방송미디어통신위원회가 쿠팡이 계정 탈퇴 절차를 의도적으로 복잡하게 구성해 이용자의 해지권을 제한하는지를 들여다보기로 했다. 최근 쿠팡에서 발생한 개인정보 대량 유출 사고 이후 탈퇴 수요가 급증하는 가운데, 쿠팡이 의도적으로 해지 절차를 어렵게 만들었다는 지적이 나오자 당국이 사실조사에 나선 것으로 보인다. 4일 방미통위는 “쿠팡이 제공하는 탈퇴 경로가 전기통신사업법상 금지된 ‘이용자의 해지권 제한 행위’에 해당하는지 조사한다”고 밝혔다. 현재 쿠팡 회원 탈퇴를 위해서는 이용자들이 직관적으로 찾기 어려운 위치에서 복잡한 절차를 거쳐야 한다. 쿠팡 앱에서는 메인 화면의 ‘개인정보’ 메뉴에 들어가 ‘설정→회원정보 수정→비밀번호 입력’ 단계를 거친 뒤, 다시 PC 화면으로 이동해 비밀번호 재입력 단계부터 회원탈퇴 절차를 진행해야 한다. PC에서도 마이쿠팡 메뉴에서 개인정보 수정, 비밀번호 입력, 화면 하단의 ‘회원 탈퇴’ 선택, 비밀번호 재입력, 이용 내역 확인, 설문조사 등 여러 단계를 차례대로 완료해야 탈퇴 신청이 최종적으로 이뤄진다. 방미통위는 최근 발생한 쿠팡의 개인정보 대량 유출 사태와 관련해 계정탈퇴 수요가 급증하는 가운데, 쿠팡의 이러한 해지 절차가 이용자에게 상당한 불편을 유발한다고 보고 긴급히 조사에 돌입했다고 밝혔다. 또한 이번 조사에서 위법 행위가 확인될 경우 관련 법령에 따라 과징금 및 시정명령 부과 등 엄정 조치할 예정이며, 앞으로도 국민 생활과 밀접한 전기통신서비스의 피해 유발 행위를 지속해 모니터링할 방침이라고 전했다. 쿠팡은 지난달 29일 “고객 계정 3370만개가 무단으로 노출된 것으로 확인됐다”고 밝혔다. 경찰 등은 쿠팡을 퇴사한 중국인 개발자가 중국으로 건너가 쿠팡의 개인 정보를 빼돌린 것으로 보고 수사를 벌이고 있다.

쿠팡의 대규모 고객 정보 유출 사태 이후 쿠팡이 대대적으로 홍보해 온 ‘원터치 결제’에 대해서도 소비자 불안이 커지고 있다. 원터치 결제는 추가 본인 확인 없이 쉽고 빠르게 결제하는 시스템이지만, 계정 도난 시 무단결제 등의 피해를 입을 수 있어서다. 3일 업계에 따르면, 쿠팡은 계정에 카드가 한 번 등록되면 이후엔 비밀번호나 본인 확인을 하지 않고 저장된 카드로 간편결제할 수 있는 ‘원터치 결제’ 시스템을 갖추고 있다. 온라인 카드결제시 부정사용을 방지하기 위해 본인확인 인증 절차를 거쳐야 하지만 카드사나 전자지급결제대행(PG)사와의 협의를 통해 본인 확인을 생략할 수 있다. 쿠팡의 경우 PG사인 쿠팡페이를 자회사로 두고 있고 쿠팡 가입시 자동으로 쿠팡페이에 가입되는 구조여서 본인인증 없는 간편 결제를 도입할 수 있었던 것으로 파악된다. 네이버나 롯데쇼핑 등 대부분의 이커머스 플랫폼은 로그인과 별도로 결제시 인증을 별도로 하게 돼 있고, SSG닷컴의 경우 쿠팡과 유사한 ‘원클릭 결제’가 있지만 기기가 바뀔 경우 원클릭 결제를 설정할 때 한 번 더 인증 절차를 거쳐야 한다. 문제는 쿠팡의 원터치 결제가 로그인만 되면 계정에 등록된 카드로 바로 결제가 된다는 점에서 계정을 도용당하거나 휴대폰을 분실했을 때 금융사고로 이어질 수 있다는 점이다. 쿠팡은 약 3370만건의 역대 최대 개인정보 유출 사고에서 결제정보는 털리지 않았다고 강조했지만, 이메일·전화번호·주소 등이 노출된 상태여서 안심할 수만은 없는 상황이다. 이커머스업계 관계자는 “(원터치 결제는) 소비자들이 물건 구매를 더 빠르게 유인하는 방법이지만 계정이 도난당하면 심각한 피해로 이어질 수 있는 만큼 최소한의 보안 장치가 필요하다”고 말했다. 특히 결제시 비밀번호를 입력하도록 하는 G마켓에서도 간편결제 서비스에 등록된 카드로 상품권을 결제하는 무단결제 피해 사례가 발생하면서 이러한 우려는 더욱 커지고 있다. 금융감독원이 국민의힘 이양수 의원실에 제출한 자료에 따르면 올해 1~8월 전자금융거래 플랫폼의 부정결제 사고 피해액은 2억 2076만원이었다. G마켓이 1억 6074만원으로 가장 많았고, 쿠팡페이가 3008만원로 뒤를 이었다. 이번 개인정보 유출 사고로 쿠팡페이에 대한 현장점검에 나선 금융감독원 관계자는 “(쿠팡의 원터치) 결제 시 본인 인증 절차에 보안상 허점은 없는지 확인해 보겠다”고 말했다.

