인터파크 '개인정보 유출’ 늑장 대응 논란..2차 피해는?

회원 절반 정보 유출..2주간 침묵

인터파크 홈페이지 캡처.

1030만명의 고객 개인정보가 유출된 인터파크가 늑장 대응 논란에 휩싸였다. 전체 회원의 절반에 가까운 사람들이 2차 피해를 입을 가능성이 나오고 있음에도 불구하고

26일 관련업계에 따르면 인터파크는 지난 5월 지능형 지속가능 위협(Advanced Persistent Threat, APT) 형태의 해킹으로 인해 1030만명의 고객 정보를 침해 당했다.

이번에 침해 당한 회원정보에는 이름, id, 이메일주소, 주소, 전화번호 등이 포함됐으나 주민번호, 금융정보 등 민감한 정보가 포함되지는 않았다고 회사 측은 설명했다. 회원마다 유출된 정보는 다소 차이가 있는 것으로 알려졌다.

논란이 된 지점은 인터파크가 해킹 사실을 인지한 후에도 2주간 침묵을 지키다 언론 보도 후에서야 공식 사과문을 발표했다는 것이다.

인터파크는 해커 집단이 지난 11일 30억원의 금품을 요구하는 메일을 보냈을 때 해킹 사실을 인지한 것으로 알려졌다. 그러나 2주가 지난 25일 오후 한 언론에서 보도가 나간 후에야 공식 입장자료를 배포했다는 점이 비판의 대상이 되고 있다.

게다가 인터파크의 홈페이지 사과문 게재는 이보다 더 늦었다. 소비자들은 2주간이나 개인정보 유출 사실을 고객에게 고지하지 않은 인터파크의 대응이 더 큰 문제가 있다고 지적하고 있다.

해킹 사실을 인지한 후 언론 보도가 나오는 2주 사이에 인터파크가 이용약관을 변경한 점도 도마 위에 올랐다.

인터파크는 지난 20일 “회원은 선량한 관리자의 주의의무로 자신의 ID와 비밀번호를 관리해야 하며, 회원이 자동로그인, SNS연동로그인 등 ID를 부주의하게 관리하거나 타인에게 양도, 대여함으로써 발생한 손해에 대하여 회사는 어떠한 책임도 부담하지 않습니다”라는 내용을 이용약관에 추가했다.

회사 측은 8월 중 ‘SNS연동 로그인’ 시스템을 도입하는 과정에서 추가한 약관이라고 설명하고 있지만 일각에서는 해킹 사태와 연관 짓는 의혹이 나오고 있다. 향후 이번 고객정보 유출로 피해를 입는 사례가 발생할 시 회사가 이 약관을 내세울 수 있다는 것이다.

해당 약관이 개인의 부주의에 관한 내용인 만큼 회사의 잘못인 해킹으로 인한 피해와는 관련되지 않는다는 반론도 나오지만 ‘우연의 일치’로만 보기는 어렵다는 의견도 나온다.

이와 함께 2300만명의 회원 중 절반에 가까운 1030만명이 개인정보를 유출당했음에도 불구하고 인터파크의 대응이 지나치게 안일하다는 지적도 제기된다.

주민번호, 금융정보 등 민감한 정보는 유출되지 않아 2차 피해는 적다는 것이 회사 측의 입장이지만 인터파크가 티켓과 여행상품을 주로 판매하는 회사이기 때문에 다양한 피해 발생 가능성이 있다.

예를 들어 공연 티켓의 경우 이름과 휴대폰 번호 등 간단한 정보만 있으면 현장 수령이 가능해 티켓 편취가 가능하다. 또 여행 관련 정보까지 유출됐을 경우 실제 범죄로도 이어질 수 있다.

인터파크 관계자는 “해킹 사실을 인지한 후 즉시 경찰에 신고했으며 경찰이 비공개 수사를 하기로 하면서 외부에 알리지 않은 것”이라며 “보안 시스템을 더욱 강화하고 향후 2차 피해가 발생하지 않도록 최선을 다하겠다”고 말했다.

정혜인 기자 hij@