 사태가 터지자마자 쿠팡을 탈퇴했다. 구씨는 “회사가 정확한 진단이나 대책을 내놓지 못해 정보가 유출된 피해자만 발을 동동 구르고 있다”며 “‘전화번호는 노출됐는데 카드 정보와 비밀번호는 노출되지 않았다’는 회사의 설명을 어떻게 믿겠느냐”고 말했다. 일부 고객 사이에서는 공동 현관 비밀번호도 털렸을 수 있다는 불안감이 높은 상황이다. 쿠팡의 경우 음식이나 택배 배송 요청란에 아파트 공동 현관 비밀번호를 쓰는 경우가 많고 이를 배송 정보로 관리하기 때문이다.

쿠팡에서 국내 인구 4분의 3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생하자, 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있어서 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보로 복제폰을 만드는데 악용될 가능성이 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유가 중국에 개인정보가 넘어갈까봐였는데, 이번 사태로 개인이 식별되는 정보가 넘어가게 될 경우 중국 이커머스가 고객 타겟팅을 더 정교화하는데 쓰일 수 있다”고 말했다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”면서 “3차 피해는 쿠팡 때문인지 특정할 수도 없고 피해 규모를 규명하기도 어려워 소비자 피해가 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개의 배송지 정보를 입력했을 가능성이 높기 때문이다. 이 경우 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이란 전망도 나온다. 전문가들은 피해를 본 소비자라면 보이스피싱, 스미싱 등에 유의할 것을 당부했다. 한국인터넷진흥원(KISA)은 출처가 불분명한 사이트 주소(링크)가 포함된 문자 메시지를 받은 경우 클릭하지 말고 바로 삭제하라고 권고한다. 의심되는 사이트 주소는 정상 사이트와 일치하는지 확인하는 편이 좋다. 카카오톡 채널 ‘보호나라’를 활용해 스미싱·피싱 사이트 여부를 확인하고 신고할 수 있다. 번호 도용 가능성이 의심된다면 이동통신사에서 제공하는 ‘번호도용문자 차단서비스’를 신청할 수 있다. 개인정보보호위원회가 운영하는 ‘개인정보포털’은 개인정보의 다크웹 유출 여부, 분쟁 조정 등의 서비스를 제공한다.

3370만개에 달하는 쿠팡 고객 계정의 개인정보 유출은 외부 해킹이 아닌 내부자 소행으로 보이는 정황이 있는 것으로 전해졌다. 30일 연합뉴스 등에 따르면 서울경찰청 사이버수사대는 지난 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아 개인정보 유출 사태에 대한 수사에 착수했다. 쿠팡의 고소장에 피고소인이 특정되지 않고 ‘성명불상자’로 기재됐지만, 내부에서 고객 정보를 비인가 조회한 주체가 쿠팡에 근무했던 중국 국적자로 추정된다고 연합뉴스는 보도했다. 이 직원이 외국 국적자인 데다 이미 쿠팡을 퇴사해 한국을 떠난 것으로 전해지면서 수사가 쉽지 않은 것 아니냐는 우려도 나온다. 쿠팡은 앞서 이번 정보 유출 사고가 해킹 등 외부 요인에 따른 것이 아님을 시사한 바 있다. 쿠팡은 정보 유출 피해 고객 계정이 4500여개라고 발표했던 지난 20일 당시 입장문에서 “고객 개인정보가 비인가 조회된 것으로 확인됐다. 쿠팡 시스템과 내부 네트워크망의 외부 침입 흔적은 없는 것으로 확인했다”고 밝혔다. 쿠팡은 현재까지 고객 계정 약 3370만개가 유출된 것을 확인했다. 이는 국내 성인 4명 중 3명의 정보에 해당하며 사실상 쿠팡 전체 계정에 맞먹을 것으로 추정되는 규모다. 유출 정보는 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보 등이다. 또 쿠팡은 정보 침탈 시도가 이미 5개월 전인 지난 6월 24일 시작된 것으로 보고 있다. SK텔레콤과 KT 등 최근 발생한 대규모 정보 유출 사건은 주로 외부 해킹에 의한 것이었으나, 이번 사태는 내부 직원의 소행으로 추정되면서 쿠팡의 내부 관리 허점이 드러났다는 지적이 나온다. 쿠팡의 이번 고객 정보 유출 규모는 지난 2011년 약 3500만명이 정보 유출 사태를 겪은 싸이월드·네이트 사례와 맞먹는다. 당시 이 사고는 해킹으로 인한 것이었다. 개인정보 보호 위반으로 개인정보보호위원회로부터 역대 최대 과징금(1348억원) 처분을 받은 SK텔레콤의 개인정보 유출 역시 해킹 사고였다. 한편 경찰 수사와 별개로 정부는 민간과 합동조사단을 꾸려 사고 원인 분석에 나선 상황이다. 과학기술정보통신부는 쿠팡 침해사고 및 개인정보 대규모 유출 사고와 관련해 민관합동조사단을 꾸려 사고 원인 분석 및 재발 방지 대책을 마련할 계획이다.