계정 도난시 무단 결제 등 금융사고 우려금감원, 현장점검…“보안상 허점 보겠다” 쿠팡의 대규모 고객 정보 유출 사태 이후 쿠팡이 대대적으로 홍보해 온 ‘원터치 결제’에 대해서도 소비자 불안이 커지고 있다. 원터치 결제는 추가 본인 확인 없이 쉽고 빠르게 결제하는 시스템이지만, 계정 도난 시 무단결제 등의 피해를 입을 수 있어서다. 3일 업계에 따르면, 쿠팡은 계정에 카드가 한 번 등록되면 이후엔 비밀번호나 본인 확인을 하지 않고 저장된 카드로 간편결제할 수 있는 ‘원터치 결제’ 시스템을 갖추고 있다. 온라인 카드결제시 부정사용을 방지하기 위해 본인확인 인증 절차를 거쳐야 하지만 카드사나 전자지급결제대행(PG)사와의 협의를 통해 본인 확인을 생략할 수 있다. 쿠팡의 경우 PG사인 쿠팡페이를 자회사로 두고 있고 쿠팡 가입시 자동으로 쿠팡페이에 가입되는 구조여서 본인인증 없는 간편 결제를 도입할 수 있었던 것으로 파악된다. 네이버나 롯데쇼핑 등 대부분의 이커머스 플랫폼은 로그인과 별도로 결제시 인증을 별도로 하게 돼 있고, SSG닷컴의 경우 쿠팡과 유사한 ‘원클릭 결제’가 있지만 기기가 바뀔 경우 원클릭 결제를 설정할 때 한 번 더 인증 절차를 거쳐야 한다. 문제는 쿠팡의 원터치 결제가 로그인만 되면 계정에 등록된 카드로 바로 결제가 된다는 점에서 계정을 도용당하거나 휴대폰을 분실했을 때 금융사고로 이어질 수 있다는 점이다. 쿠팡은 약 3370만건의 역대 최대 개인정보 유출 사고에서 결제정보는 털리지 않았다고 강조했지만, 이메일·전화번호·주소 등이 노출된 상태여서 안심할 수만은 없는 상황이다. 이커머스업계 관계자는 “(원터치 결제는) 소비자들이 물건 구매를 더 빠르게 유인하는 방법이지만 계정이 도난당하면 심각한 피해로 이어질 수 있는 만큼 최소한의 보안 장치가 필요하다”고 말했다. 특히 결제시 비밀번호를 입력하도록 하는 G마켓에서도 간편결제 서비스에 등록된 카드로 상품권을 결제하는 무단결제 피해 사례가 발생하면서 이러한 우려는 더욱 커지고 있다. 금융감독원이 국민의힘 이양수 의원실에 제출한 자료에 따르면 올해 1~8월 전자금융거래 플랫폼의 부정결제 사고 피해액은 2억 2076만원이었다. G마켓이 1억 6074만원으로 가장 많았고, 쿠팡페이가 3008만원로 뒤를 이었다. 이번 개인정보 유출 사고로 쿠팡페이에 대한 현장점검에 나선 금융감독원 관계자는 “(쿠팡의 원터치) 결제 시 본인 인증 절차에 보안상 허점은 없는지 확인해 보겠다”고 말했다.

3370만여명의 개인정보가 유출된 쿠팡의 주요 임원이 정보침해 사건이 발생한 시점 이후 쿠팡 보유 주식 수십억원대를 내다 판 것으로 확인됐다. 2일(현지시간) 미 증권거래위원회(SEC) 공시에 따르면 거랍 아난드 쿠팡 최고재무책임자(CFO)는 지난달 10일 자신이 쿠팡Inc 주식 7만 5350주를 주당 29.0195달러에 매도했다고 신고했다. 매도 가액은 약 218만 6000달러(약 32억원)에 달한다. 프라남 콜라리 전 부사장도 지난달 17일 쿠팡 주식 2만 7388주를 매도했다고 신고했다. 매각 가액은 77만 2000달러(약 11억 3000만원)로 신고했다. 콜라리 전 부사장은 검색 및 추천 부문을 총괄하던 핵심 기술담당 임원이었다. 그는 지난달 14일 사임했다. 아난드 CFO와 콜라리 전 부사장의 쿠팡 주식 매도 시점은 쿠팡이 개인정보 유출 침해사고 발생 사실을 인지했다고 밝힌 시점 이전이다. 회사가 정보침해 사고를 인지했다고 밝힌 시점보다 앞서서 이뤄진 거래이긴 하지만, 민감한 시점에 발생한 전현직 핵심 임원의 주식 처분은 ‘내부자 거래’ 논란을 부를 수 있는 대목이다. 쿠팡은 고객 계정 약 3370만개 정보가 유출됐다고 지난 27일 발표했다. 유출된 정보는 고객의 이름과 이메일, 전화번호, 공동현관 비밀번호 정보가 포함된 주소, 일부 주문정보 등이었다. 쿠팡이 관계당국에 피해 사실을 최초로 신고한 것은 지난달 18일이었다. 당시 쿠팡이 파악한 개인정보 유출 규모는 4500여명이었다. 과학기술정보방송통신위원장 최민희 의원실이 한국인터넷진흥원(KISA)으로부터 제출받은 침해사고 신고서에 따르면 쿠팡은 한국시간 지난달 6일 오후 6시 38분 자사 계정 정보에 대한 무단 접근이 발생했다고 보고했다. 그러나 침해 사실을 인지한 시점은 12일이 지난 11월 18일 오후 10시 52분으로 기록됐다.

