보안 없는 디지털 혁신은 사상누각이다. 인공지능(AI) 등 첨단 기술력을 강조해 온 쿠팡에서 고객정보가 유출되는 초유의 사고가 터지며 정보보안이라는 기본기마저 의심받고 있다. 전문가들은 쿠팡의 늑장 대응과 총체적 보안 부실에 대해 단순한 사과를 넘어 소비자 불안 해소·안전 강화를 위한 대안을 제시해야 한다고 지적한다. 올 6월 24일부터 시작된 정보 탈취 시도 결과 쿠팡에서 3370만 건에 이르는 고객 계정 정보가 외부에 무단 노출된 가운데, 유출 경위와 책임 소재 등을 둘러싼 논란이 계속되고 있다. 지난 11월 28일 경찰은 쿠팡 측 고소인 조사를 마친 뒤 임의제출 형태로 서버 기록 등 관련 자료를 확보해 분석 중이며, 이와 별개로 정부는 민간과 합동조사단을 꾸려 사고 원인을 살펴보고 있다. 현재까지 거론되는 사고 경위로는 '내부자 소행설'과 '외부 해킹설'로 압축된다. 당장에 경찰과 정부는 한쪽으로 단정 짓기보다 모든 가능성을 열어두겠다는 입장이다. 일각에서는 중국 국적자인 전직 쿠팡 직원이 정보 유출에 관여됐다는 의혹도 불거졌는데, 아직 사실관계는 확인되지 않고 있다. 다만, 쿠팡 측에선 사고 원인으로 내부 소행에 무게를 두는 분위기다. 지난달 20일 쿠팡은 입장문을 통해 “고객 개인정보가 비인가 조회됐다"며 “쿠팡 시스템과 내부 네트워크망의 외부로부터의 침입 흔적은 없는 것으로 확인됐다"고 말했다. 국가 배후 공격 또는 내부 연루 가능성 등 두 가지 시나리오가 거론되고 있지만, 정보보호 전문가는 어느 쪽이든 책임 주체인 쿠팡의 정보 관리 체계에 허점이 있음을 짚었다. 염흥열 순천향대 정보보호학과 교수 겸 한국정보보호학회 명예회장은 본지와의 통화에서 “내부자 소행이라면 비인가적인 권한을 활용해 내부 데이터베이스에 접근한 뒤 오랜 시간 정보를 모아 외부로 유출했을 가능성이 있다"며 “내부 보호 관리 체계에 따라 내부자와 외부자 모두에게 보안 관리 규칙을 구축해야 하는데, 5개월 간 (비인가적 접근이) 진행된 것은 내부 관리자 체계에 허점이 있는 것"이라고 덧붙였다. 이어 염 교수는 “반면 외부 공격에 따른 것이라면 과정상 네트워크 보안 체계·서버 등을 통과해야 하는데 결국 보안 체계에 미흡한 부분이 있는 것"이라며 “이러한 과정이 5개월 간 이상행위로 판단되지 않았다면 현재 쿠팡이 갖춘 사이버보안 대응체계에 문제가 있는 것"이라고 진단했다. 유출 경위는 불분명하지만 명백한 점은 국내 인구 4분의 3에 이르는 3370만명의 고객정보가 무단 노출됐고, 이에 따른 소비자들의 분노가 확산되는 추세다. 쿠팡 측이 밝힌 대로라면 유출된 정보는 고객 이름·이메일·전화번호·주소·일부 주문정보 등이다. 특히, 이번 사태와 관련해 쿠팡이 비판을 받는 지점은 늑장 대응 때문이다. 5개월 간 해외 서버를 통해 고객정보 탈취 시도가 지속됐으나 쿠팡은 이를 11월이 돼서야 인지했고, 같은 달 18일 유출 사실을 파악한 이후 이틀이 지난 20일에야 개인정보보호위원회에 신고했다. 당초 4500여개라고 밝혔던 피해 규모가 9일 만에 돌연 7500배 불어난 점도 비판을 면하기 어려운 부분이다. 지난달 30일 박대준 대표이사 명의로 사과문까지 발표했지만, 전날 발표한 공지와 마찬가지로 결제 정보·비밀번호 등은 유출되지 않았다는 말을 반복하면서 사태 축소에 급급하다는 평가까지 뒤따른다. 정작 현관 비밀번호와 해외 직구 시 사용하는 개인통관고유부호 등이 포함돼 고객들 사이에선 2차 피해 우려가 커지는 분위기다. 쿠팡 입장에선 개인 정보 유출과 관련한 책임소재를 따져보기 위해 다소 시간이 필요하겠지만, 아직 피해 보상책 등을 구체적으로 밝히지 않고 있어 소비자 불안을 키우는 요인으로 꼽힌다. 