검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인정보유출'통합검색 결과 입니다. (24건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

쿠팡이 놓친 '세 개의 주머니'

제갈량은 익주로 들어가는 유비의 앞날에 세 번의 위기가 닥칠 것을 예견한다. 그래서 조운에게 세 개의 주머니를 건네며 “급할 때 하나씩 열되, 순서를 어기지 말라”고 말한다. 위기는 예고 없이 닥치지만, 대응은 미리 준비돼 있어야 한다는 뜻이다. 나관중 '삼국지연의'에 나오는 장면이다. 지난 한 달여 간 쿠팡 개인정보 유출 사태를 지켜보면서 위 장면이 교차돼 떠올랐다. 이번 쿠팡 보안 사고는 단순한 사고가 아니다. 위기 대응의 연속된 실패 사례에 가까워 보인다. 쿠팡은 여러 차례 위기를 피할 기회가 있었다. 하지만 그때마다 잘못된 선택으로 사태를 키웠다. 주머니를 손에 쥐고도 끝내 열어보지 않거나 외면한 모양새다. 쿠팡이 놓친 첫 번째 주머니는 사고 직후 초기 대응이다. 대규모 개인정보 유출은 기업의 신뢰를 뒤흔드는 중대 사안이다. 이때 가장 중요한 것은 사실관계의 투명한 공개와 책임 있는 사과다. 그러나 쿠팡의 초기 대응은 느렸고, 메시지는 모호했다. 이용자 안내도 한발 늦었다. 이용자들이 가장 궁금해하는 '어떤 조치를 취해야 하는지'에 대한 설명도 부족했다. 위기를 키우지 않기 위해 가장 먼저 열었어야 할 첫 번째 주머니를 쿠팡은 망설이다 놓쳤다. 두 번째는 국회 청문회와 공식 사과 자리였다. 이 때 쿠팡은 진정성 있는 태도만으로도 상황을 반전시킬 여지가 있었다. 그러나 쿠팡은 성실한 답변 대신 방어적인 태도로 일관했다. 국민적 의혹과 분노에 정면으로 응답하지 않았다. 급기야 한국 대표를 경질하고, 한국 사회의 정서와 규제 환경에 익숙하지 않은 미국 출신 인사를 임시 대표로 세우는 선택을 했다. 소통 부재 논란이 커지는 상황에서 '말이 더 안 통하는 구조'를 자초한 셈이다. 이는 위기를 관리하기는커녕, 오히려 새로운 불신의 불씨를 던진 결정이었다. 여기에 김범석 의장의 국회 청문회 출석 요구 불응은 결정타였다. 창업자이자 실질적 최고 책임자가 책임의 최전선에 서지 않겠다는 신호는 쿠팡이 이 사태를 어떻게 인식하고 있는지 그대로 드러냈다. 두 번째 주머니엔 '책임자 등판과 진정성 있는 사과'가 담겨 있어야 했다. 그러나 쿠팡은 이 역시 열지 않았다. 세 번째는 사태 수습의 마지막 카드, 즉 보상과 후속 조치였다. 하지만 이마저도 논란으로 이어졌다. 개인정보 유출 혐의자 발표를 정부와의 충분한 조율 없이 단독으로 진행하면서 또 다른 혼선을 낳았다. 보상안 역시 피해자들이 체감할 수 있는 수준과는 거리가 멀었다. 금액과 방식 모두에서 “이게 최선인가”라는 반응이 나왔고, 이용자들의 분노는 가라앉지 않았다. 마지막 주머니마저 허술하게 열어본 결과다. '삼국지연의'에서 제갈량이 건넨 주머니는 기적의 계책이 아니다. 상식적인 판단과 대응 순서 정도일 뿐이다. 처음에는 민심을 얻고, 그 다음 내부를 안정시키며, 마지막에는 물러날 줄 아는 선택. 쿠팡이 현명했다면, 혹은 곁에 냉정한 지략가 한 명만 있었더라도 이 사고는 지금과는 전혀 다른 국면이지 않았을까. 이번 개인정보 유출 사태는 불가항력적 재난이 아니었다. 위기를 조기에 관리할 수 있는 기회가 반복해서 주어졌고, 그때마다 쿠팡은 잘못된 판단을 내렸다. 그 결과, 단일 사고가 기업 문화와 책임 의식 전반을 묻는 문제로 확장됐다. 위기는 예견하지 못했더라도 대응만큼은 준비할 수 있었다.

2025.12.29 11:22백봉삼

쿠팡 사실상 '1만원' 보상...부정 여론 잠잠해질까

쿠팡이 대규모 개인정보 유출 사고에 대한 후속 조치로 1조6천850억원 규모 고객 보상안을 내놨지만, 실제 고객 1인이 체감할 보상 수준은 1만원 안팎에 그쳐 이용자 반발이 예상된다. 전 고객에게 1인당 최대 5만원 상당의 구매이용권을 지급하는 방안이지만, 사용처가 4개 서비스로 쪼개져 있고 일부는 활용도가 낮기 때문이다. 이번 보상안이 악화된 여론을 되돌릴 카드로 활용될 수 있을지 관심이 모인다. 쿠팡은 최근 발생한 개인정보 유출 사고와 관련해 고객 신뢰 복원을 위한 보상안을 시행하겠다고 29일 발표했다. 보상 대상은 지난 11월 말 개인정보 유출 통지를 받은 3천370만개 계정으로, 와우 회원과 일반 회원은 물론 탈퇴 고객까지 포함된다. 쿠팡은 내년 1월 15일부터 구매이용권을 순차적으로 지급할 예정이다. 이번 보상안의 총 규모는 1조6천850억원이다. 고객 1인당 지급되는 금액은 총 5만원이지만, 단일 이용권이 아닌 4개로 나뉜 형태다. 구체적으로는 쿠팡 전 상품 구매이용권 5천원, 쿠팡이츠 5천원, 쿠팡트래블(여행) 2만원, 알럭스(명품) 상품 2만원 등이다. 각 이용권은 1회 사용만 가능하다. 이 때문에 '전 고객 5만원 보상'이라는 표현과 달리, 실제 체감 보상은 1만원 안팎에 그칠 수 있다는 평가도 나온다. 여행이나 명품 등 특정 서비스에 대한 소비 의사가 없을 경우 일부 이용권은 사실상 활용이 어렵기 때문이다. 전 상품 구매이용권과 쿠팡이츠 이용권을 합쳐도 즉시 활용 가능한 금액은 1만원 수준이라는 지적이다. 쿠팡은 이번 조치가 단순한 금전 보상이 아니라 고객 신뢰 회복을 위한 책임 있는 결정이라는 입장이다. 해롤드 로저스 한국 쿠팡 임시대표는 “쿠팡의 모든 임직원은 최근의 개인정보 유출 사태가 고객에게 얼마나 큰 우려와 심려를 끼쳤는지 깊이 반성하고 있다”며 “고객을 위한 책임감 있는 조치를 취하는 차원에서 보상안을 마련했다”고 밝혔다. 또 “이번 사태를 계기로 쿠팡은 가슴 깊숙이 고객 중심주의를 실천, 책임을 끝까지 다해 고객이 신뢰하는 기업으로 거듭나겠다”며 “고객 여러분께 다시 한번 깊이 사과드린다”고 말했다. 다만 업계와 소비자 반응은 엇갈린다. 보상 총액만 놓고 보면 국내 유통·플랫폼 업계에서 전례를 찾기 어려운 수준이지만, 사안의 중대성과 비교하면 충분한 보상인지에 대해서는 논란이 이어지고 있다. 특히 정부 조사 결과와 책임 소재가 아직 명확히 가려지지 않은 상황에서, 선제적 보상 발표가 여론 관리 성격이 강한 것 아니냐는 해석도 나온다. 이커머스 업계 관계자는 "5천원이면 각 회사 행사 때 쿠폰 제공하는 것과 별반 다르지 않은 것 같다"며 "오히려 이용자들이 잘 모르는 서비스를 이용하라고 상품권을 제공하는 느낌"이라고 말했다.

2025.12.29 10:52안희정

김범석 쿠팡 의장 "초기 대응·소통 부족 진심 사과"