국내 전자상거래(이커머스) 시장 1위 업체인 쿠팡의 대규모 개인정보 유출이 반년 전부터 발생했을 가능성이 제기되면서 소비자들 사이에서 불안과 우려가 커지고 있다. 정부는 민간과 합동조사단을 꾸려 사고 원인 분석에 나섰고, 경찰은 수사에 착수했다. 30일 유통업계에 따르면 쿠팡은 전날 오후 “고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다”고 공지했다. 쿠팡은 노출된 고객 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 ‘제한’됐고, 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 이어 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 덧붙였다. 고객의 민감한 개인정보 탈취 시도가 이미 5개월 전에 시작됐다는 것이다. 쿠팡은 이번 유출 사고를 지난 18일에서야 인지하고 지난 20일과 전날 각각 관련 내용을 개인정보보호위원회에 신고했다. 개인정보보호위는 현재 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인 정보 유출 사태에 대한 수사에 착수했다. 전자상거래를 이용하는 국민이라면 대부분 쓰고 있다고 볼 수 있는 쿠팡에서 대규모 고객 정보 유출 사고가 발생하면서 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 전날 관련 기사에는 “개인정보 털렸는데 그냥 미안하다고 문자 하나만 띡 보내면 다냐”, “요즘 광고 전화 너무 많이 오더니”, “전 국민 털렸네” 등 정보 유출에 대한 불안과 분노 섞인 댓글이 달렸다. 또 고객의 이름과 이메일, 전화번호, 주소만으로도 분히 사기 등의 범죄에 악용될 수 있다는 지적도 나온다. 특히 주소가 유출되면서 문 앞 배송을 원활히 하기 위해 기재한 공동 현관 비밀번호까지 다 노출된 것 아니냐는 불안까지 제기되고 있다. 쿠팡이 피해 규모를 9일 만에 약 7500배로 조정한 것을 두고도 향후 조사 결과에 따라 피해 규모가 더 커질지도 모른다는 추측도 나온다. 또 지난 6월부터 정보 탈취 시도가 있었던 것으로 확인된 만큼 정보 유출이 수개월에 걸쳐 이뤄졌을 가능성도 제기된다. 쿠팡은 지난 20일 정보 유출 피해 고객 계정이 4500여개라고 발표했으나 29일에는 3370만개라고 다시 공지했다. 쿠팡이 지난 3분기 실적 발표 당시 언급한 프로덕트 커머스 부분 활성고객(구매 이력이 있는 고객)이 2470만명인데 이보다 훨씬 많은 수준이다. 사실상 전체 고객의 정보가 유출된 것으로 보인다. 또 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만명)를 뛰어넘는 규모다. 다른 기업들의 보안 관련 사고에서도 당국의 조사가 진행되면서 피해 규모는 더 커졌다. 앞서 사이버 침해 사고가 발생한 롯데카드의 경우 지난 9월 4일 사과문에서는 “현재까지 조사한 결과에 따르면 고객 정보 유출 사실은 확인되지 않았다”고 공지했으나, 그로부터 2주 뒤에는 카드번호뿐 아니라 CVC번호 등 민감 정보까지 유출됐다고 밝혔다. KT의 경우 해킹 사고 처리 과정에서 서버를 폐기해 증거를 은닉했다는 의혹이 제기돼 경찰이 이달 강제수사에 착수했다.

