국내 이커머스 업계 1위 쿠팡에서 3,370만 명에 달하는 고객 개인정보가 유출되는 사상 초유의 보안 사고가 발생했다. 이는 성인 4명 중 3명에 해당하는 수치로, 사실상 전 국민의 개인정보가 뚫린 셈이다. 특히 이번 사고는 외부 해킹이 아닌 내부 직원의 소행으로 추정되며, 쿠팡 측이 5개월 동안 이를 전혀 인지하지 못한 것으로 드러나 파장이 일파만파 커지고 있다.

(사진=박대준 쿠팡 대표이사)

내부 직원이 뚫었다… 5개월 뒤 고객 협박받고서야 '화들짝'

1일 정부와 업계에 따르면, 이번 유출 사고는 지난 6월 24일부터 최근까지 쿠팡의 중국 국적 직원이 해외 서버를 통해 국내 메인 서버에 무단 접근하면서 발생한 것으로 파악됐다.

문제의 직원은 지난 10월 퇴사 후, 이달 초 일부 고객에게 주문 목록과 전화번호 등이 담긴 파일을 첨부해 "당신의 개인정보를 알고 있다"는 협박성 이메일을 발송했다. 해당 고객의 항의를 받은 뒤에야 쿠팡은 자체 조사에 착수하고 유출 사실을 인지했다.

배경훈 부총리 겸 과학기술정보통신부 장관은 긴급 관계부처 장관 회의에서 "공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 3,000만 개가 넘는 고객 계정 정보를 유출했다"고 밝혔다. 유출된 정보는 고객 이름, 이메일, 배송지 주소, 전화번호 등 민감한 개인정보를 포함하고 있다.

"보안 투자 0.2%"… 덩치만 큰 유통 공룡의 민낯

이번 사태는 예고된 인재(人災)라는 지적이 나온다. 쿠팡은 지난해 연 매출 41조 원을 돌파했지만, 매출 대비 정보보호 부문 투자액은 0.2%(660억 원)에 불과했다. 이는 카카오·SK텔레콤(약 0.7%), 네이버·KT(0.4%) 등 다른 IT·통신 기업에 비해 현저히 낮은 수준이다.

보안 전문가들은 내부 통제 시스템의 부재를 강하게 비판했다. 염흥열 순천향대 정보보안학과 교수는 "이 정도 규모의 정보가 장기간 빠져나갔다는 것은 보안 통제가 제대로 작동하지 않았다는 증거"라고 지적했다. 박춘식 서울여대 교수 역시 "내부 직원에 의한 유출은 외부 해킹보다 더 심각한 피해를 초래할 수 있다"고 경고했다.

실제로 쿠팡은 과거에도 앱 오류로 인한 회원 정보 노출, 배달원 정보 유출 등 세 차례의 사고를 겪었으나, 부과된 과징금은 총 16억 원 수준에 그쳤다. 업계 관계자는 "솜방망이 처벌이 기업의 안일한 보안 의식을 키웠다"며 비판의 목소리를 높였다.

불안에 떠는 소비자들… '쿠팡 탈퇴' 러시와 집단 소송 움직임

초대형 유출 사고 소식에 소비자들은 공황 상태에 빠졌다. 쿠팡 측은 결제 정보나 비밀번호는 유출되지 않았다고 해명했으나, 고객들은 "이미 털릴 대로 다 털렸다"며 불신을 드러내고 있다.

현재 SNS와 온라인 커뮤니티에는 '쿠팡 탈퇴' 인증이 줄을 잇고 있으며, 카카오톡 오픈채팅방 등에서는 피해자들이 모여 집단 소송을 준비하고 있다. 한 피해자는 "유출 관련 문의할 곳이 고객센터뿐인데 '안심하라'는 말만 되풀이한다"며 분통을 터뜨렸다.

금융감독원은 쿠팡의 핀테크 자회사인 쿠팡페이에 자체 조사를 지시했다. 쿠팡페이 측은 현재까지 결제 정보 유출 정황은 없다고 보고했으나, 금감원은 사태의 심각성을 고려해 연관성이 확인될 경우 즉각적인 현장 조사에 나설 방침이다.

역대 최대 과징금 예고… 경찰 "엄정 수사"

쿠팡 박대준 대표는 사과문을 통해 "국민 여러분께 심려를 끼쳐 진심으로 사과드린다"며 시스템 재검토를 약속했다. 그러나 이번 사고 규모가 2014년 SK텔레콤 개인정보 유출 사건(2,324만 명)을 넘어서는 역대 최대 규모인 만큼, 법적·행정적 책임은 피하기 어려울 전망이다.

경찰청 유재성 직무대행은 "다수의 국민이 피해를 입은 만큼 철저한 수사로 진상을 규명하고 피의자를 신속히 검거하겠다"고 밝혔다. 현재 경찰은 쿠팡으로부터 서버 기록 등을 임의제출 받아 분석 중이며, 개인정보보호위원회 또한 유출 경위와 규모에 대해 강도 높은 조사를 진행하고 있다.

업계에서는 이번 사고가 내부 관리 부실로 인한 중대 과실로 판명될 경우, 쿠팡이 역대 최대 규모의 과징금 처분을 받을 것으로 관측하고 있다.