"돌이켜보면 (개인정보 유출 사고 직후 사과하지 않은 것은) 잘못된 판단이었다. 쿠팡이 밤낮없이 상황을 해결하기 위해 노력하는 동시에, 저도 처음부터 깊은 유감과 진심 어린 사과의 뜻을 전했어야 했다." 김범석 쿠팡 이사회 의장이 개인정보 유출 사고와 관련해 사고 초기 대응과 소통 미흡을 인정하고, 고객 신뢰 회복과 재발 방지를 약속했다. 김 의장은 28일 사과문을 통해 “쿠팡에서 발생한 개인정보 유출 사고로 고객과 국민께 큰 걱정과 불편을 끼쳐드렸다”며 “창업자이자 이사회 의장으로서, 전체 임직원을 대표해 진심으로 사과드린다”고 밝혔다. 이어 “많은 국민이 실망한 상황에서 참담함을 금할 수 없다”고 덧붙였다. 특히 그는 사고 초기 명확한 설명과 직접적인 소통이 이뤄지지 못한 점을 공개적으로 사과했다. 김 의장은 “모든 자원과 인력을 투입해 문제 해결과 2차 피해 차단에 집중했지만, 사과와 소통이 늦어진 것은 잘못된 판단이었다”며 “처음부터 깊은 유감과 사과의 뜻을 전했어야 했다”고 후회했다. 쿠팡에 따르면, 회사는 사고 직후 정부와 협력해 조사를 진행했으며, 최근 유출된 고객 정보 전량을 회수했다. 유출자의 진술을 확보하고, 개인정보가 저장돼 있던 모든 장치를 회수했으며, 외부 유포나 판매는 없었던 것으로 확인됐다는 설명이다. 쿠팡 조사 결과, 유출된 고객 정보는 약 3천건으로 파악됐다. 다만 조사는 현재도 진행 중이며, 추가로 확인되는 내용은 추후 공개한다는 방침이다. 쿠팡은 사고 초기부터 정부에 유출 사실을 통보하고, 관련 자료를 모두 제출하는 등 전면 협조해 왔다고 주장했다. 이 과정에서 정부의 기밀 유지 요청을 준수하면서, 2차 피해 가능성을 차단하는 데 주력했다는 입장이다. 김 의장은 “고객 정보 100% 회수만이 신뢰 회복의 전부라고 생각하다 보니, 국민과의 소통에 소홀했다”며 “비판과 질책을 겸허히 받아들인다”고 밝혔다. 이어 “애초에 데이터 유출을 예방하지 못한 책임을 무겁게 인식하고 있다”고 덧붙였다. 쿠팡은 향후 이사회를 중심으로 한국 고객을 대상으로 한 보상안을 마련해 조속히 시행할 계획이다. 또 정보보안 체계 전반을 재점검하고, 보안 투자와 내부 통제를 대폭 강화하겠다고 약속했다. 정부의 최종 조사 결과가 나오는 대로 이를 반영한 재발 방지 대책도 수립·시행할 예정이다. 김 의장은 “이번 실패를 교훈 삼아 세계 최고 수준의 사이버 보안 체계를 구축하겠다”며 “고객의 신뢰와 기대가 쿠팡이 존재하는 이유라는 점을 잊지 않겠다”고 강조했다. 끝으로 그는 “이번 사건을 계기로 철저히 쇄신해, 다시 신뢰받는 기업으로 거듭나겠다”며 거듭 사과했다. [다음은 쿠팡 김범석 의장 사과문] 쿠팡에서 일어난 개인정보 유출 사고로 고객과 국민들께 매우 큰 걱정과 불편을 끼쳐드렸습니다. 쿠팡의 창업자이자 이사회 의장으로서, 쿠팡의 전체 임직원을 대표해 진심으로 사과드립니다. 많은 국민들이 실망한 지금 상황에 참담함을 금할 수가 없습니다. 저희의 책임으로 발생한 이번 데이터 유출로 인해 많은 분들께서 자신의 개인정보가 안전하지 않다는 두려움과 불안을 느끼셨습니다. 또한 사고 초기부터 명확하고 직접적으로 소통하지 못한 점으로 인해 큰 좌절감과 실망을 안겨 드렸습니다. 사고 직후 미흡했던 초기 대응과 소통 부족에 대해 진심으로 사과드립니다. 무엇보다도 제 사과가 늦었습니다. 저는 모든 자원과 인력을 투입해 상황을 해결하고 고객 여러분께 2차 피해가 발생하지 않도록 하는 데 전적으로 지원했습니다. 말로만 사과하기보다는, 쿠팡이 행동으로 옮겨 실질적인 결과를 내고 대한민국 국민을 위한 최선의 이익에 부합하는 모든 가능한 조치를 취하고자 했습니다. 또한 많은 오정보가 난무하는 가운데 상황이 매우 빠르게 변화하고 있었기에, 모든 사실이 확인된 이후에 공개적으로 소통하고 사과하는 것이 최선이라고 판단했습니다. 돌이켜보면, 이는 잘못된 판단이었습니다. 쿠팡이 밤낮없이 상황을 해결하기 위해 노력하는 동시에, 저도 처음부터 깊은 유감과 진심 어린 사과의 뜻을 전했어야 했습니다. 데이터 유출의 초기 정황을 인지한 이후 제 마음은 무겁기만 했습니다. 오늘 쿠팡은 개인정보 유출 사건의 진행 경과와 쇄신의지를 밝히고자 합니다. 한국 쿠팡과 쿠팡의 임직원은 사태 직후 고객의 신뢰 회복을 위해 '2차 피해 가능성'부터 즉각 차단해야 한다는 막중한 책임감으로 문제 수습을 최우선 과제로 삼았습니다. 지난 한달간 매일 지속적인 노력 끝에, 쿠팡은 최근 정부와의 협력을 통해 유출된 고객 정보 100% 모두 회수 완료했습니다. 유출자의 진술을 확보했고, 모든 저장 장치를 회수했습니다. 이 과정에서 유출자의 컴퓨터에 저장되어 있던 고객 정보가 3,000건으로 제한되어 있었음이 확인되었으며, 이 또한 외부로 유포되거나 판매되지 않았다는 점도 확인되었습니다. 조사는 계속 진행 중이며, 추가 사항이 확인되는 대로 안내 드리겠습니다. 쿠팡은 조사 초기부터 정부와 전면적으로 협력해 왔습니다. 사고 직후 유출자를 특정하여 정부에 통보했고, 정부와의 협력을 통해 사용된 장비와 유출된 정보를 신속히 회수했으며 모든 관련 자료를 정부에 제출했습니다. 일련의 과정에서, 많은 오정보가 확산되는 상황에서도 정부의 '기밀 유지' 요청을 엄격히 준수했습니다. 유출자가 탈취한 고객의 개인 정보를 100% 회수하는 것만이 '고객 신뢰 회복'의 모든 것이라 생각했습니다. 그렇게 달려오다 보니 국민 여러분과 소통에 소홀했습니다. 소통의 문제점을 지적하신 모든 분들께 송구하며 비판과 질책을 겸허히 받아들입니다. 유출된 개인정보를 성공적으로 회수하여 확보한 이후에도, 저희는 애초의 데이터 유출을 예방하지 못한 실패를 엄중히 인식하고 있으며, 그로 인해 끼쳐 드린 모든 우려와 불편에 대해 깊이 사과드립니다. 처음부터 다시 신뢰를 쌓겠습니다. 이사회를 중심으로 한국 쿠팡이 불편을 겪으신 한국 고객들에게 보상안을 마련해 조속히 시행할 수 있도록 하겠습니다. 나아가 다시는 이번 개인정보 유출 사태와 같은 실수를 반복하지 않기 위해, 쿠팡의 정보보안 조치와 투자를 전면적으로 쇄신하겠습니다. 책임을 다해 필요한 투자와 개선이 지연되지 않도록 하겠습니다. 이번 실패를 교훈이자 도약의 발판으로 삼아 세계 최고 수준의 사이버 보안 체계를 구축하겠습니다. 보안 허점의 원인을 철저히 규명하고 보안 시스템을 혁신하겠습니다. 정부의 최종 조사 결과가 나오면, 그 내용을 토대로 재발방지 대책을 만들어 시행하겠습니다. 고객 여러분의 신뢰와 기대가 쿠팡이 존재하는 이유입니다. 쿠팡은 이번 사건을 계기로 스스로를 철저히 쇄신하고, 세계 최고의 고객 경험을 만들기 위한 도전을 결코 멈추지 않겠습니다. 다시 한번 국민 여러분께 사과드립니다.

2025.12.28 14:41백봉삼

쿠팡 "고객보상 방안 곧 발표...2차 피해 끝까지 막겠다"

쿠팡이 최근 발생한 개인정보 유출 사태 관련 용의자인 유출자를 특정했다면서, 고객 보상 방안을 조만간 별도로 발표하겠다고 약속했다. 이어 고객들에게 다시 한 번 고개를 숙였다. 쿠팡은 25일 “이번 개인정보 유출로 고객 여러분께 큰 걱정과 불편을 끼쳐드린 점에 대해 책임을 통감한다”면서 “사태 수습과 재발 방지를 위해 모든 역량을 동원하고 있으며, 고객 보상 방안도 곧 공식 안내할 예정”이라고 밝혔다. 이어 “정부기관 조사에 성실히 협조하는 한편, 2차 피해가 발생하지 않도록 끝까지 책임 있는 조치를 이어가겠다”며 “이번 사태를 계기로 개인정보 보호 체계를 전면 재점검하고 재발 방지 대책을 강구하겠다”고 강조했다. 아울러 “수많은 고객과 국민들께 심려를 끼쳐드린 점에 대해 다시 한 번 진심으로 사과드린다”고 거듭 사과했다. 유출자 특정·정보 회수 완료…“외부 전송 없어” 쿠팡에 따르면, 회사는 디지털 지문(digital fingerprints) 등 포렌식 증거를 토대로 고객 정보를 유출한 전직 직원을 특정, 유출에 사용된 모든 장치와 저장매체를 회수해 확보했다. 현재까지 조사 결과에 따르면 유출자는 단독으로 범행을 저질렀으며, 탈취한 내부 보안 키를 이용해 약 3천300만 명 고객 계정의 기본 정보에 접근했다. 다만 실제로 저장한 정보는 약 3천개 계정에 한정됐고, 해당 정보는 모두 삭제한 것으로 확인됐다. 저장된 정보에는 이름·이메일·전화번호·주소·일부 주문 정보가 포함됐으며, 공동현관 출입번호는 2천609개가 포함된 것으로 파악됐다. 결제정보·로그인 정보·개인통관고유번호 등 민감 정보는 접근·유출되지 않았고, 제3자에게 외부 전송된 사실도 없는 것으로 조사됐다. 쿠팡은 사건 초기부터 맨디언트·팔로알토 네트웍스·언스트앤영 등 글로벌 보안업체 세곳에 포렌식 조사를 의뢰해 조사를 진행했다. 회사 측은 “외부 전문기관의 분석 결과 역시 유출자의 진술과 일치하며, 추가 유출 정황은 발견되지 않았다”고 설명했다. 유출자는 개인 데스크톱 PC와 맥북에어 노트북을 사용해 고객 정보에 접근한 것으로 조사됐으며, 해당 PC와 하드디스크는 모두 제출돼 분석이 완료됐다. 맥북에어 노트북의 경우 증거 인멸을 시도해 하천에 투기했으나, 수색을 통해 회수됐고 일련번호도 유출자의 계정 정보와 일치한 것으로 확인됐다. 이번 쿠팡 발표와 관련, 과학기술정보통신부는 민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 것에 대해 쿠팡에 강력히 항의했다고 밝혔다. 과기정통부는 "현재 민관합동조사단에서 정보유출 종류 및 규모, 유출경위 등에 대해 면밀히 조사 중에 있는 사항"이라면서 "쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았다"고 덧붙였다.