실제 박 대표는 지난달 30일 정부서울청사에서 열린 긴급 대책회의에 출석하기 전 피해 보상을 묻는 취재진 질문에 대해 “피해자와 피해 범위, 유출 내용을 명확히 확정하는 것이 우선이고, 그 다음 급한 것이 재발 방지 대책"이라며 “이러한 부분이 확정되면 그 다음 피해에 대해 합리적 방안을 성실히 수행할 수 있을 것"이라고 전했다. 다만, 전문가들은 이번 개인정보 유출 사태가 쿠팡의 신뢰도 하락과 이용자 이탈의 직접적인 계기가 될 수 있는 만큼, 고객 불안 해소를 위한 신속한 대처가 필요하다고 꼬집었다. 황용식 세종대 경영학과 교수는 본지에 “기업의 개인정보 문제나 해킹 사태는 고객 신뢰도에서 나아가 기업 자체의 신뢰도까지 잃을 수 있는 부분으로, 빠르게 조기 진화해야한다"며 “아직 고객 보상 등이 언급되지 않았는데, 과연 사과만으로 마무리될 수 있는지 의아하다. 이 같은 부분을 구체적으로 제시해야 한다"고 강조했다. 국내 최대 온라인 리테일러 겸 글로벌 IT기업인 쿠팡은 핵심 역량으로 AI 강화 기조를 유지해왔다. 실제 김범석 쿠팡Inc 의장은 최근 3분기 실적 발표·컨퍼런스콜에서 “AI는 항상 쿠팡의 핵심이었고, 앞으로는 더 그럴 것"이라고 피력할 정도다. 통상 AI 등 초연결 기술 이면에는 데이터 유출 등 보안 우려가 뒤따를 수밖에 없다. 다만, 이번 고객정보 유출 사태로 정작 근간인 정보보안을 놓치고 있다는 인식을 심어줄 가능성도 크다. 특히, 쿠팡은 앞선 재발 방지 약속에도 또 다시 정보유출 사고가 발생한 터라 더 큰 비판의 목소리가 뒤따르고 있다. 2020년부터 세 차례에 걸쳐 개인정보 유출 사고를 냈고 이번이 네 번째다. 피해 규모도 워낙 크다. 올 4월 SKT 유출 규모(약 2324만명)보다 많고, 2011년 싸이월드·네이트 유출 사고(약 3500만명) 이후 역대 최대 규모다. 정보보안과 관련한 국가인증제도도 취득했지만 사실상 유명무실하다는 평가도 받는다. 쿠팡은 2021년 처음으로 ISMS-P(정보보호·개인정보보호 관리체계 인증)을 획득했으며, 지난해 3월 갱신 인증을 받았다. 인증 범위는 로켓배송·쿠팡이츠 등을 비롯한 쿠팡 서비스 전체다. 이는 쿠팡만의 문제는 아니다. 국회 정무위원회 소속 사회민주당 한창민 의원이 개인정보위 자료를 분석한 결과, 2020년 이후 인증을 받은 ISMS-P 기업 27곳에서 총 34건의 유출 사고가 발생했다. ISMS-P 제도 등 정부 인증제도의 사전 예방 효과에 물음표가 붙는 이유다. 이와 관련해 염 교수는 향후 쿠팡의 보안 대책 방향성을 놓고 “단기적으로 조사를 통해 원인을 파악하고, 취약점이 무엇인지 조속히 진단해야 한다"며 “그 결과에 따라 취약점을 메울 수 있는 보안 대책을 수립해야 한다"고 조언했다. 더불어 염 교수는 올해 국내에서 개인정보 침탈 사례가 빈번한 데다, 국가 배후 세력의 공격까지 의심되는 사례도 나오는 만큼 보다 고도화된 정보보안 체계를 구축해야 한다고 피력했다. 염 교수는 “먼저 보호 대상인 (정보)자산을 파악하고, 자산에서 발생할 수 있는 취약점을 분석해 적절한 보안 대책을 수립·유지·개선해야 한다"며 “매우 지능화된 공격 능력에 걸맞은 대응 체계를 갖추기 위한 예산 투자와 전문인력 확보, 사이버 회복력 체계도 필요하다"고 설명했다. 조하니 기자 inahohc@ekn.kr
2025-12-01 08:57 조하니 기자 inahohc@ekn.kr
![[포토 뉴스] 제16회 수입의 날 행사서 발언하는 윤영미 한국수입협회장](http://www.ekn.kr/mnt/thum/202512/news-p.v1.20251209.609d74fc16124aac89598c09449abefa_T1.png)