3370만명 규모의 역대 최대 개인정보 유출이 발생한 쿠팡과 관련해 허술한 보안 관리 체계는 물론 본사를 미국에 두고 한국에서 사업하는 기형적인 지배구조에 대한 비판이 커지고 있다. 막대한 수익은 한국에서 얻고, 정작 책임질 일에는 미국 기업처럼 행세한다는 것이다. 쿠팡은 모기업인 ‘쿠팡Inc’가 미국 뉴욕증시에 상장한 미국 기업이지만 90% 이상의 매출이 한국에서 나온다. 자회사는 한국에서 사업하는 쿠팡과 쿠팡페이, 쿠팡풀필먼트서비스, 쿠팡로지스틱스서비스 등이다. 美에 본사 있는 기형적 지배구조‘유출’ 아닌 ‘무단 접근’ 표현 논란사과문 이틀 만에 홈피서 사라져美 SEC에 보안사고 공시도 안 해대외 메시지도 미국 본사의 승인 없이는 나오지 않는 구조다. 개인정보 유출 사고 이후 쿠팡의 사과문에 ‘개인정보 유출’이 아니라 “고객 계정에 ‘무단 접근’이 이뤄졌다”는 등 국내 소비자 정서와 맞지 않는 표현이 담긴 이유로 지목된다. 2일 국회 과학기술정보방송통신위원회가 연 쿠팡 개인정보 유출 사고 관련 긴급 현안 질의에서 이훈기 더불어민주당 의원이 ‘왜 (소비자 안내문에) 유출이 아니라 노출이라는 표현을 썼느냐’고 묻자 박대준 쿠팡 대표는 “생각이 부족했던 것 같다. 유출이 맞다”고 인정했다. 심지어 쿠팡은 이날 쿠팡 홈페이지와 애플리케이션 첫 화면에 띄웠던 사과문을 이틀 만에 내려 빈축을 샀다. 최악의 개인정보 유출 사고에도 두문불출하고 있는 창업자 김범석 쿠팡Inc 의장에 대한 비판도 거세지고 있다. 김 의장은 사고 이후 어떤 메시지도 내놓지 않았다. 이날 국회 현안 질의에도 김 의장이 아닌 박 대표가 출석했다. 위원들은 김 의장이 직접 사과할 의향은 없는지 물었으나 박 대표는 “한국 법인에서 벌어진 일이고, 제 책임 하에 벌어져 제가 사과 말씀을 드린다”고만 답했다. 미국 국적인 김 의장은 현재 한국에 없는 것으로 알려졌다. 美국적의 창업자 김범석 의장2021년부터 한국법인 관여 안 해올 상반기 의결권 행사 비중 74%미국인 이유로 각종 책임 벗어나김 의장은 2021년 쿠팡 한국법인 이사회 의장과 등기이사직에서 물러나며 한국 사업에 직접적으로 관여하지 않고 있다. 김 의장은 쿠팡Inc 지분 8.8%를 보유 중이나 이는 주당 29배의 차등의결권을 지닌 클래스B 주식이어서 행사 가능 의결권은 올해 상반기 기준으로 74.3%나 된다. 김 의장은 매 분기 실적 발표 때도 콘퍼런스 콜에 직접 나서 성과와 투자 계획을 설명한다. 김 의장은 매년 국정감사 때마다 단골로 출석 요구가 빗발치지만 한 번도 나오지 않았다. 지난 1월 국회 환경노동위원회 청문회에도 도널드 트럼프 미국 대통령 취임식 참석을 이유로 불출석했다. 미국 국적을 이유로 공정거래위원회의 공시대상기업집단 동일인(총수) 지정도 피했다. 이후 외국 국적자도 동일인으로 지정할 수 있게 됐지만 김 의장은 국내 법인 지분이 없고 친족이 경영에 참여하지 않는다는 이유로 동일인 지정 예외로 취급됐고, 그 결과 사익 편취 금지와 친인척 자료 제출 등 각종 의무에서 벗어났다. 김 의장은 지난해 세금 등을 낸다며 보유 중이던 클래스B 보통주를 클래스A 보통주 1500만주로 전환해 처분하면서 4846억원을 현금화했다. 보유 주식 200만주(약 672억원)는 미국 내 자선기금에 기부했다. 돈은 한국에서 벌고 기부는 미국에 했다는 비판도 쏟아졌다. 金의장 최악 사고에도 두문불출작년 주식 처분 4900억원 현금화美 자선기금에 지분 200만주 기부주가 전 거래일 대비 5.36% 급락쿠팡은 2012년 유통산업발전법이 대형마트의 새벽배송 사업에 제동을 건 틈을 타 물류 인프라에 수조원을 쏟아부으며 국내 유통업계 1위 기업으로 성장했다. ‘유통 공룡’임에도 허술한 개인정보 관리 실태뿐 아니라 물류센터 노동자와 택배기사의 연이은 사망 사고, 검색 순위 조작으로 인한 과징금 처분 등으로 이미 수많은 구설에 올랐다. 한국이 아닌 미국 뉴욕거래소에 상장한 쿠팡Inc의 주가는 개인정보 유출 사실이 공개된 후 첫 거래일이던 지난 1일(현지시간)에 전 거래일 대비 5.36% 급락한 26.65달러에 장을 마쳤다. 지난달 5일 이후 한 달 만에 가장 큰 낙폭이다. 월가가 쿠팡의 허술한 위기 관리 체계와 이로 인한 제재 영향을 부정적으로 해석한 셈이다. 미국 증권거래위원회(SEC)에는 중대한 사이버 보안 사고가 발생한 경우 4영업일 이내에 공시해야 한다는 규정이 있지만, 쿠팡은 아직 이번 사고를 공시하지 않아 향후 제재 가능성도 있다. JP모건은 이날 “쿠팡이 자체 보상 프로그램을 마련해야 하고, 한국 정부의 과징금 부과 가능성이 있어 단기 투자 심리에 부담이 될 수 있다”면서도 “사실상 경쟁자가 없는 쿠팡의 시장 지위와 한국 소비자들의 데이터 유출 이슈에 대한 민감도를 고려하면 소비자 이탈 폭은 크지 않을 것”이라고 전했다.

온라인 전자상거래 업체 G마켓에서 고객 60여명의 계정이 도용돼 무단 결제가 이뤄지는 사고가 일어나 금융감독원에 신고한 것으로 확인됐다. 2일 유통업계에 따르면 지난달 29일 “내가 구매한 적 없는 모바일 상품권이 결제됐다”며 G마켓에 결제 취소를 요청하는 문의가 접수됐다. 외부 공격자가 무단으로 계정에 등록된 간편 결제서비스인 ‘스마일페이’를 통해 기프트 상품권(금액 상품권)이 결제된 것으로 추정된다. 1인당 피해 금액은 3만원에서 20만원 수준이다. G마켓은 “내부 점검 결과 시스템 해킹 흔적은 없었다”며 “외부에서 탈취한 정보를 갖고 로그인을 해 결제를 한 것으로 파악했다”고 밝혔다. 피해 금액이 인당 100만원 이하라 법적으로 신고 대상은 아니다. 다만 최근 쿠팡의 대규모 개인정보 유출 사고가 일어난 점을 고려해 소비자 경각심이 높아진 만큼 2일 정식으로 금융 당국에 신고했다고 밝혔다. G마켓은 이날 홈페이지 공지사항에 ‘개인정보 보호 강화 대책’이란 공지를 올리고 로그인 비밀번호 변경, 로그인 2단계 인증, 보안 알림 기능 사용 권장 등을 안내했다. 기프트 상품권 등 환금성 상품 구매 시에 회원 본인 확인을 강화한다는 방침이다.