2025.12.25 18:00백봉삼

넷마블, PC 게임 포털 사이트 해킹 관련 추가 조사 결과 발표…개인정보 8천48건 유출

넷마블이 최근 발생한 외부 해킹으로 인한 PC 게임 포털사이트 고객 정보 유출 건과 관련된 추가 조사 결과를 공식 사이트 공지를 통해 발표했다. 3일 공지 내용에 따르면 ▲고객센터를 통한 문의 고객(2003~04년, 2014~21년)의 이름, 이메일 등 상담자 확인 내용 3천185건(주민등록번호 314건 포함) ▲온라인 입사 지원자(2003~06년)의 이름, 이메일, 종교 등 입사지원서 기재 내용 2천22건(주민등록번호 990건 포함) ▲잡페어 부스 방문자(2011년)의 이름, 이메일, 휴대번호 등 부스 방문 등록 내용 966건(전체 정보 암호화) ▲B2B 사업 제안 담당자(2001~05년, 2011~21년)의 이름, 이메일, 휴대번호 등 사업 제안서 기재 내용 1천875건이 유출된 것으로 추가 확인됐다. 앞서 넷마블은 지난달 27일 1차 자체 조사 결과를 발표하고 PC 게임 포털 사이트 회원(휴면 계정 포함) 총 611만 명의 이름과 생년월일, 암호화된 비밀번호 등이 유출됐다고 밝힌 바 있다. 넷마블 측은 추가로 확인된 사항을 관계기관에 신고했으며, 관련 당사자에게 개별 안내를 순차적으로 진행했다고 설명했다. 넷마블 관계자는 “고객님들의 소중한 정보를 보다 철저하게 보호하지 못한 것에 대해 거듭 사과를 드리며, 당사는 사고 원인 규명을 위해 관계기관 조사에 성실히 임하고 있다”며 “재발 방지를 위해 전사적으로 보안 강화에 총력을 다하겠다”라고 밝혔다.

2025.12.03 18:12이도원

"쿠팡 탈퇴합니다"…이용률 줄어들까

대규모 개인정보 유출 사고가 발생한 쿠팡에 대한 회원 탈퇴와 불매운동 움직임이 나타나고 있다. 하지만 유통업계 사이에서는 쿠팡이 이미 생활 필수 플랫폼으로 자리잡은 만큼, 실제 회원 수 감소로 이어질 가능성은 낮다는 의견이 조심스럽게 나오고 있다. 소비자단체 "강한 분노...구체적인 배상안 즉각 마련하라" 2일 유통업계에 따르면 한국소비자단체협의회는 최근 성명을 내고 “소비자의 개인정보를 핵심 자산으로 활용하며 성장한 기업이 보안 의무를 부차적 과제로 다뤄 소비자의 가장 내밀한 정보인 주소, 연락처, 구매 내역, 공동현관 비밀번호까지 포함된 개인정보가 노출됐다는 사실에 깊은 우려와 강한 분노를 표한다”고 밝혔다. 협의회는 “쿠팡은 이번 소비자 개인정보 유출 사고의 원인과 규모를 투명하게 공개하고 실질적이고 구체적인 배상안을 즉각 마련하라”고 요구했다. 이어 “개인정보 유출로 소비자가 겪게 될 보이스피싱과 스미싱, 피싱, 명의도용 등 광범위한 2차 피해에 대한 우려를 불식시킬 수 있도록 책임 있는 자세로 실질적인 피해구제 대책과 구체적인 배상안을 제시해야 한다”고 강조했다. 이들은 쿠팡에 대한 회원 탈퇴와 불매운동 등을 예고했다. 협의회는 “쿠팡이 이를 받아들이지 않고 각종 로비나 법적 대응 운운하며 시간만 끈다면 소비자와 연대해 회원 탈퇴와 불매 운동을 포함한 소비자가 할 수 있는 모든 수단과 방법을 총 동원해 강력하게 대응할 것”이라고 경고했다. SNS에 쿠팡 탈퇴 인증 게시물 올라오기도 실제 일부 소비자들 사이에서는 쿠팡 회원 탈퇴 및 불매운동에 불이 붙는 분위기다. 각종 SNS에서는 쿠팡 탈퇴를 인증하는 게시물이 다수 올라오고 있다. 집단 소송 카페 역시 빠르게 회원 수가 늘고 있다. 현재 네이버에는 쿠팡 집단 소송을 위한 카페 10여개가 개설된 상태다. 가장 회원 수가 많은 곳은 13만 명을 넘어선다. 회원 수가 10만 명을 넘는 곳도 두 곳이나 더 있다. 법무법인도 집단 소송 채비에 나섰다. 김경호 법률사무소 호인 변호사는 피해자들을 모아 오는 24일 1인당 10만원의 위자료를 내는 손해배상 소송을 제기하겠다고 예고했다. 쿠팡 이용자 14명은 서울중앙지법에 쿠팡을 상대로 1인당 20만원의 위자료를 청구하는 손해배상 소송을 냈다. 해당 소송을 대리하는 법무법인 청은 14명을 대리해 소송을 제기했고 앞으로도 소송인단을 계속 모집한다는 계획이다. 법무법인 지향 역시 지난달 30일 “개인정보 유출로 인해 겪은 정신적 고통과 2차 피해의 정신적 피해에 대한 위자료 30만원을 청구한다”며 홈페이지와 네이버카페를 통해 소송인단을 모집하고 있다. "이탈 쉽지 않을 것...집단 탈퇴 움직임 일시적" 다만 일각에서는 쿠팡 이용률 감소가 즉각적으로 나타나진 않을 것이라는 관측이 나온다. 쿠팡이 생활 필수 플랫폼으로 자리 잡은 만큼 다른 플랫폼으로의 이동이 쉽지 않다는 것이 그 이유로 꼽힌다. 익명을 요구한 업계 관계자는 “이미 소비자들이 로켓배송과 같은 편리한 유통망을 누리고 있어 타 플랫폼으로의 이탈이 쉽지 않을 것”이라며 “집단 탈퇴 등의 움직임이 당장은 있겠지만 일시적일 것”이라고 관측했다. 또 다른 업계 관계자 역시 단기적으로는 회원 감소 등의 영향이 있겠지만 장기적으로는 이용률이 회복될 것으로 내다봤다. 해당 관계자는 “장기적으로 볼 때 쿠팡이 제공하는 배송 서비스를 대체할 수 있는 플랫폼이 아직까지는 국내에는 없는 것이 현실”이라며 “현재 탈퇴한 회원들 역시 추후 쿠팡이 이들을 다시 불러오려는 움직임을 보일 가능성이 있어 되돌아갈 가능성도 있다”고 말했다.

2025.12.02 19:24김민아

보안 인증 받은 쿠팡, 과징금 얼마나 나올까

대한민국 국민 65%에 달하는 개인정보 유출 사고가 발생한 쿠팡의 제재 수위에 대한 관심이 모아지고 있다. 보안의 기본이라고 할 수 있는 퇴사자 권한 관리가 유출사고의 원인으로 지목되고 있는 데다, 정부에서도 엄정 제재, 징벌적 손해 배상에 대한 목소리가 높아지고 있기 때문이다. 현행 기준에 따르면 매출액 기준 최대 3%에 달하는 과징금이 부과될 수 있어 쿠팡은 최대 1조원대 과징금 철퇴를 맞을 가능성도 있다. 2일 업계에 따르면 쿠팡은 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사에 임하고 있다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당) 분석에 따르면 이번 유출사고는 퇴사자 인증키를 퇴사 즉시 수거하지 않고 방치한 데 원인이 있는 것으로 알려졌다. 직원이 퇴사를 하면 회사 내부 데이터나 서버, 네트워크에 접근하지 못하도록 권한을 수거해야 하는데 그렇지 못한 것이 화근이 된 것이다. 다만 현재 회사는 무단 접근 경로를 차단하고 내부 모니터링을 강화하는 조치를 취했다. 개인정보보호위원회(개보위) 등 조사 당국에 따르면 정부는 쿠팡의 대규모 개인정보 유출로 민·관 합동 조사단을 꾸리고 본격적인 조사에 착수한 것으로 알려졌다. 개보위는 보안 조치 의무를 위반한 사실이 확인된 경우에는 엄정한 제재를 적용하겠다고 밝혔다. 이재명 대통령도 이날 쿠팡 개인정보 유출사고와 관련해 "쿠팡 때문에 우리 국민의 걱정이 많다"며 "처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다. 관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서달라"고 지시했다. 쿠팡, 최대 1조원 이상 과징금…최대 부과 가능성 낮아 조사 당국과 정부는 쿠팡에 대한 고강도의 제재 수위를 논하는 것으로 알려졌다. 현행법상 개인정보 유출 시 관련 법을 위반한 기업에는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 지난해 쿠팡의 매출액이 41조원이 넘는 만큼 1조원 이상의 과징금이 부과될 수 있다는 계산이 나온다. 다만 과징금 선정 절차는 사고와 관련 없는 매출은 제외하기 때문에 최대 과징금이 부과될 가능성은 낮다. 개보위에 따르면 과징금 선정은 우선 전체 매출액에서 사고와 관련 없는 매출액을 제외한 후, 과징금 선정 기준에 따라 기준금액을 정한다. 특히 기준금액 선정 이후에는 2차례에 걸쳐 조정에 들어간다. 여러 감경 사유를 따져보고 해당 사항이 있는 경우 과징금을 깎아준다. 대표적으로 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 보유하고 있는 기업의 경우 현행법상 과징금의 최대 50%까지 감경받을 수 있다. 이에 쿠팡은 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 취득한 기업이기 때문에 과징금을 최대 50% 감경받을 수 있다. 앞서 쿠팡은 지난 2021년 ISMS-P 인증을 획득한 이후 지난해 갱신까지 마친 상태로, 유효한 ISMS-P 인증을 보유하고 있다. 이에 현행법에 따라 과징금 감경 혜택을 받을 수 있는 것이다. 단, 감경 비율은 특정 위반 행위의 내용, 기업의 협조 정도, 시정 노력 등 여러 요소를 종합적으로 고려해 최종 결정된다. 해당 감경 제도로 우리카드는 과거 인천영업센터 가맹점주 개인정보 유용사건으로 부과된 과징금을 50% 감경받아 130억원만 부과된 바 있다. 1차, 2차 조정(감경) 절차 이후에는 중대성 판단을 하게 되는데, 중대성은 매우 중대함, 중대함, 보통, 약함 등 4단계로 구성된다. 가장 높은 '매우 중대함'으로 중대성이 판단된다고 하더라도 기준금액 내에서 과징금이 결정된다. 실제 역대 최대 과징금이 부과된 SK텔레콤 해킹 사태 당시 개보위는 이런 과정을 거쳐 1천348억원의 과징금을 부과했다. SK텔레콤의 무선통신사업 매출 약 13조원을 기준으로 하면 최대 3천831억원의 과징금이 부과될 수 있지만, 기준금액 설정에 따라 제재 수준이 낮아졌다. 그러나 쿠팡의 ▲지난해 매출이 SK텔레콤보다 높은 점 ▲유출 규모가 방대한 점 ▲5개월간 피해 사실을 인지하지 못한 점 등을 고려하면 SK텔레콤보다 높은 역대 최대 규모를 경신할 금액의 과징금이 선정될 가능성이 크다. 개보위 관계자는 "과징금 산정 과정에서 기준금액을 정한 이후 들어가는 감경 절차에 ISMS-P 인증 등이 감경 조항에 포함돼 있다"면서도 "과징금 산정 규모와 관련해서는 예단할 수 없고, 미리 언급할 수 없다"고 일축했다. 염흥열 순천향대 정보보호학과 명예교수는 "현행 과징금 부과 체계는 관련 분야 매출의 3%를 기준으로 산정하지만, 가감하는 조정절차가 있다. 조사 과정에 성실하게 임했는지, 피해자 구제에 적극적으로 했는지 등의 사항을 따져보고 가중하거나 감경해 과징금을 산정한다"며 "다만 정부나 대통령이 얘기하는 징벌적 과징금의 경우는 현재 법 개정 등 논의할 사항이 남아있다. 이번 쿠팡의 경우는 현 절차에 따라 산정되겠지만, 향후에는 개보위 TF에서 논의됐던 과징금 선정 관련 인센티브 제공, 징벌적 과징금 등 가감 조정절차의 방향성에 대해서 인식할 필요는 있다"고 밝혔다.