“이번 통신사 해킹은 단순 범죄가 아니라 국가 핵심 인프라로 접근할 수 있는 관문이 뚫렸다는 국가적 사이버 공격의 시작입니다.” 국정원 출신 채성준 서경대 군사학과 교수는 서울신문 유튜브 채널 ‘시냅스-당신을 깨우는 지식’에 출연해 최근 벌어진 통신사 대규모 해킹과 관련, 현 체계의 통합 사이버 보안 부재를 지적했다. 그는 “미국 사이버안보인프라국(CISA)처럼 국가 차원의 사이버 안보 컨트롤타워가 필요하며, 이를 뒷받침할 사이버안보법 제정과 시행령 마련도 시급하다”고 강조했다. 올해 SK텔레콤과 KT에서 대규모 해킹 사태가 잇따라 발생한 데 이어 LG유플러스에서도 내부망 침투 정황이 확인되면서 “더 이상 개별 사고로 볼 수 없다”는 지적이 나오고 있다. 반복되는 사이버 해킹 사고를 막기 위해 채 교수와 함께 대안을 짚어봤다. 1. 통신사 해킹은 ‘국가적 사이버 공격’의 초입 채 교수는 “3대 통신사가 모두 공격받았다는 건 국가 주요 인프라에 대한 광범위한 침입이 이미 진행됐다는 의미”라고 분석했다. 그는 “전문가들은 일련의 사건을 국가 사이버 공격의 초기 단계로 판단한다”며 “(LG유플러스의 경우) 해커들이 외주 보안업체 계정의 취약점을 이용해 내부망에 침투했고, 결국 통신망을 관문 삼아 금융·공공·국가기관 등 핵심 인프라 전체로 확장될 수 있는 구조적 위험이 온 것”이라고 지적했다. 채 교수는 “한국이 IT 강국임에도 ‘해킹 맛집’이라는 오명을 듣지 않으려면, 국가 차원의 대응뿐 아니라 개인 보안 인식도 함께 강화돼야 한다”고 말했다. 2. 돈만 ‘탈탈’ 털리는 게 아니다… VIP 동향·약점까지 노출 채 교수는 “통신사 해킹은 자금이 인출되는 수준을 넘어 유력 인사들의 동향과 약점까지 노출될 수 있다는 점이 가장 큰 문제”라고 말했다. 그는 “통화 패턴만 분석해도 정치인·기업인·언론인 등 VIP 네트워크가 그대로 드러난다”며 “통신사 보유 데이터가 국가 전체의 움직임을 읽을 수 있는 핵심 데이터 허브”라고 지적했다. 이어 “개인의 약점을 활용한 협박에 악용될 위험도 있다”며 “이번 사태는 단순한 개인정보 유출을 넘어 국가 사회 시스템 전반에 파급력을 미칠 수 있는 문제”라고 강조했다. 3. 정보 유출은 맞춤형 범죄 설계의 ‘원료’가 된다 채 교수는 “유출된 정보는 다크웹에서 대량 거래되며, 이후 절차는 이미 정형화된 ‘범죄 공정’처럼 운영된다”고 주장했다. 그는 “메시지와 전략을 개인화할수록 성공 확률이 높아지기 때문에, 범죄 조직 내에서 고액 대출자·최근카드 발급자 등 그룹별로 타겟 맞춤형 피싱 멘트를 제작한다”며 “주로 피해자에게 계좌나 송금을 유도하는 방식으로 ‘머니뮬(money mules)’이라 불리는 대리 구매자들을 통해 추적이 불가능하게 만드는 것”이라고 분석했다. 4. 진짜 문제는 ‘관리·대응 체계’의 부실 채 교수는 한국이 국제 해킹 조직의 주요 표적이 된 근본적 이유로 ‘통합 보안 대응 체계’의 구조적 부실을 지적했다. 그는 “현재 사이버보안 체계가 ▲민간(과학기술정보통신부)▲공공(국정원)▲군(국방부)으로 분산돼 있어 국가 차원의 위협을 실시간으로 통합 대응하기 어렵다”고 분석했다. 이어 “미국 사이버안보인프라국(CISA)처럼 위협 정보를 한곳에서 수집·공유·조율할 수 있는 국가 단위 컨트롤타워가 필요하며, 이를 위해 사이버안보법 제정과 시행령 마련이 반드시 뒤따라야 한다”고 강조했다. 이어 채 교수는 “국가기관이나 통신사가 OTP 번호를 요구하는 일은 절대 없다. 이런 요구는 모두 범죄로 봐야 한다”며 “개인의 작은 정보 유출이 기업과 공공기관을 거쳐 결국 국가 안보 위협으로까지 확대될 수 있다는 점을 반드시 기억해야 한다”고 덧붙였다. [시냅스]서울신문 영상미디어센터가 선보이는 지식 교양 채널입니다. 뇌의 신경세포를 잇는 시냅스처럼, 세상 곳곳의 흩어진 정보와 이야기를 연결하고자 합니다. 지식은 연결될 때 힘이 됩니다. 지금, 당신의 시냅스를 깨워드립니다.

