배송·결제 편의성 확대 속 개인정보 유출 가능성 커져
주요 이커머스 보안 투자·전담 인력 변화 없어
고객 정보 유출이 끝이 없다. 이커머스는 온상이다. 쿠팡에 이어 무신사를 거쳐 G마켓으로 꼬리에 꼬리를 문다. 그럼에도 '소 잃고 외양간 고치기'는 없다. 기업들은 피해 보상과 보안 강화를 약속할 뿐이다.
이미 빠져나간 개인정보를 이용한 추가 피해 우려까지 없앨 수도, 차후 재발방지를 장담할 수도 없다. 사고 이후 보상뿐 아니라 사전 예방에 필요한 투자와 관리가 충분했는지 따져봐야 한다는 지적이 나오는 이유다.
G마켓은 지난해 정보보호 투자와 전담인력을 모두 줄였다. 투자·인력 감소가 이번 사고의 직접적인 원인이었는지는 확인되지 않았다. 그러나 고객정보를 보호하는 데 필요한 인력과 시스템을 유지했는지, 비정상적인 접근을 제때 탐지했는지는 점검해야 할 대목이다.
 |
| ▲ 자료=각사 발표 |
4일 이커머스 업계에 따르면 G마켓은 지난달 말 고객이 구매한 e쿠폰의 핀번호가 제3자에 의해 무단으로 사용된 정황을 확인했다. 회사는 외부 서비스 응용프로그램 인터페이스(API)의 취약점을 악용한 비인가 접근으로 사고가 발생했다고 설명했다.
유출된 정보는 고객 이름과 아이디, 전화번호, 이메일, 주소, e쿠폰 핀번호 등이다. 로그인 비밀번호는 유출되지 않았다는 게 회사 설명이다.
G마켓은 e쿠폰 무단 사용으로 금전적 피해를 본 고객에게 피해액 전액을 액면가 기준으로 보상했다. 금전적 피해가 없는 개인정보 유출 고객에게도 스마일캐시 1만 원을 지급했다. 비인가 접근 경로를 차단하고 e쿠폰 핀번호 교체 등 후속 조치도 진행했다.
하지만 금전적 손실을 메우는 것과 개인정보 유출에 따른 불안을 해소하는 것은 별개다. 이름과 전화번호, 주소 등이 이미 유출됐다면 피싱이나 사칭 등 추가 피해에 대한 우려는 남는다.
경기도에 거주하는 40대 김 모 씨는 "기업들은 한 명당 1만 원 안팎의 쿠폰을 주면서 피해보상을 다했다는 입장이지만 소비자들은 그걸로 충분치 않다"며 "이젠 회원 가입을 하지 않고도 물건을 살 수 있는 곳을 찾아다니고 있다"고 말했다.
이커머스 기업은 주문과 배송 과정에서 고객의 이름과 연락처, 주소 등을 처리한다. 구매 이력과 소비 성향도 축적한다. 개인화 서비스가 고도화되고 배송·배달에 여러 사업자가 참여할수록, 정보별 접근 권한과 이용 범위를 엄격히 관리할 필요가 있다.
이홍주 숙명여대 소비자경제학과 교수는 "이커머스 업체들이 가진 개인정보는 구매패턴, 소비성향 등 구체적인 데이터가 포함된다"며 "최근 개인화 서비스도 강화되면서 이커머스 업체들의 개인정보를 노리는 해커집단들의 공격은 더 거세질 수밖에 없다"고 말했다.
고객정보의 활용 범위는 넓어지고 있지만 G마켓의 정보보호 투자와 인력은 줄었다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 G마켓의 지난해 정보보호 투자액은 123억7230만 원으로, 전년 149억9926만 원보다 17.5% 감소했다. 같은 기간 전체 IT 투자액은 약 1357억 원에서 1269억 원으로 줄었다. 정보보호 투자 감소 폭이 전체 IT 투자 감소 폭보다 컸다.정보보호 전담인력도 61명에서 42.8명으로 29.8% 감소했다. 인원은 공시상 환산 기준이다.
투자액이나 인원만으로 보안 수준을 단정할 수는 없다. 중요한 것은 실제 위험에 대응할 체계가 갖춰져 있었느냐다. 이번 사고에서도 API 접근 권한과 인증 절차가 적절했는지, 대량 조회나 비정상적인 이용을 탐지하는 장치가 작동했는지 확인이 필요하다.
사고가 난 뒤 부과하는 과징금 역시 사전 예방을 대신할 수는 없다. 개인정보보호위원회는 올해 쿠팡에 개인정보 유출과 타사 온라인 활동정보 무단 수집 등 위반 행위에 대해 총 6200억 원대 과징금을 부과했다. 쿠팡은 처분에 불복해 취소소송을 제기했다.
제재와 별개로 기업이 보안 관리의 취약점을 고치고, 당국이 그 이행 여부를 확인하는 과정이 중요하다. 보상 지급을 마쳤다는 발표만으로 사고 대응이 끝났다고 볼 수 없는 이유다.
황용식 세종대 경영학부 교수는 "쿠팡 사태를 보더라도 개인정보 유출로 인해 소비자 불신이 커지면 기업 실적에 악영향을 끼친다는 인식이 널리 퍼진다면 기업들도 정보보호 예산과 인력 투입에 더 적극적으로 바뀔 것"이라고 말했다.
반복되는 사고를 줄이려면 '보안 강화' 약속을 구체적인 조치로 보여줘야 한다. 어떤 취약점을 고쳤고, 접근 권한과 탐지 체계를 어떻게 바꿨으며, 그 효과를 누가 검증했는지 설명해야 한다. 소비자가 확인하고 싶은 것은 보상 금액뿐 아니라 같은 사고를 되풀이하지 않을 근거다.
KPI뉴스 / 유태영 기자 ty@kpinews.kr
[저작권자ⓒ KPI뉴스. 무단전재-재배포 금지]