2025.12.02 18:19김기찬

박대준 쿠팡 "수사선상 오른 중국 직원은 인증 시스템 개발자"

박대준 쿠팡 대표가 가입자 개인정보 유출 사건 관련해 수사 선상에 오른 퇴사한 중국 국적 직원에 대해 "인증 시스템을 만드는 개발자였다"고 설명했다. 박 대표는 2일 국회 과학기술정보방송통신위원회 현안보고에서 신성범 국민의힘 의원의 질문에 이같이 답했다. 박 대표는 개발팀 구성 관련 질의에 “개발 조직은 한 사람이 모든 역할을 맡는 구조가 아니다”라며 “여러 개발자가 팀을 이뤄 기능을 분담하고 있다”고 말했다. 다만 “수사 중인 사안이라 구체적인 역할과 책임 범위에 대해서는 언급하기 어렵다”고 덧붙였다. 이준석 개혁신당 의원은 개인정보 유출자가 조선족인지 중국인인지 물었다. 쿠팡에서 유출된 정보가 보이스피싱에 쓰일 수 있어, 유출자가 정보를 범죄조직에 팔았는지 여부를 알기 위해서 질의한다고 하면서다. 박 대표는 “현재 수사가 진행 중”이라며 말을 아꼈다. 이어 이 의원이 “범죄 조직으로 넘어갔다고 볼만한 피해사례 등 근거가 지금 현재 있느냐”고 묻자 박 대표는 “아직까지는 없는 것으로 파악하고 있다”고 답했다. 브랜 메티스 쿠팡 정보보호최고책임자(CISO) 또한 말을 아끼며 "현재 경찰 조사가 진행 중이기 때문에 답변드릴 수 없는 점 양해해 달라”고 말했다.

2025.12.02 14:33안희정

쿠팡, 3370만 개인정보 유출…내부 직원 소행?

쿠팡 서버에서 3천370만개의 고객 개인정보가 무단으로 유출돼 정부가 조사에 나섰다. 정확한 피해 규모와 정보 유출 경위 등에 대한 조사는 아직 진행 중인데, 회사에서 인증업무를 담당했던 내부 직원이 개인정보를 유출했다는 이야기도 나온다. 쿠팡은 지난 29일 입장문을 내고 개인정보 유출로 노출된 계정이 약 3천370만개라고 정정했다. 이는 당초 언급했던 약 4천500개보다 7천500배 이상 큰 규모다. 이번 사태로 유출된 개인정보는 이름, 이메일 주소, 배송 주소록(입력한 이름·전화번호 주소), 일부 주문 정보다. 쿠팡 측은 결제 정보, 신용카드 번호, 로그인 정보는 포함되지 않았다고 선을 그었다. 특히, 쿠팡은 해외 서버를 통해 올해 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다. 회사는 무단 접근 경로를 차단했으며 개인정보 유출을 인지한 지난달 18일 즉시 경찰청, 한국인터넷진흥원, 개인정보보호위원회 등에 이를 신고했다. 이후 무단 접근 경로를 차단하고 내부 모니터링을 강화했다는 것이 쿠팡 측 설명이다. 이와 관련해 배경훈 부총리는 지난 30일 긴급 대책회의를 열고 “정부는 이번 사고로 인한 국민 여러분의 불편과 심려를 해소할 수 있도록 최선의 노력을 다할 것”이라며 “쿠팡을 사칭하는 전화나 문자 등에 각별히 주의해 2차 피해가 일어나지 않도록 당부드린다”고 강조했다. 이날 배 부총리는 해킹 피해 확산을 방지하기 위해 민관합동조사단을 가동하고 쿠팡의 안전 조치 의무 위반 여부에 대한 조사에 나섰다고 밝혔다. 이번 개인정보 유출 사건으로 쿠팡에서 유출된 고객 계정은 약 3천370만개로, 올해 3분기 실적발표 컨퍼런스콜에서 프로덕트 커머스 부분 활성 고객 수가 2천470만명이라는 점을 감안하면 상당수의 정보가 유출된 것으로 파악된다. 또 정부는 개인정보가 인터넷상에서 유출될 가능성을 염두에 두고 3개월 간 다크웹(특수 경로로만 접근 가능한 웹사이트)을 포함한 '인터넷상 개인정보 유노출 및 불법유통 모니터링 강화 기간'을 운영한다. 과학기술정보통신부 관계자는 “쿠팡 멤버십 회원은 1천200만명 수준이지만, 한 사람이 여러 개 ID를 가지고 쓰는 경우가 있다보니 정확한 유출 규모나 숫자에 대해서는 개인정보보호위원회에서 지금 조사를 진행 중”이라며 “쿠팡과 관련된 정보가 혹시 다크웹에 올라오는지 여부도 집중적으로 보고 있지만, 아직까지 나타난 것은 없다”고 답했다. 이어 “결제 정보 등이 유출되지 않았다는 쿠팡의 주장이 맞는지는 조사를 해봐야하는 상황”이라며 “통관번호 등에 대한 유출 여부는 언급되지 않았지만 꾸려진 민관합동조사단을 통해 조사해나갈 예정”이라고 덧붙였다. 일각에서는 이번 개인정보 유출이 내부 직원 소행이라는 의혹이 제기됐다. 해당 직원이 개인정보를 유출한 뒤 한국을 떠나 중국에 체류 중이고, 협박성 이메일을 보낸 정황이 포착됐다는 것. 개인정보 유출 의혹을 받는 직원은 쿠팡 내부에서 인증 업무를 담당했던 것으로 알려졌다. 이 과정에서 인증토큰 서버인증키와 보안 취약점을 악용했을 가능성이 높다는 데 힘이 실린다. 박대준 쿠팡 대표는 “(직원 국적 등은) 수사 영역이고 수사에 적극 협조 중”이라며 “그 얘기를 하는 것 자체가 수사에 영향을 주는 만큼 말씀드리기 어렵다”고 말했다. 또 “피해자와 피해 범위, 유출 내용을 명확히 확정하는 게 우선”이라며 “그 다음 급한 것은 재발 방지 대책이다. 이런 부분이 확정되면 그 다음 피해에 대한 합리적 방안을 성실히 수행할 수 있을 것”이라고 부연했다.

