쿠팡 이어 29CM까지…유통가 '보안 비상'

[아이뉴스24 유범열 기자] 무신사가 운영하는 패션·라이프스타일 플랫폼 29CM에서 약 16만건에 달하는 개인정보가 유출되면서 유통업계 보안문제가 다시 도마에 올랐다. 최근 유통·이커머스업체에서 대규모 고객정보 유출사고가 반복되는 만큼 사고이후 수습을 넘어 접근통제와 이상징후 탐지 등 사전예방체계를 강화해야 한다는 목소리가 커지고 있다.

31일 유통업계에 따르면 29CM 이용자 개인정보 15만9852건이 외부로 유출됐다. 이름만 유출된 사례가 13만8841건이며 이름과 함께 △이메일 주소 △휴대전화번호 △배송정보가 동시에 유출된 사례는 2만1011건으로 집계됐다. 결제정보와 아이디·비밀번호 등 계정정보는 유출대상에 포함되지 않았다.

이번 사고는 지난 27일 주문정보를 조회하는 응용프로그램 인터페이스(API)에 외부 비정상적인 접근이 발생하면서 벌어졌다. API는 서로 다른 시스템이나 프로그램이 데이터를 주고받을 수 있도록 연결하는 통로다. 온라인 쇼핑몰에서는 주문과 결제, 배송, 고객관리 등 여러 시스템을 연동하는데 폭넓게 활용된다.

29CM는 유출사실을 확인한 뒤 문제가 발생한 접근경로를 차단하고 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다. 피해고객에게는 개인별 유출항목과 2차 피해예방을 위한 대응방법을 안내했다.

구체적인 침입경로와 보안취약점, 회사의 안전조치 의무 준수여부 등은 향후 관계기관 조사를 통해 규명될 전망이다.

29CM 측은 "추가 피해 방지를 위한 보호조치를 지속하는 한편 개인정보 처리와 보안체계 전반을 철저히 재점검해 같은 사고가 재발하지 않도록 최선을 다하겠다"고 밝혔다.

업계 안팎에서는 최근 유통·이커머스 업체를 중심으로 대규모 개인정보 유출사고가 반복되면서 기업의 사전예방체계를 강화해야 한다는 목소리가 커지고 있다. 온라인 쇼핑이 일상화되면서 유통 플랫폼이 이름과 연락처, 주소 등 배송에 필요한 개인정보를 대규모로 보유하고 있기 때문이다.

유출사고에 따른 제재수위도 높아지고 있다. 개인정보보호위원회(개보위)는 지난 6월 지난해 11월 대규모 개인정보 유출사고가 발생한 쿠팡에 과징금 6246억8100만원과 과태료 1680만원을 부과했다. 개보위 조사결과 쿠팡에서는 약 3755만명의 개인정보가 유출된 것으로 파악됐다. 개보위는 인증 서명키 관리와 접근통제 소홀 등 기본적인 안전관리 체계가 미흡했다고 판단했다.

GS리테일에서도 지난해 개인정보 유출사고가 발생했다. 지난해 1월 웹사이트를 대상으로 '크리덴셜 스터핑' 공격이 이뤄지면서 고객 약 9만명의 이름·연락처·주소 등 개인정보가 유출됐다. 크리덴셜 스터핑은 다른 경로에서 탈취한 아이디와 비밀번호를 여러 사이트에 대입해 로그인을 시도하는 공격방식이다.

이후 GS리테일리 자체 점검과정에서 GS샵 고객 개인정보 약 158만건이 유출된 정황도 추가로 확인됐다. 개보위는 GS리테일에 과징금 128억3600만원과 과태료 1020만원을 부과했다.

CU를 비롯해 루이비통·디올 등에서도 지난해 개인정보 유출사고가 발생해 유통업계 전반이 개인정보 보호역량을 다시 점검해야 한다는 지적이 일고 있다.

전문가들은 기업들이 사고발생 뒤 접근경로를 차단하고 피해고객에게 통보하는데 그치지 말고 보안 취약점을 사전에 찾아내는 체계를 갖춰야 한다고 지적했다.

황석진 동국대 국제정보보호대학원 교수는 "단순히 보안에 얼마나 투자했는지가 아니라 자사의 취약점이 무엇인지 정확히 파악하고 필요한 분야에 투자하는 것이 중요하다"고 말했다.

개보위도 사후 제재에서 사전 예방 중심으로 개인정보 보호 정책의 무게중심을 옮기는 모습이다. 개보위는 지난 5월 '예방 중심 개인정보 관리체계 전환계획'을 마련하고 고위험 시스템에 대한 정기 점검과 기업의 자발적인 보안 투자 확대를 위한 인센티브 강화 등에 나섰다.

송경희 개보위원장은 지난 28일 언론 인터뷰에서 "법적으로 요구되는 기준 이상의 충분한 투자를 한 회사에 대해서는 과징금 감경 요인으로 삼을 것"이라며 기업·기관의 개인정보 보호 투자를 유도하기 위한 인센티브 체계를 구축하겠다고 밝혔다.