3370만명 규모의 역대 최대 개인정보 유출이 발생한 쿠팡과 관련해 허술한 보안 관리 체계는 물론 본사를 미국에 두고 한국에서 사업하는 기형적인 지배구조에 대한 비판이 커지고 있다. 막대한 수익은 한국에서 얻고, 정작 책임질 일에는 미국 기업처럼 행세한다는 것이다. 쿠팡은 모기업인 ‘쿠팡Inc’가 미국 뉴욕증시에 상장한 미국 기업이지만 90% 이상의 매출이 한국에서 나온다. 자회사는 한국에서 사업하는 쿠팡과 쿠팡페이, 쿠팡풀필먼트서비스, 쿠팡로지스틱스서비스 등이다. 대외 메시지도 미국 본사의 승인 없이는 나오지 않는 구조다. 개인정보 유출 사고 이후 쿠팡의 사과문에 ‘개인정보 유출’이 아니라 “고객 계정에 ‘무단 접근’이 이뤄졌다”는 등 국내 소비자 정서와 맞지 않는 표현이 담긴 이유로 지목된다. 2일 국회 과학기술정보방송통신위원회가 연 쿠팡 개인정보 유출 사고 관련 긴급 현안 질의에서 이훈기 더불어민주당 의원이 ‘왜 (소비자 안내문에) 유출이 아니라 노출이라는 표현을 썼느냐’고 묻자 박대준 쿠팡 대표는 “생각이 부족했던 것 같다. 유출이 맞다”고 인정했다. 심지어 쿠팡은 이날 쿠팡 홈페이지와 애플리케이션 첫 화면에 띄웠던 사과문을 이틀 만에 내려 빈축을 샀다. 최악의 개인정보 유출 사고에도 두문불출하고 있는 창업자 김범석 쿠팡Inc 의장에 대한 비판도 거세지고 있다. 김 의장은 사고 이후 어떤 메시지도 내놓지 않았다. 이날 국회 현안 질의에도 김 의장이 아닌 박 대표가 출석했다. 위원들은 김 의장이 직접 사과할 의향은 없는지 물었으나 박 대표는 “한국 법인에서 벌어진 일이고, 제 책임 하에 벌어져 제가 사과 말씀을 드린다”고만 답했다. 미국 국적인 김 의장은 현재 한국에 없는 것으로 알려졌다. 김 의장은 2021년 쿠팡 한국법인 이사회 의장과 등기이사직에서 물러나며 한국 사업에 직접적으로 관여하지 않고 있다. 김 의장은 쿠팡Inc 지분 8.8%를 보유 중이나 이는 주당 29배의 차등의결권을 지닌 클래스B 주식이어서 행사 가능 의결권은 올해 상반기 기준으로 74.3%나 된다. 김 의장은 매 분기 실적 발표 때도 콘퍼런스 콜에 직접 나서 성과와 투자 계획을 설명한다. 김 의장은 매년 국정감사 때마다 단골로 출석 요구가 빗발치지만 한 번도 나오지 않았다. 지난 1월 국회 환경노동위원회 청문회에도 도널드 트럼프 미국 대통령 취임식 참석을 이유로 불출석했다. 미국 국적을 이유로 공정거래위원회의 공시대상기업집단 동일인(총수) 지정도 피했다. 이후 외국 국적자도 동일인으로 지정할 수 있게 됐지만 김 의장은 국내 법인 지분이 없고 친족이 경영에 참여하지 않는다는 이유로 동일인 지정 예외로 취급됐고, 그 결과 사익 편취 금지와 친인척 자료 제출 등 각종 의무에서 벗어났다. 김 의장은 지난해 세금 등을 낸다며 보유 중이던 클래스B 보통주를 클래스A 보통주 1500만주로 전환해 처분하면서 4846억원을 현금화했다. 보유 주식 200만주(약 672억원)는 미국 내 자선기금에 기부했다. 돈은 한국에서 벌고 기부는 미국에 했다는 비판도 쏟아졌다. 쿠팡은 2012년 유통산업발전법이 대형마트의 새벽배송 사업에 제동을 건 틈을 타 물류 인프라에 수조원을 쏟아부으며 국내 유통업계 1위 기업으로 성장했다. ‘유통 공룡’임에도 허술한 개인정보 관리 실태뿐 아니라 물류센터 노동자와 택배기사의 연이은 사망 사고, 검색 순위 조작으로 인한 과징금 처분 등으로 이미 수많은 구설에 올랐다. 한국이 아닌 미국 뉴욕거래소에 상장한 쿠팡Inc의 주가는 개인정보 유출 사실이 공개된 후 첫 거래일이던 지난 1일(현지시간)에 전 거래일 대비 5.36% 급락한 26.65달러에 장을 마쳤다. 지난달 5일 이후 한 달 만에 가장 큰 낙폭이다. 월가가 쿠팡의 허술한 위기 관리 체계와 이로 인한 제재 영향을 부정적으로 해석한 셈이다. 미국 증권거래위원회(SEC)에는 중대한 사이버 보안 사고가 발생한 경우 4영업일 이내에 공시해야 한다는 규정이 있지만, 쿠팡은 아직 이번 사고를 공시하지 않아 향후 제재 가능성도 있다. JP모건은 이날 “쿠팡이 자체 보상 프로그램을 마련해야 하고, 한국 정부의 과징금 부과 가능성이 있어 단기 투자 심리에 부담이 될 수 있다”면서도 “사실상 경쟁자가 없는 쿠팡의 시장 지위와 한국 소비자들의 데이터 유출 이슈에 대한 민감도를 고려하면 소비자 이탈 폭은 크지 않을 것”이라고 전했다.

쿠팡 고객 3370만명의 개인정보 유출은 몸집만 키우고 보안은 뒷전인 기업, 법 개정 등 제도 개선에 손 놓고 있었던 국회와 정부가 만들어낸 예견된 사태라는 목소리가 커지고 있다. 지난 4월 SK텔레콤(SKT) 유심(USIM·가입자 식별 모듈) 정보 유출 사태 이후 7개월이 넘도록 개인정보보호법 개정안은 단 한 건도 국회 문턱을 넘지 못했다. 소비자 불만이 폭발할 때 일시적으로 법안 발의가 이뤄지고, 정작 실질적인 법 개정으로 이어지지 않은 셈이다. 그 결과 개인정보 유출 이후 기업의 신속한 대응, 강제성 있는 조사, 처벌 강화 등은 여전히 기대하기 어려운 상황이다. 2일 서울신문 취재를 종합하면, SKT 해킹 사태가 발생한 4월부터 이날까지 7개월 동안 발의된 개인정보보호법 개정안은 모두 22건이지만, 모두 소관위원회인 정무위원회 심사 단계 문턱도 넘지 못했다. 발의된 의안 중 유출된 개인정보가 누구 것인지 특정할 수 없을 때 모든 정보주체에게 신속하게 법정 통지사항을 알리는 내용이 8건에 달한다. 하지만 법안 통과가 늦어지면서 이번 쿠팡 사태에서도 뒤늦게 안내를 받는 사례가 속출하고 있다. 곽진 아주대 사이버보안학과 교수는 “소비자가 스미싱 등 2차 범죄에 대응하려면 정보유출 여부를 사전에 아는 것이 매우 중요하다”고 말했다. 민관합동조사단의 조사도 사실상 강제력이 없다는 지적이 이어졌으나 이 부분 역시 개선되지 않고 있다. 국회입법조사처는 지난 5월 ‘통신사 해킹 사고 사후대응의 문제점과 입법과제’를 통해 “사업자가 자료 제출을 거부해도 제재는 1000만원 이하 과태료 부과에 그친다. 이를 상향하거나 이행강제금을 부과해 조사 강제력을 강화해야 한다”고 지적했다. 개인정보 유출 관련 제도 개선이 이뤄지지 않는 건 ‘보안=비용’으로 보는 인식이 커서다. 한국인터넷기업협회도 관련 법 개정에 대해 국회 정무위원회에 “신중한 검토가 필요하다”는 의견을 제출했다. 김명주 서울여대 지능정보보호학부 교수는 “기업 입장에서는 개인정보 보호 관련 규제가 ‘비용’이기 때문에 의견 협의가 이뤄지지 않고 있다”고 말했다. 황석진 동국대 국제정보보호대학원 교수는 “여야는 관련 법안을 민생 법안으로 보고 서둘러 제정해야 한다”고 건의했다. 박대준 쿠팡 대표는 이날 국회 과학기술정보방송통신위원회 긴급 현안질의에서 ‘김범석 쿠팡 의장이 사과할 의향은 없느냐’는 이훈기 더불어민주당 의원의 질의에 “제가 현재 이 사건에 대해 전체 책임을 지고 있다. 한국 법인 대표로서 사태를 해결하겠다”고 말했다. 한편 민관합동조사단을 꾸리고 쿠팡의 개인정보 유출 사고 조사에 나선 과학기술정보통신부는 현안질의에서 “식별된 공격 기간은 지난 6월 24일부터 11월 8일까지”라고 공식 발표했다. 총 138일 간이다. 류제명 과기정통부 2차관은 “3000만개 이상 계정의 개인 정보가 유출됐다”며 “KT 무단 소액결제 사고처럼 ‘관리 부실’이 이번 쿠팡 개인정보 유출 사고의 배경”이라고 밝혔다. 아울러 금융감독원은 쿠팡의 결제 자회사 쿠팡페이에 대해 일주일간 현장조사에 착수했다.