2025.12.01 14:04박서린

금융사 IT 인력 살펴봤더니…

6개 금융업권(은행·카드·생명보험·손해보험·증권·저축은행)의 IT 인력이 최근 5년간 평균 10%대에 머물고 있는 것으로 나타났다. 국민의힘 강민국 의원이 금융감독원을 통해 받은 '국내 주요 금융업권 IT 인력 현황'에 따르면 올해 8월말 기준 6개 금융업권의 전체 임·직원 대비 IT 인력이 차지한 비중은 평균 11% 수준이었다. 최근 롯데카드의 대규모 정보 유출을 비롯해 랜섬웨어 해킹 등 사이버 공격이 지속되고 있음에도 불구하고 IT 인력은 크게 늘지 않은 것으로 조사됐다. 2021년 9%였던 IT인력 비중은 ▲2022년(9%) ▲2023년 10% ▲2024년 11%로 답보상태였다. 최근 빈번하게 발생하고 있는 금융업권 해킹과 전산장애 등 사이버 보안 위협이 지속적으로 증가하는 금융시장 현실에도 불구하고, 국내 금융업권의 IT 인력 비중과 신규 채용 규모가 정체되어 있는 것으로 조사됐다. 특히 카드업권 IT 인력 비중에 다른 업권보다 높은 가운데 롯데카드의 IT 임원 인력은 고작 3명 뿐인 것으로 나타났다. 카드업권 중 IT 인력 비중은 20% 수준이었으며, 가장 많은 인력을 보유한 곳은 현대카드로 전체 임직원 2천204명 대비 IT 인력이 616명으로 28%로 집계됐다. 카드업권에 이어 ▲생명보험 15%(IT 3천362명/전체 2만3천166명) ▲증권 11%(IT 4천293명/전체 3만8천701명) ▲저축은행 11%(IT 1천31명/전체 9천456명) ▲은행 10%(IT 1만1천553명/전체 11만654명) ▲손해보험 9%(IT 3천177명/전체 3만3천824명) 순으로 집계됐다. 생명보험업권 중 IT 인력 비중은 AIA생명보험이 34%(IT 236명/전체 691명)로 가장 높았으며, DB생명보험이 6%(IT 36명/전체 597명)로 가장 낮았다. 증권업권 중 IT 인력 비중은 토스증권이 61%(IT 265명/전체 437명)로 가장 높았으며, 코리아에셋투자증권이 2%(IT 5명/전체 207명)로 가장 낮았다. 저축은행업권 중 IT인력 비중은 하나저축은행이 22%(IT 36명/전체 161명)로 가장 높았으며, 안양저축은행이 2%(IT 1명/전체 46명)로 가장 낮았다. 은행업권 중 IT 인력 비중은 카카오뱅크가 50%(IT 869명/전체 1천740명)로 가장 높았으며, 기업은행이 6%(IT 806명/전체 1만3천482명)로 가장 낮았다. 특히 은행업권의 경우 인터넷전문은행 3사(케이뱅크·카카오뱅크·토스뱅크)가 비대면 업무라는 특수성으로 다른 은행들에 비해 월등히 IT인력 비중이 높았다. 케이뱅크와 토스뱅크는 모두 각각 49% 수준이었다. 손해보헌업권 중 IT인력 비중은 카카오페이손해보험이 48%(IT 121명/전체 251명), 흥국화재가 5%(IT 54명/전체 1천37명)로 가장 낮았다. 강민국 의원은 “디지털·인공지능(AI) 경제의 확산에 따라 전 산업군에서 IT 인력 수요가 급증하고 있으나 금융업권 IT 인력 비중은 10% 수준"이라며 "'전자금융거래법'의 하위 규정에 대폭 강화된 IT 인력 확보 수준을 명문화시키고, 정보유출 등 중대한 금융 IT사고 발생 시 징벌적 과징금 부과 등의 제도개선 방안을 마련하는 것이 필요하다”고 말했다.

2025.09.22 10:24손희연

美 데이팅앱 티, 해킹으로 7만여 사용자 사진 유출

남성과의 데이트 경험을 익명으로 공유할 수 있는 여성 전용 앱 '티(Tea)'가 해킹 공격을 받아 약 7만2천장의 사용자 이미지가 유출됐다. 최근 테크크런치에 따르면 유출된 이미지에는 본인 인증용으로 제출된 셀프 카메라 사진 및 신분증 사진 1만3천장과, 게시물·댓글·DM(다이렉트 메시지) 등에 포함된 사진 5만9천장이 포함돼 있다. 회사 측은 다만 이메일 주소나 전화번호는 유출되지 않았으며, 피해 대상은 2024년 2월 이전 가입자에 한정된다고 설명했다. 티는 미국 내 여성을 위한 전용 데이팅 앱으로, 사용자가 자신이 만나는 남성에 대해 익명으로 후기를 올릴 수 있도록 설계됐다. 앱 웹사이트에 따르면 티는 여성들이 보다 안전하게 데이트할 수 있는 도구를 제공하기 위해 출시됐으며, 데이트 프로필에 도용된 사진을 잡아내기 위한 AI 기반 역이미지 검색 기능을 제공한다. 또한 남성의 전화번호를 검색해 숨겨진 혼인 여부를 확인하거나, 범죄기록 조회, 성범죄자 등록 지도 기능 등도 지원한다. 티 측은 공식 공지를 통해 해당 이미지는 게시물과 연결할 수 없는 상태였으며, 사이버 괴롭힘 방지 등 법 집행 기준을 충족하기 위해 저장된 데이터였다고 설명했다. 또 2024년 2월 이후 가입자의 정보는 모두 안전하며, 외부 보안 전문가들과 협력해 추가 조치를 취하고 있다고 밝혔다. 이어 이번 사안은 현재 수사 중이며, 조사가 마무리되는 대로 피해 사용자에게는 무료 신원 보호 서비스를 제공할 예정이라고 덧붙였다. 이와 관련해 외신은 4chan 등 온라인 커뮤니티 사용자들이 티 앱에서 유출된 데이터베이스를 찾아낸 뒤, 개인정보와 사진을 공유하고 있다고 보도했다. 이번 해킹은 티 앱이 최근 소셜미디어에서 입소문을 타고 인기를 얻는 가운데 발생했다. 실제로 20일 오전 기준, 애플 앱스토어 무료 앱 순위에서 티는 여전히 1위를 기록하고 있다. 티 측은 여전히 회사가 이 커뮤니티를 보호하는 데 최선을 다하고 있으며, 이용자 여러분의 인내와 신뢰에 감사드린다고 밝혔다.

2025.07.28 10:46류승현

써브웨이 "온라인 주문 중단, 개인정보 유출과 무관"

써브웨이가 오는 14일부터 모바일 앱과 웹 기반 주문 서비스를 일시 중단하는 가운데, 일각에서 제기된 개인정보 유출과의 연관성에 대해 사실이 아니라는 입장을 밝혔다. 1일 써브웨이 관계자는 “이번 앱 서비스 일시 중단은 보안 이슈 때문이 아니라, 지난해 9월부터 준비해 온 앱 리뉴얼 작업의 일환”이라며 “올해 3월부터 계획된 일정이며, 지난달에는 가맹점주에게도 공식 안내했다”며 시스템 점검은 리뉴얼을 위한 필수 절차라고 밝혔다. 이번 개편에 따라 기존 홈페이지 주문 기능은 완전히 종료된다. 써브웨이는 이에 대해 “홈페이지 주문 비중이 매우 낮아, 앱과 모바일 웹 중심으로 주문 창구를 통합하기 위한 결정”이라고 덧붙였다. 써브웨이는 이번 시스템 개선 작업은 보안 사고와는 무관하며, 독립적으로 추진돼 온 사안이라는 점을 거듭 강조했다. 시스템 점검은 14일부터 16일까지 사흘간 진행되며, 이 기간 동안 앱과 모바일 웹의 주문 기능뿐 아니라 포인트 적립·사용 등 일부 회원 서비스도 일시적으로 중단된다. 점검 이후에는 리뉴얼된 앱을 중심으로 보다 향상된 사용자 경험을 제공할 계획이다. 한편 최근 피자 프랜차이즈 파파존스를 비롯해 명품 플랫폼 머스트잇, 글로벌 브랜드 온라인몰 등에서 개인정보 유출 사고가 잇따라 발생하며, 유통업계 전반의 정보보안 관리 실태에 대한 소비자들의 우려도 커지고 있다.

2025.07.01 16:46류승현

써브웨이서 고객정보 무방비 노출 정황…5개월간 취약점 방치

샌드위치 프랜차이즈 써브웨이에서 고객 개인정보가 누구나 열람 가능한 상태로 노출됐던 정황이 드러났다. 30일 국회 과학기술정보방송통신위원회 최민희 위원장에 따르면, 써브웨이의 온라인 주문 시스템에서 인증 절차 없이 다른 고객의 연락처와 주문 정보 등이 그대로 노출되는 취약점이 발견됐다. 특히 로그인 없이 주문 페이지의 웹주소(URL) 끝자리 숫자만 임의로 바꿔도 타인의 정보가 노출되는 구조였던 것으로 나타났다. 최 위원장에 따르면 최소 5개월간 동일한 방식으로 개인정보가 무방비 상태에 놓였던 것으로 보인다. 개인정보 외부 유출 여부와 규모는 아직 확인되지 않은 상태로, 이번 문제는 써브웨이의 공식 홈페이지와 모바일 앱 모두에서 발생한 것으로 알려졌다. 써브웨이는 본지에 “최근 PC를 통한 웹사이트 온라인 주문 서비스에서 고객 정보와 관련한 제한된 데이터가 노출될 우려가 있는 기술적 문제를 발견했다”며 “즉각적인 조치를 통해 해당 문제를 해결했고, 현재는 정상적으로 운영 중”이라고 밝혔다. 이어 “현재까지 고객 정보가 외부로 유출되거나 오용됐다는 정황은 확인되지 않았으나, 예방적 차원에서 한국인터넷진흥원(KISA)에 신고했고 관계 기관의 조사에 협조 중”이라며 “개인정보 보호는 회사의 최우선 과제로, 추가적인 안전장치 마련에 힘쓸 것”이라고 약속했다.

