쿠팡·GS25·CJ올리브영 등 유통사 보안 투자 '헛다리?'

인력 확충 불구 사고 재발

체계 개선 시급

사진=홍연택 기자

이커머스 업체 쿠팡에서 고객 약 4500명의 개인정보가 외부로 노출되는 사고가 발생했다. 유통업계가 정보보호 투자를 확대하고 있음에도 불구하고 유사한 사고가 반복되면서 보안 체계 전반의 실효성에 대한 관심이 높아지고 있다.

21일 쿠팡에 따르면 지난 18일 일부 고객 개인정보가 비인가된 경로를 통해 조회된 사실이 확인됐다. 유출된 정보에는 이름, 이메일 주소, 배송지 주소록(전화번호·주소), 최근 5건의 주문 정보가 포함되며 결제정보는 포함되지 않았다. 회사 측은 비정상적 접근을 탐지한 즉시 해당 경로를 차단했으며 현재까지 개인정보가 실제로 악용된 정황은 확인되지 않았다고 밝혔다.

쿠팡은 이번 사고를 과학기술정보통신부, 한국인터넷진흥원(KISA), 개인정보보호위원회에 자진 신고하고 관련 모니터링을 진행하고 있다. 회사 측은 공지를 통해 고객들에게 사칭 문자나 전화 등 2차 피해 주의도 요청했다.

쿠팡은 지난해에도 판매자 시스템을 통해 약 2만 건의 주문 정보가 유출돼 16억 원 규모의 과징금과 과태료를 부과받은 바 있다.

올해 들어서도 GS25 홈페이지 해킹으로 9만건, GS샵에서 158만건, CJ올리브영에서 회원 이름과 배송지 정보가 유출되는 사례가 발생했다.

유통업체들의 정보보호 투자 규모는 증가세다. 한국인터넷진흥원의 정보보호 공시에 따르면 쿠팡, 네이버, 신세계, CJ올리브영, GS리테일 등 5개사는 2024년 기준 총 1568억원을 보안에 투자했으며 전담 인력도 389명으로 전년 대비 늘렸다.

쿠팡의 보안 투자액은 전년 대비 30.5% 증가했고 전담 인력도 13% 확충했다.

이같은 투자 확대에도 사고가 반복되면서 실효성에 대한 지적도 나온다. 특히 정보보호 공시 의무가 없는 중소형 업체들은 여전히 관리 사각지대에 놓여 있다. 지난 6월과 7월 파파존스와 써브웨이 홈페이지에서는 단순 URL 변경만으로 다른 고객의 연락처와 주문 내역 확인이 가능한 구조적 결함이 확인됐다.

업계 관계자들은 유통 플랫폼이 개인정보를 중심으로 운영되는 데이터 기업으로 변화한 만큼, 보안 체계 구축과 관리가 중요하다고 평가했다. 한 관계자는 "유통기업의 보안 사고는 기술적 문제를 넘어 소비자 신뢰와 직결된다"며 "사고 대응뿐 아니라 사전 예방 체계를 갖추는 방식이 필요하다"고 말했다.