SK텔레콤과 SK AX가 아마존웹서비스(AWS)와 전략적 협력 협약(SCA)을 체결하고 인공지능(AI) 클라우드 분야 공략에 나선다고 27일 밝혔다. SK텔레콤의 통신 및 AI 기술에 SK AX의 AI 구축·운영 노하우, AWS의 글로벌 클라우드 인프라를 결합해 차별화된 서비스를 제공하겠다는 구상이다. SKT와 SK AX는 생성형 AI 서비스 ‘아마존 베드록’과 ‘세이지메이커’ 등 AWS의 서비스들을 내재화한 바 있다. 3사는 이 경험을 바탕으로 금융∙게임∙공공∙스타트업 등 산업 특성과 기업 고객의 상황에 맞는 맞춤형 AI 솔루션을 구축한다.

SK텔레콤이 26일 삼성전자와 6G 이동통신 기술 선도를 위한 업무협약(MOU)을 체결하고 인공지능 기반 무선접속망(AI-RAN) 공동 연구를 본격화한다고 밝혔다. AI 기반의 차세대 네트워크 기술 경쟁력을 강화하고 6G 상용화 발판을 마련하기 위해서다. 구체적으로 ▲AI 기반 채널 추정 기술 ▲분산형 다중 안테나 송수신 기술 ▲AI-RAN 기반 스케줄러 및 코어 네트워크 기술 등 6G 핵심 기술을 함께 연구하고 실증할 계획이다. SKT 네트워크기술담당과 삼성전자 삼성리서치가 공동 연구를 주도하기로 했다.

정부가 연내에 3G·LTE 주파수 재할당 방침을 발표하기로 한 가운데 SK텔레콤과 LG유플러스가 각각 60㎒, 40㎒를 보유한 LTE 2.6㎓(기가헤르츠) 대역의 가격 산정이 최대 쟁점으로 떠올랐다. 20일 통신업계에 따르면 SK텔레콤과 LG유플러스는 LTE 2.6㎓(기가헤르츠) 대역의 주파수를 각각 낙찰가 1조 2777억원(60㎒), 2169억원(40㎒)을 주고 할당받아 사용 중이다. 단가로 환산하면 SK텔레콤은 연간 1㎒당 21억 3000만원, LG유플러스는 10억 8000만원으로 비용이 2배 이상 차이 난다. 재할당 가격 산정을 앞둔 SK텔레콤은 10년 전 낙찰가 기준을 재할당에도 적용해 LG유플러스보다 계속 2배가량 비싼 비용을 지불하는 것은 불합리하다고 주장한다. 2013년엔 LG유플러스가 해당 주파수 대역을 개척하면서 싸게 들어갔지만, 이미 개관된 대역에 당시 혜택을 동일하게 적용하는 것은 ‘동일 대역, 동일 대가’ 원칙에 맞지 않다는 것이다. 반면 LG유플러스는 주파수 가격이 경매 당시 시장 상황과 재할당 대가 등을 종합적으로 고려해 통신사가 스스로 정한 것인데, 이를 재할당 시점에 변경해달라는 것은 제도 일관성에 부합하지 않는다고 반박했다. 업계에서는 5세대(5G) 통신으로 넘어가면서 LTE 주파수의 가치 하락을 반영해 할당 대가를 낮춰야 한다는 목소리도 나온다.

SK텔레콤이 유심 해킹 사태로 개인정보 유출 피해를 본 고객들에게 1인당 30만원을 배상하도록 한 개인정보보호위원회 분쟁조정위원회의 조정안을 수용하지 않겠다고 20일 밝혔다. SK텔레콤 관계자는 “조정위의 결정을 존중하지만, 사고 후 회사가 취한 선제적 보상과 재발 방지 조치가 조정안에 충분히 반영되지 않아 수용하지 않기로 했다”면서 “다만 고객 신뢰 회복과 추가 피해 예방을 위한 조치는 계속 이어갈 것”이라고 전했다. 앞서 분쟁조정위는 지난 4일 SK텔레콤에 피해 고객 3998명에 대해 1인당 30만원 지급을 권고하는 조정안을 내놓았다.