2025.06.30 13:54류승현

해킹 피해 숨긴 '예스24', 정상화 지지부진 이유

인터넷서점 예스24 먹통 사태가 3일차에 접어들었지만 여전히 해결에 난항을 겪고 있다. 사이버 침해를 담당하는 정부 부처와 예스24간 원활하지 못한 소통이 원인으로 꼽히고 있다. 11일 예스24 홈페이지에 접속하면 “예스24 접속 오류로 불편함을 겪고 계신 모든 회원님들께 사과의 말씀을 드린다”는 사과문만 뜰 뿐, 접속은 여전히 불가능하다. 지난 9일 새벽 4시부터 예스24 웹사이트와 앱에서 발생한 접속 장애가 사흘째 지속되는 셈이다. 전날 오전까지만 해도 회사 측은 "시스템 장애로 인한 접속 오류"라고 주장해왔으나 국회 과학기술정보방송통신위원회 소속 국민의힘 최수진 의원실로부터 랜섬웨어 해킹에 의한 장애라는 보도가 나온 뒤 예스24는 돌연 말을 바꿨다. 해킹 피해 사실을 감추려한 것 아니냐는 의혹까지 나오는 이유다. 서비스 먹통 사흘째...예스24 "정부와 협력 중" vs 과기부·KISA "기술 지원 동의 안해" 이후 하루가 지난 오늘까지도 접속 불능 문제가 해결되지 않으면서 그 배경에 대한 궁금증이 커지고 있다. 정부부처와 성실히 협력하고 있다는 예스24 측 주장과 달리, 예스24 측이 기술 지원에 동의하지 않아 조사를 할 수 없다는 정부부처 간 입장이 서로 달라 어느 쪽 말이 사실인지도 의문이다. 예스24는 “사고 발생 직후 보안 강화 조치 및 한국인터넷진흥원(KISA) 등 관계당국 신고와 함께 사고 원인 분석 및 피해 여부 파악에 최선을 다하고 있다”고 밝혔다. 반면 한국인터넷진흥원(KISA) 관계자는 “신고 당시 예스24는 기술 지원에 동의하지 않고 자체 조사하겠다는 입장이었다”며 “이후 기술 지원이 필요한 부분이 있다면 기술 지원을 제공할 것”이라고 말했다. 또 사이버 침해를 소관하는 과학기술정보통신부는 “랜섬웨어도 사이버 침해의 일종으로 이에 대한 기술 지원을 하려고 했으나 사업자의 동의가 있어야 한다”며 “동의가 없어 자료 제출 요청 등을 해둔 상태”라고 주장했다. 이용자·협력사 불편·피해 커지는 사이, 개인 정보 유출 걱정도↑ 장기화 되고 있는 예스24 먹통 사태로 이용자와 협력사 피해뿐 아니라, 개인 정보 유출에 대한 걱정도 커지고 있다. 이에 예스24는 “현재 접속에 필요한 파일은 별도로 암호화된 상태다. 암호화 돼 별도 보관된 개인정보, 데이터에는 침해 로그 기록이 없다”는 입장이다. 그러나 예스24 웹·앱을 해킹한 해커가 현재 어느 정도로 접근권한을 확보했는지 알 수 없는 상황인데다, 권한을 모두 확보하면 원하는 것은 무엇이든 유출·파괴할 수 있는 랜섬웨어 특성상 안심할 수만은 없다는 게 전문가 의견이다. 타깃형 공격 대응 정보보호 전문기업 나루씨큐리티 김혁준 대표는 “랜섬웨어에 감염된 시스템은 해커가 전부 접근권이 있다고 보면 된다”며 “랜섬웨어라는 행위를 수여하기 위해서는 그 시스템의 가장 높은 수준의 권한을 획득해야 한다”고 말했다. 이어 “가장 높은 수준의 권한은 이 시스템에 있는 모든 정보에 접근이 가능하고 의도가 있으면 정보를 들고 나갈 수 있고 본다”고 덧붙였다. 곽진 아주대 사이버보안학과 교수는 “로그 기록을 정확하게 분석해봐야하고 기록이 없다는 이유만으로 개인 정보 유출이 일어나지 않을 것이라고 단정짓기는 어렵다”고 설명했다. 예스24, 허술한 보안 관리 처음 아냐..."백업본 있어도 완전 복구 가능 미지수" 이번 사태를 두고 과거 전례가 있었음에도 보안에 대한 관리가 미흡했던 것이 아니냐는 지적도 나왔다. 예스24는 2016년과 2020년에 개인정보 유출, 개인정보·위치정보보호 법류 위반으로 각각 1천만원·1천500만원의 과태료를 부과받은 바 있다. 뿐만 아니라 정보보호 인증에 대한 실효성 문제도 논란이 되고 있다. 예스24에 따르면 이 회사는 최고정보보호책임자를 사내에 두고 있으며 ISMS-P, ePRIVACY PLUS 등의 보안 인증을 보유하고 있다. 곽 교수는 “ISMS, ISMS-P는 사전 점검하는 정도의 개념으로 파악해야 한다”며 “해당 인증을 받았다고 시스템 자체가 완전히 안전하다고 말할 수는 없다”고 설명했다. 예스24는 서비스 복구를 위해 총력을 다함에 따라 빠른 시일 안에 서비스가 재개될 것으로 예상하고 있지만 랜섬웨어 특성상 빠른 복구를 예단할 수는 없는 상황이다. 랜섬웨어는 해커들이 컴퓨터 시스템이나 데이터 등을 암호화하는 해킹 방식으로, 복구가 어렵다고 보는 인식이 지배적이다. 아울러, 랜섬웨어 해킹은 암호화를 풀어주는 조건으로 금전적 대가를 요구하는 것이 일반적이어서 현재로서는 ▲비용 지불 ▲백업 자료 활용 ▲KISA에서 제공하는 Hive 랜섬웨어 복구도구가 해결 방안으로 거론된다. 다만, 비용을 지불할 경우 해커가 돈만 받고 암호화를 풀어줄지 여부는 확신할 수 없고 Hive 랜섬웨어 복구도구는 사이버 공격에 대한 대응 여력이 부족한 중소기업을 지원하기 위해 만들어진 것으로 실효성이 낮다. 이에 백업 자료 활용이 효용성이 높은 대안이지만, 자료가 백업이 된 시기와 랜섬웨어 발생 시기 간의 사이에 어느 정도의 자료가 날아갈지가 쟁점으로 남아있다. 김혁준 대표는 “백업이 지금은 실현 가능성이 높은 수단”이라며 “회사에서 업무를 수행하는데 중요한 데이터가 암호화된 것이라면 그 부분이 백업돼 있을 시 바로 복구할 수 있다”고 말했다. 이어 “해커도 백업 솔루션이 있다는 사실을 인지하고 있어 복사본을 가지고 나갈 수도 있다”면서 “민감한 정보의 일부분을 다크웹에 올리거나 거래하는 등 2차 피해를 완전히 예방하기는 어렵다”고 부연했다. 이와 관련해 예스24 관계자는 “백업본이 있기는 하다”며 “여러 수단을 동원해 홈페이지, 앱 접속 장애를 해결하려고 노력하고 있다”고 밝혔다.

2025.06.11 17:35박서린

SKT 유심 해킹이후 유출 개인정보 악용 보이스피싱 시도 기승

SK텔레콤(SKT) 유심 해킹 사고 이후 유출된 개인정보를 악용한 보이스피싱 시도가 여전히 활발히 이어지고 있는 것으로 나타났다. 인공지능(AI) 보안 전문기업 에버스핀(대표 하영빈)은 악성앱 탐지 솔루션 '페이크파인더(FakeFinder)'를 통해 확인된 최근 2~3주간의 모니터링 내부 보고서를 분석한 결과, 사태 초기와 동일한 공격 패턴이 반복적으로 포착되고 있다고 26일 밝혔다. 에버스핀은 앞서 지난 8일 'SKT 해킹으로 인한 사회적 혼란을 악용한 피싱 시도가 급증하고 있다'며 관련 사례를 최초로 공개한 바 있다. 당시 '피해구제국''SK쉴더스' 등을 사칭한 악성앱이 원격제어 앱과 함께 설치돼 10분 만에 피해자 기기에 침투하는 시나리오가 실제 포착되며 주목받았다. 에버스핀은 이후 약 2주간 추가로 수집된 패턴을 분석한 결과, 동일한 방식의 악성앱 유포가 지속해서 발생하고 있으며, 기존과 유사한 사회공학적 접근 방식으로 설치가 반복되고 있다고 전했다. 실제로 5월 1~2주차 탐지 내역에서도 기존과 같은 AnyDesk·알집·사칭 앱 순으로 설치된 로그가 여러 차례 확인됐다. 특히 이번 모니터링에서는 '스마트세이프''한국소비자원' 등 기관명을 사칭한 악성앱도 새로 발견됐다. '한국소비자원' 사칭 앱은 SKT 사태 직후인 5월 초 탐지 빈도가 급격히 상승한 것으로 나타났다. 해킹사태 이후 이를 구제해 준다며 접근해 설치된 것으로 추정된다. 에버스핀 관계자는 “과거에도 유사 명칭 악성앱은 꾸준히 탐지된 바 있지만, 최근 수치는 명백히 특정 이슈에 편승한 조직적 유포로 해석된다”고 설명했다. 악성앱들은 단순한 정보 수집을 넘어 전화 가로채기·추가 악성앱 설치 유도 등 복합적인 기능을 수행하며 피해자 본인이 공격 사실을 인지하기 어려운 점이 특징이다. 에버스핀 관계자는 “현재 관련 악성앱·설치 패턴에 대한 정보를 유관기관과 실시간 공유하며 피해로 이어지지 않도록 면밀히 모니터링 중”이라며 “보이스피싱은 사회적 이슈에 따라 빠르게 진화하는 만큼, 지속적인 주의와 경각심이 무엇보다 중요하다”고 강조했다. 한편, 에버스핀은 이러한 추이를 빠르게 감지할 수 있었던 배경으로 '페이크파인더'가 국내 53개 주요 금융사 앱에 In-App SDK 형태로 내장돼 있고 약 4천300만 금융 사용자의 기기를 실시간으로 보호하고 있기 때문이라고 설명했다. 페이크파인더는 KB국민은행·카카오뱅크·우리카드 등과 연동된 클라우드 기반 플랫폼을 통해 국내에서 가장 방대한 악성앱 데이터를 실시간으로 수집 및 분석하고 있다. 에버스핀은 특히 SKT 해킹 이후 급증한 금융 피싱 사고의 확산을 선제적으로 막기 위해, 페이크파인더를 도입한 금융사 중 한 곳에서라도 악성앱이 탐지될 경우, 해당 기기 정보를 실시간으로 다른 금융사와 공유해 사전 차단할 수 있도록 하는 'RTAS(Real-time Threat Alarm Service)' 확산에도 나설 계획이다.

2025.05.26 11:05주문정

'블랙야크' 보안 뚫렸다...개인정보 34만 건 유출

의류 브랜드 BYN블랙야크의 회원 34만 명 개인 정보가 유출됐다. 회사는 이번 사고로 소비자들에게 피해가 가지 않도록 최선을 다하겠다는 입장을 냈다. 6일 블랙야크에 따르면, 이번 정보 유출은 지난 4일 해커에 의한 홈페이지 공격을 통해 발생했다. 유출된 개인정보 항목은 ▲이름(닉네임) ▲성별 ▲생년월일 ▲휴대전화 번호 ▲주소 뒷부분 등이다. 블랙야크는 본 사안을 인지한 직후 사고 원인을 파악했고, 해당 IP와 불법 접속 경로를 차단한 뒤 취약점을 점검해 보안 조치했다고 말했다. 개인정부 유출 등으로 인해 손해가 발생한 경우 개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있다. 회사는 “개인정보 유출로 인해 심려를 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다”며 “유출로 인한 피해가 발생하지 않도록 최선을 다하겠다”고 했다.