12월 1일부터 모집…착수금 1인당 만 원 최근 쿠팡에서 3,370만 건에 달하는 고객 개인정보가 무단 유출된 사실이 드러난 가운데, 법률사무소 화음(대표변호사 정재권)이 쿠팡 개인정보유출 피해자 집단소송 접수를 시작했다고 밝혔다. 법률사무소 화음은 지난 12월 1일부터 쿠팡 개인정보 유출 사태와 관련해 쿠팡 측에 집단소송을 제기하기 위한 참여자를 모집하고 있다. 법률사무소 화음 정재권 변호사는 “이번 개인정보유출 사건은 외부의 해킹이 아닌 ‘내부 직원’에 의한 유출이므로 쿠팡의 책임이 보다 막중하다”라며 “유출된 정보에는 이름, 휴대전화 번호와 이메일 주소가 포함되어 있어 다른 웹사이트에 대입하는 크리덴셜 스터핑 공격 시도의 가능성이 있으며, 2차 추가 피해의 우려가 있다. 배송 지연을 사칭한 스미싱, 가족과 지인의 정보까지 유추되어 활용되는 등 사생활 침해 위험도 매우 높아 보인다”라고 전했다. 이어 “개인정보보호법에 따르면 정보주체는 법 위반 행위로 손해를 입으면 개인정보처리자에게 배상을 청구할 수 있고, 이 경우 사업자가 고의·과실이 없음을 입증하지 못하면 책임을 면할 수 없다. 과거 카드사 정보 유출, 인터파크 해킹 사건 등에서 법원은 기업의 과실이 인정될 경우 피해자 1인당 10~20만 원 내외의 위자료를 인정한 바 있다. 이번 사건은 주소지(거주지) 정보가 포함돼 스토킹, 보이스피싱 등 오프라인 범죄 악용 가능성이 크므로 더 높은 위자료가 인정될 여지가 있다. 집단 소송을 통해 효율적인 권리 구제와 유사 사태 재발 방지가 최선의 선택이 될 수 있다”라고 전했다. 실제로 해당 사건은 온라인에서도 움직임이 확산되고 있다. 개인정보 유출 사실이 공개된 지 이틀 만에 네이버에는 쿠팡 집단소송 관련 카페가 10여 곳 개설됐으며, 현재도 가입자 수가 빠르게 늘고 있다. 이번에 유출된 계정 정보가 3,370만 개에 달하는 만큼 개인정보 유출 관련 국내 단체 소송 가운데 최대 규모가 될 수 있다는 전망이 나온다. 앞서 법률사무소 화음은 SKT 유심정보 유출 피해자 단체소송을 3차까지 진행한 바 있다. 특히 화음 정재권 대표변호사는 과학기술정보통신부 고문변호사로 고도의 경험과 전문성을 바탕으로 소송을 진행해 나간다. 현재 법률사무소 화음에서 진행하는 쿠팡 개인정보유출 집단소송은 착수금 1만 원으로 참여할 수 있으며, 홈페이지 내 신청서 작성 등의 방법으로 신청자를 모집하고 있다. 배상금은 최소 10만 원에서 최대 30만 원 정도로 예상하고 있으며, 진행 과정에서 구체적 사실관계의 확정 및 증거 현출에 따라 청구금액을 확장하는 방식으로 진행할 예정이다. 정 변호사는 “과학기술정보통신부 고문 변호사로서의 경험을 통해 축적된 정보통신 관련 법률 및 정책에 대한 높은 이해도는 이번 소송을 성공적으로 이끄는 데 큰 강점이 될 것”이라며 “더 이상 혼자 고민하지 마시고, 저희와 함께 목소리를 내주시길 바란다”라고 밝혔다. 한편, 법률사무소 화음은 과학기술정보통신부(과기부) 고문 변호사로 위촉된 정재권 대표변호사를 포함해 IT 분야의 전문성을 지닌 변호사들로 구성된 로펌이다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글은) 사실과 다르다”고 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글 내용은) 사실이 아니다”라고 입장을 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글 내용은) 사실이 아니다”라고 입장을 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

국내 전자상거래 1위 업체인 쿠팡에서 3000만건이 넘는 대규모 개인정보 유출 사고가 발생한 가운데 쿠팡이 ‘유출 정보를 공개하겠다’는 협박을 받은 것으로 드러났다. 1일 연합뉴스에 따르면 사건을 수사 중인 서울경찰청 사이버수사2대는 쿠팡이 “회원들의 개인정보를 보유하고 있다”며 “보안을 강화하지 않으면 유출 사실을 언론에 알리겠다”는 협박성 이메일을 받은 사실을 확인한 것으로 전해졌다. 다만 금전 요구는 없었다고 한다. 경찰은 이 이메일이 쿠팡 이용자들의 개인정보를 빼돌린 인물과 동일인이 보낸 것인지 추적 중이다. 현재 쿠팡 고객 정보는 쿠팡에 근무했던 중국 국적자가 유출한 것으로 알려졌다. 경찰은 지난달 21일 해당 사건에 대해 입건 전 조사(내사)에 착수했으며, 같은 달 25일 정보통신망법상 정보통신망 침입 혐의로 ‘성명불상자’를 수사해달라는 쿠팡의 고소장을 접수해 수사로 전환했다. 경찰은 이후 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의제출 받아 분석에 들어갔다. 쿠팡은 지난달 18일 4500여개 계정의 개인정보가 무단으로 노출된 사실을 인지했다고 밝혔으나 이후 조사 과정에서 노출된 계정 수가 3370만개에 이르는 것으로 확인됐다. 쿠팡 측은 고객 이름과 이메일 주소, 배송지 주소록에 입력된 정보 등이 유출됐으나 결제 정보와 로그인 정보 등은 유출 대상에 포함되지 않았다고 밝혔다.