정부, 연내 주파수 재할당 방침 발표2.6㎓ 단가 SKT 21.3억 vs LGU+ 10.8억 정부의 3G·LTE 주파수 재할당 방침에 관한 발표를 앞두고 조 단위에 이르는 주파수 할당 대가(가격)가 어떻게 산정될지 통신업계 관심이 쏠린다. 19일 통신업계에 따르면 과학기술정보통신부는 이달 말 공청회를 열어 재할당 방안을 공개하고, 이후 의견 수렴을 거쳐 연내 3G·LTE 주파수 재할당 방침을 발표할 예정이다. 주목되는 부분은 SK텔레콤과 LG유플러스가 각각 60㎒, 40㎒를 보유하고 있는 LTE 2.6㎓(기가헤르츠) 대역이다. 두 회사는 같은 LTE 주파수를 사용하고 있지만, SK텔레콤은 연간 1㎒당 21억 3000만원, LG유플러스는 10억 8000만원으로 비용이 2배 이상 차이나는 것으로 추산된다. LG유플러스는 2013년 이 주파수를 처음 할당받으면서 낙찰가 4788억원으로 싸게 들어간 반면, SK텔레콤은 2016년 1조 2777억원으로 다소 비싸게 낙찰받았기 때문이다. LG유플러스는 2021년 같은 주파수를 재할당 받으면서 첫 낙찰가보다 27.5% 할인받았고, SK텔레콤은 올해 가격을 산정한 뒤 2027년 재할당 받을 수 있다. SK텔레콤은 LTE 주파수의 가치가 처음 할당 시기와 많이 달라진 만큼 재할당 할 때의 가격은 첫 낙찰가격이 아닌 현재 주파수의 가치를 바탕으로 재산정해야 한다는 의견이다. “경매 낙찰가는 스스로 정한 가격”반면, LG유플러스는 해당 주파수를 아무도 사용하지 않을 때 LG유플러스가 개척한 것이고, SK텔레콤의 가격은 경매를 통해 SK텔레콤이 스스로 정한 것인데 이를 재할당 과정에서 변경해 달라는 것은 맞지 않다고 반박했다. 5G 이용자가 늘어나고 있지만 여전히 LTE 활용도가 적지 않은 만큼 통신업계에선 LTE 주파수 재산정 가격을 둘러싼 논란이 이어질 것으로 보인다.

정부 “3998명에 30만원씩 지급”수용 시 2300만명 확대 가능성업계 “자진신고 기피 등 부작용AI 기반 보안 강화가 핵심 대책” 개인정보보호위원회 산하 분쟁조정위원회가 SK텔레콤의 개인정보 유출 사건과 관련해 내린 배상 조정안의 수락 시한이 다가오면서 통신업계의 관심이 집중되고 있다. 현재 조정안이 수용되면 전체 고객(약 2300만명)에게 확대 적용될 가능성이 있어 SK텔레콤이 조정안을 거부할 소지가 높게 점쳐진다. 18일 통신업계에 따르면 개인정보분조위는 지난 4일 SK텔레콤 해킹 사태 피해 고객 3998명을 대상으로 1인당 30만원의 배상금을 지급하라는 조정 결정을 의결했다. SK텔레콤은 이튿날 조정안을 송달받았으며, 15일의 검토 기간이 끝나는 21일 자정까지 수락 여부를 통보해야 한다. 기한 내 입장을 밝히지 않으면 조정은 불성립으로 처리된다. 앞서 SK텔레콤은 조정안에 대해 “자발적인 보상 노력이 반영되지 않아 아쉽다”고 입장을 낸 만큼 이를 받아들이지 않을 거라는 전망이 대체적이다. 실제 SK텔레콤은 사고 발생 직후 1200만명 대상 무료 유심 교체, 7000억원 규모의 보안 혁신 투자 등을 시행했다. 그 영향은 실적에도 반영돼 올해 3분기 연결 기준 영업이익은 484억원으로 전년 대비 90.9% 급감했다. 지난 8월 개인정보위가 의결한 1348억원의 과징금 또한 회계상 비용으로 반영되면서 재무적 부담이 더욱 커진 상황이다. 이러한 조치에도 최대 7조원 규모로 확대될 수 있는 조정안이 나오면서 업계 전반에서는 이른바 ‘역인센티브’ 우려가 커지고 있다. 역인센티브란 제도가 의도한 취지와 달리, 기업이 오히려 사고 사실을 숨기거나 자진 신고를 꺼리게 만드는 부작용을 말한다. 배상 규모가 지나치게 클 경우 결국 소비자 요금 인상이나 보안 투자 축소로 이어질 수 있다는 지적도 나온다. 전문가들은 고액 배상이나 과징금만으로는 해킹 사태를 근본적으로 막기 어렵다는 점을 강조한다. 김태오 창원대 법학과 교수는 “어떤 정보가 유출됐는지에 따라 배상 규모가 달라지는 것이 타당한데, 1인당 30만원은 사실상 최고 수준”이라며 “기업 입장에서는 법정에서 다퉈볼 여지를 남긴 조정안”이라고 말했다. 결국 근본적인 소비자 보호는 신뢰 회복과 재발 방지에 있으며, 통신사와 IT 기업이 추진하는 ‘제로 트러스트’(Zero Trust) 등 AI 기반의 보안 모델 도입이 핵심 대책이라는 평가가 나온다. 제로 트러스트는 내부 시스템 접근자와 기기까지 잠재적 위협으로 간주해 접근을 엄격히 통제하는 보안 모델로, 업계에선 차세대 보안 체계로 주목받고 있다.