2025.03.06 20:00류승현

'또 개인정보 유출'…한국예술종합학교서 1만8천여건 털려

한국예술종합학교서 대규모 개인정보유출이 일어났다. 31일 한국예술종합학교는 수강신청 등을 위한 '누리시스템'이 지난 29일 0시17분부터 1시 54분까지 사이버 공격을 받았으며 학생과 졸업생 등의 개인정보 1만8천690건이 유출됐다고 밝혔다. 유출된 항목은 ▲학번 ▲한글성명 ▲한문성명 ▲영문성명 ▲생년월일 ▲성별 ▲학적상태 ▲학년 ▲과정 ▲소속 ▲학과 ▲전공 ▲입학일 ▲수험번호 ▲일반휴학학기 ▲휴대전화 ▲자택전화 ▲이메일 등 32개 항목으로 사실상 전방위적인 개인정보다. 이밖에 유출이 의심된 정보는 ▲휴복학 ▲상벌사항 ▲등록금 ▲성적 등 9개 항목으로 학교 측은 유출 여부에 대해 확언하기 어렵다고 전했다. 한국종합예술학교 측은 "국가사이버안보센터에 신고했고 유출 사실을 인지한 즉시 해당 IP와 불법 접속 경로를 차단했다"며 "유사한 사고가 재발하지 않도록 보안교육 실시, 보안점검, 시스템 취약점 점검, 보안시스템 강화 등 재발 방지 대책을 철저히 마련하도록 하겠다"고 말했다. 또 학교는 "잠재적 피해를 최소화하기 위해 비밀번호를 변경하고 개인정보 악용으로의심되는 전화, 문자, 메일 등을 받으면 즉시 삭제해달라"고 당부했다. 다만, 개인정보유출이 됐다 하더라도 회원 탈퇴 등은 어렵다고 학교 측은 설명했다. 학교 관계자는 "학적 사항 등 데이터를 조회하기 위해선 누리에 가입되어 있어야 한다"고 말했다. 개인정보보호위원회에도 한국예술종합학교의 개인정보 유출이 신고된 것으로 확인됐다. 향후 개인정보 유출 원인 등에 대해 개인정보보호위원회와 KISA가 공동으로 조사할 예정이다.

2024.12.31 16:21손희연

카카오, 오픈채팅 151억 과징금 행정소송...'개인정보 정의' 쟁점

개인정보 유출로 개인정보보호위원회(이하 개보위)로부터 과징금을 부과받은 카카오가 행정 소송을 제기한 가운데, 유출된 정보의 개인정보 해당 여부를 두고 양측 간 법적 공방이 치열할 것으로 전망된다. 13일 IT 업계에 따르면, 카카오는 지난 1일 개보위의 과징금 부과 처분과 시정명령에 대해 불복 소송을 제기했다. 카카오는 지난 5월 카카오톡 '오픈채팅'에서 개인정보 6만5천건이 유출된 것과 관련해 국내 기업 중 역대 최다 과징금인 약 151억원을 부과받았다. 또 이용자에게 개인정보가 유출됐다고 통지하라는 시정 명령도 내려졌다. 개보위 조사 결과, 카카오는 회원일련번호(주민등록번호·사원증 번호 등 개인에게 부여된 고유 번호와 유사한 개념)와 오픈채팅방 정보를 단순히 연결한 임시ID를 생성해 암호화 없이 일부 오픈채팅방 참여자에 부여했다. 해커는 이런 취약점을 이용해 오픈채팅방 참여자 정보를 획득한 후 카카오톡의 친구추가 기능, 불법 프로그램 등을 이용해 이용자 정보를 확보했다. 이후 이용자 정보를 회원일련번호를 기준으로 결합해 개인정보 파일을 생성·판매했다. 쟁점은 개인정보의 정의다. 개보위는 회원일련번호와 임시ID가 개인정보에 해당한다고 판단했다. 개보위 관계자는 "정보 그 자체로서 개인 식별이 불가능하더라도, 개인 정보 처리자가 갖고 있는 다른 정보와 결합해 개인을 인식할 수 있다면 개인정보"라고 밝혔다. 반면 카카오는 회원일련번호와 임시ID는 개인정보로 볼 수 없다는 입장이다. 이 정보만으로는 개인을 식별하기 어렵다는 논리다. 카카오 관계자는 "카카오를 통해 나간 정보에는 전화번호, 성함 등이 포함돼 있지 않아 개인을 식별할 수 없다"며 "임시 ID는 게임 등 기타 인터넷 서비스에서도 사용하고 있는 정보고 개발자 사이트 등에서 확인할 수 있는 경우도 많다"고 주장했다. 개인정보보호법은 개인정보를 '해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보'로 정의하고 있다. 이때 다른 정보와 '쉽게' 결합한다는 것이 어느 정도 수준을 의미하는 것인지에 대한 법원 해석이 중요할 것으로 보인다. 염흥열 순천향대 정보보호학과 명예교수는 "법원은 해당 정보로 개인을 식별하기 위해 드는 노력의 정도를 근거로 '쉽게 결합할 수 있는지'를 판단할 것"이라며 "식별에 필요한 전산 자원의 크기, 식별에 걸리는 시간, 분석 환경 등이 근거가 될 것"이라고 설명했다. 개인정보보호법해설서에 대한 해석도 분분하다. 2020년 12월 개보위가 발간한 '개인정보 보호 법령 및 지침‧고시 해설서'에는 개인정보의 개념에 대해 "다른 정보와 쉽게 결합해 특정 개인을 알아볼 수 있는 개인 식별 가능 정보를 포함한다"는 설명이 담겨있다. 다만 "이때 사용되는 다른 정보는 두 개 이상의 정보를 결합하기 위해 그 결합에 필요한 다른 정보에 합법적으로 접근해 이에 대한 지배력을 확보할 수 있는 '입수 가능성' 있는 정보로 해킹·절취 등 불법적인 방법으로 취득한 정보는 포함하지 않는다"는 조건이 함께 제시되고 있다. 김승주 고려대 정보보호학과 교수는 "해당 조건에 따르면, 오픈채팅방을 통해 유출된 정보와 해커가 불법으로 수집한 정보가 결합된 경우는 개인정보로 볼 수 없을 것"이라고 예상했다. 카카오는 지난 5월 '오픈채팅 이슈 관련 개인정보보호위원회 결정에 대한 입장' 글에서 "해커가 회원일련번호와 결합한 '다른 정보'는 카카오에서 유출된 것이 아닌, 해커가 불법적인 방법을 통해 자체 수집한 것"이라는 입장을 밝힌 바 있다. 반면 개보위 관계자는 "해당 조건은 결합되는 '다른 정보'에 대한 것이지, 카카오의 경우 '그 자체의 정보'에 대한 문제"라며 "애초에 카카오에서 유출된 회원일련번호가 개인정보로 관리되지 않던 것이 문제"라고 말했다.

2024.11.13 18:21조수민

北에 털린 법원 전산망, 개인정보 유출 피해 1만8000명…향후 규모 더 커질 듯

북한 해킹 조직이 우리나라 법원 전산망을 침투해 최소 1TB(테라바이트)가 넘는 자료를 빼간 것으로 드러나면서 공공부문의 보안수준에 대한 문제가 수면 위로 떠올랐다. 이 해킹으로 개인정보 유출 피해자 수는 현재 1만8천 명에 달하는데, 아직 유출 자료에 대한 파악이 완전히 이뤄지지 않았다는 점에서 향후 피해규모가 더 커질 것이란 분석이 나온다. 24일 국민의힘 주진우 의원실이 대법원 법원행정처로부터 받은 자료에 따르면 사법부 전산망 해킹 사건으로 현재까지 유출이 확인된 문건에 기재된 개인은 총 1만7천998명으로 나타났다. 앞서 라자루스는 2021년 1월 7일 이전부터 2023년 2월 9일까지 국내 법원 전산망에 침투해 2년 넘게 개인정보 등이 포함된 총 1천14GB(기가바이트) 규모의 자료를 빼돌린 것으로 알려졌다. 법원행정처는 지난해 2월 사법부 전산망 공격 사태를 인지하고도 수사당국에 신고하지 않고 자체 보안조치를 취했다. 지난해 11월 말 해킹 사실이 보도되자 12월 초 경찰청·국정원·검찰청이 합동조사에 착수했다. 그 사이 서버에 남아있던 유출자료들이 지워졌다. 정부가 유출 내용을 확인한 것은 전체 피해의 약 0.5%(5천171개)에 불과하다. 일단 대법원 법원행정처는 정보 유출 피해자 4천830명을 특정해 지난 5월 유출 사실에 대해 개별 통보했다. 유출이 확인된 문서는 모두 회생 사건 관련 자료다. 이후 대법원은 유출과 관련된 개인들 중 1만3천177명에게도 개별 통지를 시행했다. 연락처를 알 수 없는 4천821명에게는 홈페이지 게시 방식으로 통지를 마친 것으로 파악됐다. 현재까지 내용이 확인된 정보 유출 규모는 4.7GB 분량의 문서에 불과한 것으로 전해졌다. 나머지 약 1천 GB 분량의 유출 자료에 대해서는 피해규모 등에 대한 파악이 끝나지 않아 실제 피해는 더 클 것으로 관측된다. 대법원은 '보안강화 종합대책 방안'을 마련해 추가적인 해킹을 예방하고 향후 재발 방지에 나선다는 방침이다. 주요 대책은 ▲전산정보관리국을 사법정보화실로 확대 개편 ▲USB 사용관리 방안의 전국 법원 시행 ▲보안 전문가 공개 채용 ▲정보보호조직 강화 등이다. 하지만 법원의 정보보호 업무를 담당하는 법원행정처 사법정보화실 정보보호담당관실 내 전담 인력은 올해 8월 기준 9명으로, 2020년 1월 기준 6명에서 고작 3명 증가했다. 특히 라자루스 논란이 커지기 전인 올해 1월에는 6명으로 4년 전과 동일했다. 국회 법제사법위원회 소속 박준태 국민의힘 의원은 "법원이 다수의 국민 개인정보를 다루는 만큼 신속히 유출 내역을 파악해 2차 범죄로 악용되는 것을 막아야 한다"고 지적했다.