국내 최대 온라인 유통업체인 쿠팡에서 벌어진 3400만건 고객 정보 유출 사태의 파장이 일파만파다. 올 들어 금융사와 통신사 등에서 유사 사고가 잇따라 터져 가뜩이나 국민 불안이 꼭대기까지 차오른 터에 전 국민을 패닉으로 몰아넣은 최악의 사태가 아닐 수 없다. 국민 4명 중 3명이 해당하는 방대한 피해 규모가 무엇보다 충격적이다. 더욱 기막힌 것은 해외 서버를 통한 비정상 접속이 지난 6월 말부터 계속됐는데도 회사가 이를 5개월간 전혀 알아채지도 못했다는 사실이다. 로켓배송 등 속도와 혁신을 앞세워 초고속 성장한 거대 기업이 정작 디지털 사회의 기본적 신뢰 기반인 고객 정보 보호에는 한없이 굼뜨고 무능했다. 배신감과 분노를 넘어 허탈감까지 든다. 쿠팡은 지난 29일 “고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다”면서 “해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정한다”고 밝혔다. 노출된 정보는 고객 이름과 이메일, 전화번호, 주소, 일부 주문 정보이며 결제 정보와 신용카드 번호는 포함되지 않았다는 것이 쿠팡 측의 주장이다. 그러나 쿠팡은 지난 20일 개인정보보호위원회에 처음 신고할 당시 피해 계정을 4500여개로 보고했다가 9일 만에 사실상 전 회원 규모로 피해 범위를 대폭 수정했다. 앞으로 조사 결과에 따라 피해 규모가 더 늘어날 가능성도 배제할 수 없다. 정부는 민관 합동조사단을 꾸려 사고 원인 분석과 재발 방지 대책 마련에 나섰다. 유출 정보를 악용한 스미싱·보이스피싱 등 2차 피해에 대한 불안이 큰 만큼 이를 차단하기 위한 다각적 대응이 무엇보다 시급하다. 쿠팡은 이번 사태를 외부 해킹이 아닌 내부 직원의 소행으로 보고 경찰에 고소장을 제출했다. 만일 내부자 범죄가 맞다면 조직 관리 부실 책임은 더욱 무거울 수밖에 없다. 기업의 안이한 보안 의식 탓에 국민 전체가 잠재적 범죄 위험에 노출된 만큼 그에 상응하는 책임을 져야 한다. 쿠팡은 박대준 대표의 사과문을 통해 합동조사단과 긴밀히 협력하고 추가 피해 예방에 최선을 다하겠다고 했다. 정부가 “쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 고객 정보가 유출됐다”고 확인한 만큼 실질적인 피해 보상과 재발 방지 대책이 뒤따라야 한다. 정부 역시 이번 사태를 엄중하게 받아들여야 한다. 쿠팡은 국가가 인증한 ‘정보보호 및 개인정보보호 관리체계 인증’(ISMS-P)을 취득하고도 대규모 유출 사고를 냈다. 정부와 기업 모두 보안 의식을 획기적으로 개선하지 않는다면 유사 사고는 언제든 되풀이될 수밖에 없다.

6월 24일 발생… 11월 18일에 인지“정상적 로그인 없이 고객정보 유출”“서버 보안인증 취약점 악용해 공격”정부, 국가 배후 범죄 가능성도 논의일부 집단소송 카페·단톡방 개설도 이번 쿠팡의 정보 유출을 두고 특히 사고를 인지하기까지 5개월이나 걸렸다는 데 대한 비판이 거세다. 회사의 깜깜이 대응에 실망한 소비자들은 집단소송 등 단체 행동에 나설 움직임도 보이고 있다. 30일 쿠팡에 따르면 고객 계정과 관련된 개인정보 무단 접근은 지난 6월 24일부터 시작됐지만 쿠팡은 이를 지난 18일에야 인지하게 됐다. 쿠팡은 그동안 공격자 입장에서 취약점을 찾는 ‘레드팀’과 선제적 위협 탐지·대응을 맡는 ‘고스트팀’을 운영하면서 수준 높은 보안 조직을 갖췄다고 홍보했지만, 정작 개인정보 노출 기간이나 사고 발생 원인에 대해서는 ‘조사 중’이라며 함구하고 있다. 쿠팡 측은 “현재까지 2차 피해는 보고된 바 없다”고 했지만 소비자의 불안과 불신은 확산하고 있다. 민관합동조사단을 꾸리고 쿠팡 본사에서 현장 조사를 진행 중인 정부는 쿠팡 서버 인증 체계에 취약점이 있었다고 짚었다. 이날 배경훈 부총리 겸 과학기술정보통신부 장관은 정부서울청사에서 관계 부처 긴급회의를 열고 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3000만개 이상 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인했다”고 설명했다. 정부는 회의에서 국가 배후 범죄 가능성에 대해서도 논의했으며 쿠팡 서버에서 악성 코드는 발견되지 않았다고 밝혔다. 쿠팡의 개인정보보호법상 안전조치의무 위반이 확인되면 엄정 제재할 방침이다. 이번 사고가 쿠팡의 내부 직원 소행이라는 추측이 나오면서 내부 보안 대책에 허점이 있었다는 비판도 피할 수 없게 됐다. 특히 수천만명의 정보가 새 나가는 동안 자체적으로 부정·불법행위를 탐지해 내지 못할 정도로 쿠팡 서버의 모니터링 체계가 미흡했다는 지적이 나온다. 염흥열 순천향대 정보보호학과 명예교수는 “유출자가 직장 상사 등의 ID와 비밀번호를 확보해 타인의 접근 권한까지 가졌을 가능성이 있다”며 “서버 접속 과정에서 2차 인증이 필요한데도 1차 인증만으로 통과되는 등 인증 체계에 취약점이 있는 것으로 추정된다”고 말했다. 쿠팡의 책임과 보상을 촉구하기 위한 소비자 움직임도 확산하고 있다. 지난 29일 네이버에 개설된 ‘쿠팡 정보유출 집단소송 카페’ 운영진은 “3370만명이 피해를 본 초유의 사태에 대해 법적 책임을 묻고 공동 대응 방안을 마련하겠다”며 출범 취지를 밝혔다. 카카오톡에서 ‘쿠팡 정보유출 피해자 모임’ 채팅방을 개설한 이모(49)씨도 “개인의 힘으로는 거대 기업인 쿠팡의 안일한 대응에 맞서기 어렵다고 판단했다”면서 “집단분쟁조정 신청이나 공동소송까지 고려하고 있다”고 설명했다. 손해배상 집단소송을 준비 중인 김경호 변호사(법무법인 호인)는 “핵심 쟁점은 쿠팡이 개인정보보호법 제29조에 따른 안전조치의무를 다했는지 여부”라면서 “해킹 기술이 고도화됐다 하더라도 쿠팡이 당시 기술 수준에서 요구되는 접근 통제, 접속 기록 보관, 암호화 조치 등을 소홀히 했다면 과실이 인정된다”고 주장했다.