SK텔레콤·KT·LG유플러스 등 통신 3사가 모바일 인증 앱 ‘PASS’를 통해 각종 공공·금융기관 안내문을 받아볼 수 있는 전자고지 서비스를 공동으로 시작한다. 그동안 문자나 종이로 흩어져 전달되던 건강검진표, 환급 안내 등이 앞으로는 PASS 앱 하나로 확인 가능해지는 셈이다. 통신 3사는 18일 PASS 앱 내에 전자고지 기능을 새롭게 적용했다고 밝혔다. PASS는 국내 3,800만 명이 사용하는 대표 본인확인 플랫폼으로, 통신사 명의 정보와 연동돼 문서를 정확한 수신자에게 전달할 수 있다는 점이 강점으로 꼽힌다. 이번 서비스는 건강검진표, 자격 변동 안내, 본인부담금 환급 신청 안내 등 다양한 고지 문서를 스마트폰에서 바로 받아보고 열람할 수 있도록 한 것이 특징이다. PASS 인증서를 활용해 전자서명도 가능해지면서 종이 문서를 대체할 수 있는 기반도 갖췄다. 이용 편의성을 높이기 위한 기능도 강화했다. PASS 앱 첫 화면에서 전자고지 메뉴에 바로 들어갈 수 있고, 문서마다 남은 열람 기간이 표시된다. 문서를 아직 확인하지 않은 이용자에게는 추가 알림을 보내 중요한 안내를 놓치지 않도록 한다. PASS는 인증·본인확인 서비스 특성상 대부분의 이용자가 알림을 켜둔 채 사용하기 때문에 열람률이 높은 편이다. 실제 PASS 기반 ‘국민비서’ 서비스의 고지 열람률은 약 55% 수준이다. 그동안 통신 3사는 공공기관이 보내는 고지 문서를 주로 문자메시지로 전달하는 ‘공인알림문자’ 서비스를 운영해왔다. 이번 PASS 전자고지 도입으로 문자와 앱 기반 전송을 병행할 수 있어 기관은 상황에 맞는 채널을 선택하거나 동시에 발송해 도달률을 높일 수 있게 됐다. 통신사들은 앞으로 적용 기관과 문서 종류를 계속 확대해 수백 종 이상의 종이 문서를 PASS 기반 전자문서로 전환한다는 계획이다. KT는 이날부터 국민건강보험공단 문서를 PASS로 발송하기 시작했고, 다른 통신사들도 공공·금융기관과의 협력을 확대하고 있다. 통신 3사는 “PASS 전자고지 서비스는 공공·금융기관이 국민에게 정보를 더 빠르고 안전하게 전달할 수 있는 기반”이라며 “문자와 앱을 아우르는 고지 체계를 통해 디지털 행정을 한 단계 더 발전시키겠다”고 밝혔다.