中업체, 고객 타기팅 정교화 우려SKT 사태보다 심각한 피해 예상배송지는 계정보다 더 많이 유출주소 이용 실제 범죄도 대응해야 쿠팡에서 국내 인구 4분의3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생한 가운데 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 명예교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠 갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있는 만큼 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보가 복제폰을 만드는 데 악용될 수 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에 쓰일 가능성에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼 있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 말했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유는 중국에 개인정보가 유출되는 걸 우려하기 때문인데, 이번 사태로 어떤 제품을 샀는지 기질·성향을 나타내는 개인 식별 정보가 넘어가게 될 경우 중국 이커머스가 고객 타기팅을 더 정교화하는 데 쓰일 수 있다”고 지적했다. 이 경우 쿠팡뿐 아니라 국내 이커머스 산업 전체가 타격을 받을 수도 있다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”며 “이 경우 2차 피해가 즉각 일어나지 않고 소비자 경계가 느슨해진 뒤에 발생하기 때문에 쿠팡 때문인지 알 수 없게 되는 등 원인과 규모를 특정하기도 어려워 소비자 피해는 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개 이상의 배송지 정보를 입력했을 가능성이 높기 때문이다. 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이라는 전망도 나온다.

3370만명 고객정보 무단 노출 확인중국 국적 전 직원이 정보 빼돌린 듯카드·통신 사고 이어 불안감 확산 국내 1위 온라인 유통 기업인 쿠팡에서 우리나라 국민의 절반이 넘는 약 3370만명의 고객 계정 정보가 무단으로 노출되는 초유의 사고가 벌어지면서 국민 불안이 소위 포비아(공포증) 수준으로 치닫고 있다. 역대 최대 규모의 고객 정보 유출인 데다 쿠팡이 5개월간 지속된 개인정보 탈취 시도조차 인지하지 못했기 때문이다. 이번 사고가 중국 국적의 내부자 소행이라는 언급도 나온다. 전문가들은 이 사태가 스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격)이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고했다. 쿠팡이 고객 계정의 이름, 이메일, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보가 노출된 사실을 지난 29일 확인한 가운데 박대준 쿠팡 대표는 30일 정부서울청사에서 “국민 여러분께 불편을 끼쳐 드려 진심으로 사과드린다”며 첫 사과에 나섰다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 노출된 사실을 인지했다고 밝혔지만 후속 조사에서 7500배나 많은 3370만개가 유출된 것으로 확인됐다. 쿠팡 구매 이력이 있는 고객 수(2470만명)보다 900만명이나 많고, 역대 최대 과징금인 1348억원 처분을 받은 SK텔레콤의 개인정보 유출 규모(2324만명)도 크게 웃돈다. 쿠팡은 지난 6월 24일부터 5개월 동안 지속된 개인정보 탈취 시도를 전혀 파악하지 못했다는 점에서도 책임을 피하기 어려워 보인다. 여기에 중국 국적의 전 쿠팡 직원이 고객 정보를 유출했다는 의혹도 제기됐다.  경찰은 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의 제출받아 분석 중이다. 경찰은 “모든 가능성을 열어 두고 절차에 따라 수사하고 있다”고 전했다. 다만 쿠팡 측은 내부 직원 소행 가능성에 대해선 확인이 어렵다는 입장이다. 쿠팡은 이날 오후 웹사이트와 애플리케이션에 게재한 사과문에서 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않아 고객이 계정 관련해 조치를 취할 필요는 없다”고 밝혔다. 하지만 전문가들은 이번 사고가 스미싱이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고한다. 한국인터넷진흥원(KISA)은 ‘피해 보상’이나 ‘피해 사실 조회’, ‘환불’ 등의 키워드로 피해 기업(쿠팡)을 사칭하는 스미싱이나 보이스피싱 등에 주의할 것을 권고했다. 김기형 아주대 사이버보안학과 교수는 “최근 주문 건에 문제가 있다며 주소나 연락처를 다시 확인하라는 식의 피싱이 대표적”이라면서 “문자, 전화, 카카오톡 등 어떤 채널에서도 모르는 링크는 클릭하지 않는 것이 중요하다”고 말했다. 정보 유출 경로가 오리무중인 상황에서 피해를 본 소비자들은 분통을 터뜨리고 있다. 빠른 배송 때문에 쿠팡을 애용했다는 구정순(62)씨는 이번 사태가 터지자마자 쿠팡을 탈퇴했다. 구씨는 “회사가 정확한 진단이나 대책을 내놓지 못해 정보가 유출된 피해자만 발을 동동 구르고 있다”며 “‘전화번호는 노출됐는데 카드 정보와 비밀번호는 노출되지 않았다’는 회사의 설명을 어떻게 믿겠느냐”고 말했다. 일부 고객 사이에서는 공동 현관 비밀번호도 털렸을 수 있다는 불안감이 높은 상황이다. 쿠팡의 경우 음식이나 택배 배송 요청란에 아파트 공동 현관 비밀번호를 쓰는 경우가 많고 이를 배송 정보로 관리하기 때문이다.

이번 쿠팡의 정보 유출은 특히 사고를 인지하기까지 5개월이나 걸렸다는 데 대한 비판이 거세다. 회사의 깜깜이 대응에 실망한 소비자들은 집단소송 등 단체 행동에 나설 움직임도 보이고 있다. 30일 쿠팡에 따르면 고객 계정과 관련된 개인정보 무단 접근은 지난 6월 24일부터 시작됐지만, 쿠팡은 이를 지난 18일에야 인지하게 됐다. 쿠팡은 그동안 공격자 입장에서 취약점을 찾는 ‘레드팀’과 선제적 위협 탐지·대응을 맡은 ‘고스트팀’을 운영하면서 수준 높은 보안 조직을 갖췄다고 홍보했지만 정작 개인정보 노출 기간이나 사고 발생 원인에 대해서는 ‘조사 중’이라며 함구하고 있다. 쿠팡 측은 “현재까지 2차 피해는 보고된 바 없다”고 했지만 소비자의 불안과 불신은 확산하고 있다. 민관합동조사단을 꾸리고 쿠팡 본사에서 현장 조사를 진행 중인 정부는 쿠팡 서버 인증 체계에 취약점이 있었다고 짚었다. 이날 배경훈 부총리 겸 과학기술정보통신부 장관은 정부서울청사에서 관계 부처 긴급회의를 열고 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3000만개 이상 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인했다”고 설명했다. 정부는 회의에서 국가 배후 범죄 가능성에 대해서도 논의했으며, 쿠팡 서버에서 악성코드는 발견되지 않았다고 밝혔다. 쿠팡의 개인정보보호법상 안전조치의무 위반이 확인되면 엄정 제재할 방침이다. 이번 사고가 쿠팡의 내부 직원 소행이라는 추측이 나오면서 내부 보안 대책에 허점이 있었다는 비판도 피할 수 없게 됐다. 특히 수천만명의 정보가 새 나가는 동안 자체적으로 부정·불법 행위를 탐지해 내지 못할 정도로 쿠팡 서버의 모니터링 체계가 미흡했다는 지적이 나온다. 염흥열 순천향대 정보보호학과 명예교수는 “유출자가 직장 상사 등의 ID와 비밀번호를 확보해 타인의 접근 권한까지 가졌을 가능성이 있다”며 “서버 접속 과정에서 2차 인증이 필요한데도 1차 인증만으로 통과되는 등 인증 체계의 취약점이 추정된다”고 말했다. 쿠팡의 책임과 보상을 촉구하기 위한 소비자 움직임도 확산하고 있다. 지난 29일 네이버에 개설된 ‘쿠팡 정보유출 집단소송 카페’ 운영진은 “3370만명이 피해를 본 초유의 사태에 대해 법적 책임을 묻고 공동 대응 방안을 마련하겠다”며 출범 취지를 밝혔다. 카카오톡에서 ‘쿠팡 정보유출 피해자 모임’ 채팅방을 개설한 이모(49)씨도 “개인의 힘으로는 거대 기업인 쿠팡의 안일한 대응에 맞서기 어렵다고 판단했다”면서 “집단 분쟁 조정 신청이나 공동소송까지 고려하고 있다”고 설명했다. 손해배상 집단소송을 준비 중인 김경호 변호사(법무법인 호인)는 “핵심 쟁점은 쿠팡이 개인정보보호법 제29조에 따른 ‘안전조치의무’를 다했는지 여부”라면서 “해킹 기술이 고도화됐다 하더라도 쿠팡이 당시 기술 수준에서 요구되는 접근 통제, 접속 기록 보관, 암호화 조치 등을 소홀히 했다면 과실이 인정된다”고 주장했다.

쿠팡에서 국내 인구 4분의 3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생하자, 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있어서 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보로 복제폰을 만드는데 악용될 가능성이 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유가 중국에 개인정보가 넘어갈까봐였는데, 이번 사태로 개인이 식별되는 정보가 넘어가게 될 경우 중국 이커머스가 고객 타겟팅을 더 정교화하는데 쓰일 수 있다”고 말했다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”면서 “3차 피해는 쿠팡 때문인지 특정할 수도 없고 피해 규모를 규명하기도 어려워 소비자 피해가 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개의 배송지 정보를 입력했을 가능성이 높기 때문이다. 이 경우 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이란 전망도 나온다. 전문가들은 피해를 본 소비자라면 보이스피싱, 스미싱 등에 유의할 것을 당부했다. 한국인터넷진흥원(KISA)은 출처가 불분명한 사이트 주소(링크)가 포함된 문자 메시지를 받은 경우 클릭하지 말고 바로 삭제하라고 권고한다. 의심되는 사이트 주소는 정상 사이트와 일치하는지 확인하는 편이 좋다. 카카오톡 채널 ‘보호나라’를 활용해 스미싱·피싱 사이트 여부를 확인하고 신고할 수 있다. 번호 도용 가능성이 의심된다면 이동통신사에서 제공하는 ‘번호도용문자 차단서비스’를 신청할 수 있다. 개인정보보호위원회가 운영하는 ‘개인정보포털’은 개인정보의 다크웹 유출 여부, 분쟁 조정 등의 서비스를 제공한다.

국내 이커머스(전자상거래) 시장 1위 업체인 쿠팡이 대규모 개인정보 유출 사고에 대해 공개 사과했다. 박대준 쿠팡 대표는 30일 오후 정부서울청사에서 기자들과 만나 이같은 뜻을 밝혔다. 박 대표는 “이번 사태로 인해 피해를 보신 쿠팡 고객들과 국민들에게 심려를 끼쳐드려 너무 죄송한 말씀과 사과의 말씀을 드린다”고 고개를 숙였다. 그러면서 이번 사태의 원인이 빠르게 규명될 수 있도록 노력하겠다는 뜻도 전달했다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 무단으로 노출된 사실을 인지했다고 밝혔으나 후속 조사 과정에서 노출된 계정 수가 3370만개로 확인됐다. 고객 이름, 이메일 주소, 배송지 주소록에 입력된 정보 등이 유출됐지만 결제 정보와 로그인 정보 등은 유출 대상에 포함되지 않았다는 게 쿠팡 측 설명이다. 쿠팡은 지난 25일 정보통신망법상 정보통신망 침입 혐의로 ‘성명불상자’를 수사해달라고 경찰에 고소장을 제출한 바 있다. 회사도 이날 박 대표 명의의 사과문을 내고 “올해 6월 24일 시작된 쿠팡의 최근 사고에 유감을 표명한다”며 “국민 여러분께 큰 불편과 걱정을 끼쳐드려 진심으로 사과드린다”고 밝혔다. 이어 “올해 6월부터 최근까지 고객 정보에 대한 무단 접근이 발생했다”며 “무단 접근된 고객 정보는 이름과 이메일, 전화번호, 배송지 주소, 특정 주문 정보로 제한됐다”고 밝혔다. 쿠팡은 “모든 고객 정보를 보호하는 것이 가장 중요한 우선순위”라며 “종합적인 데이터 보호 및 보안 조치와 프로세스를 유지하고 있다”고 덧붙였다. 이어 “과학기술정보통신부와 개인정보보호위원회, 한국인터넷진흥원, 경찰청 등 민관합동조사단과 긴밀히 협력해 추가적인 피해 예방을 위해 최선을 다하겠다”고 밝혔다. 쿠팡은 “앞으로 이러한 사건으로부터 고객 데이터를 더 안전하게 보호할 수 있도록, 현재 기존 데이터 보안 장치와 시스템에 어떤 변화를 줄 수 있는지 검토하고 있다”고 부연했다.