2024.10.24 15:14장유미

최장혁 "승소 자신있다"…뿔난 개보위, '개인 정보 유출' 카카오와 정면 승부

"지난해 어려운 경제 환경에서 소송비를 거의 100% 이상 늘렸기 때문에 (이번 소송도) 자신있습니다. 개인정보라는 개념이 기술 진보와 함께 계속 바뀌고 있다는 점에서 카카오가 주장하는 부분은 수용하기 어렵습니다." 최장혁 개인정보보호위원회 부위원장은 지난 5일 오후 정부서울청사에서 정례브리핑을 갖고 최근 카카오의 행정소송 움직임에 대해 향후 강경 대응에 나설 것을 예고했다. 카카오톡 오픈채팅방 개인정보 유출 건과 관련한 개인정보위의 제재에 맞서 카카오 측이 최근 행정소송으로 맞대응에 나설 것을 시사한 데 따른 것이다. 앞서 개인정보위는 지난달 카카오가 개인정보보호 법규를 위반했다고 보고 총 151억4천196만원의 과징금과 780만원의 과태료를 부과하고 시정명령과 처분결과를 공표했다. 국내 기업을 상대로 부과한 조치로는 역대 최대 규모다. 제재를 한층 강화한 개정 개인정보법이 적용된 골프존(기존 국내 최다 과징금 건)이 75억원의 과징금을 받는 데 그쳤다는 점을 고려하면, 카카오는 상대적으로 제재가 약한 구법이 적용됐다는 점에서 최악의 상황은 피했다. 구법을 적용했음에도 골프존보다 2배가 넘는 과징금이 매겨졌다는 점에서 신법을 적용했을 경우 500억원가량의 과징금이 부과됐을 수 있었다는 분석도 나왔다. 또 개인정보위는 지난해 3월 오픈채팅 개인정보 유출 의혹이 제기된 이후 카카오가 개인정보 유출신고를 하지 않은 점을 문제 삼아 780만원의 과태료도 부과했다. 카카오 측이 이번 일에 대해 직접적으로 피해를 입은 696명에게 적극 고지하지 않았다는 점도 심각한 문제로 판단했다. 이번 일은 지난해 3월 카카오톡 오픈채팅방 참여자들의 개인정보가 유출됐다는 의혹이 불거진 데 따른 것으로, 개인정보위는 시스템의 보안 취약점으로 인해 최소 6만5천여 명의 개인정보가 유출됐을 것으로 추정했다. 최 부위원장은 "카카오가 반발하고 있지만 정부 입장은 전혀 변함이 없고, 관련 소송은 (결론이 나는데) 오래 걸리지 않을 것"이라며 "개인정보 개념을 (신법에 맞춰) 강하게 적용하지 않고 구법에 따라 제재를 했다는 점을 일단 알아달라"고 운을 띄웠다. 이어 "재판을 앞두고 쟁점에 대응하는 게 조심스럽긴 하지만 개인정보 개념은 계속 변하고 있고, 해킹 기술도 굉장히 발달하고 있다"며 "이에 맞춰 (카카오 같은) 국내 기업들이 기술 발전에 따라 적절한 준비를 해 나가야 하는 것 아닌가 싶다"고 말했다. 그러면서 "카카오톡은 무료 서비스지만 이와 관련해 다른 매출이 많이 발생하고 있다는 점을 고려해 과징금 기준이 책정된 것"이라며 "신법이 적용됐다면 더 많은 과징금이 나올 수 있었을 것"이라고 덧붙였다. '회원일련번호'가 개인정보?…개보위 vs 카카오, 해석 두고 의견 팽팽 이번 일에서 양측의 의견이 가장 엇갈리는 부분은 '회원일련번호'가 개인정보에 포함되는 지에 대한 여부다. 회원일련번호는 주민등록번호나 사원증 번호처럼 개인에게 부여된 고유 번호와 유사한 개념으로, 이 번호만으로는 일단 그 사람의 이름이나 전화번호를 알아낼 수 없다. 카카오톡 오픈채팅방은 참가자들이 익명을 전제로 주식 투자, 게임 등 동일한 관심사에 대한 정보나 친분을 나누는 공간으로 활용돼 왔다. 오픈채팅방 참가자들에게는 회원일련변호가 매겨져 있는데, 이 번호는 그간 카카오톡 내부에서만 회원 관리 목적으로 사용돼 왔다. 하지만 카카오가 이 회원일련번호와 오픈채팅방 정보를 단순히 연결한 임시ID를 만들어 암호화 없이 그대로 사용했다는 점이 문제가 됐다. 그 결과 해커가 시스템 취약점을 악용해 오픈채팅방 참여자 정보를 알아낸 후 카카오톡의 친구추가 기능 등을 이용해 일반채팅 이용자 정보를 알아냈다. 또 이 정보들을 '회원일련번호'를 기준으로 결합해 개인정보 파일을 생성, 판매한 것으로 확인됐다. 개인정보위에 따르면 해커는 특정 사이트에 696명의 정보를 올려 거래를 시도한 것으로 파악됐다. 개인정보위 관계자는 "어떤 것(개인정보)은 10만원에 거래됐다는 얘기가 있다"며 "해커가 최소 6만5천719건의 (개인정보를) 조회한 것으로 확인했다"고 말했다. 카카오에 따르면 지난해 3월 문제가 된 해커는 이렇게 얻은 회원일련번호에서는 얻을 수 없는 이름, 전화번호 등을 알아내기 위해 별도의 프로그램을 동원했다. 예컨대 010-0000-0000에서 010-9999-9999에 이르는 1억 개의 전화번호를 임시로 생성한 후 전화번호로 카카오톡 친구를 추가하는 방식을 활용한 것이다. 카카오 관계자는 "회원일련번호와 임시ID는 메신저를 포함한 모든 온라인 및 모바일 서비스 제공을 위해 반드시 필요한 정보"라며 "번호생성기를 이용해 무작위로 전화번호를 만들어 불특정 다수를 대상으로 스팸메시지를 뿌리는 것은 스미싱, 피싱 등 사기를 저지르는 범죄자들이 주로 활용하는 방식"이라고 밝혔다. 이어 "사업자가 생성한 서비스 일련번호는 관련법상 암호화 대상이 아니다"며 "이를 암호화하지 않은 것은 법령 위반으로 볼 수 없을 것"이라고 덧붙였다. 반면 개인정보위는 카카오의 회원일련정보가 개인정보라고 볼 수 있는 부분이 상당하다고 주장했다. 최 부위원장은 "회원일련번호가 개인 정보냐, 결합 가능한 정보냐라고 판단하는 부분은 개인정보보호법 초기부터 나왔던 개념"이라며 "이를 근거로 다른 정보와 쉽게 결합해 개인 식별 가능한 내용도 개인 정보로 보고 있다"고 설명했다. 이어 "카카오는 이를 기반으로 개인들을 다 관리하고 있었고, 본인들도 식별 체계라고 얘기하고 있다"며 "이는 명백하게 카카오가 개인 정보로 볼 수 있었다는 것"이라고 덧붙였다. 또 그는 "이번 일은 개인 정보의 결합 용이성, 입수 가능성을 어떤 기준으로 판단하느냐의 문제로 보여진다"며 "해커 입장에서 얼마나 쉽게 해킹을 할 수 있는지, 이를 토대로 얼마나 쉽게 정보를 결합할 수 있었는지라는 측면에서 볼 때 개인 정보라고 보고 카카오에 처분이 내려진 것"이라고 강조했다. 행정소송 예고한 카카오…개인정보위, '승소' 자신 개인정보위는 대법원이 차대번호를 개인 식별 정보로 본 전례가 있다는 점을 근거로 카카오 측과의 행정 소송이 진행되면 승소할 것으로 봤다. 기술 발전에 맞춰 개인 정보라는 개념도 바뀌고 있다는 점을 재판부가 고려해 '회원일련정보'를 해석할 것으로 예상해서다. 최 부위원장은 "(기업들이) 기술 진보에만 집착하다보니 오히려 국민들의 개인정보 보호 측면은 좀 소홀해진 것 아닌가에 대해 우려스럽다"며 "점차 정보가 결합될수록 개인 정보를 특정할 수 있는 가능성이 더 많아진다는 점에서 향후 결합 기관에서만 가명 정보, 결합된 개인 정보를 관리하고 기준을 제안하는 역할을 더 강화해야 할 듯 하다"고 말했다. 개인정보위는 카카오 측의 안일한 대응에 대해서도 비판했다. 카카오 측이 이번 사건을 인지한 즉시 선제적 신고를 하고 수사에도 적극 협조했다고 주장했지만 사실과 다소 다르다는 점을 강조했다. 앞서 카카오는 KISA와 과학기술정보통신부에 신고를 했을 뿐 아니라 카카오톡 공지사항에 전체 이용자를 대상으로 서비스 공지를 게재했다고 밝힌 바 있다. 최 부위원장은 "카카오 측이 696명에게 본인의 정보가 유출됐다는 사실을 지난달 처분 의결 당시까지도 개개인에게 통지하지 않았다"며 "카카오 측이 통지했다고 주장하는 건 홈페이지에 공지로 게시한 것밖에 없다"고 설명했다. 이어 "규제당국에서 처분을 내렸음에도 카카오 측은 통지도 제대로 하지 않고 (아직) 가만히 있다"며 "일단은 행정기관에서 처분을 하면 법원 판결 전까지 이 처분의 효력이 유지가 되고 있다는 점에서 (카카오 측이) 일단 처분을 수용한 후 소송을 다퉈야 한다"고 덧붙였다. 개인정보위 관계자는 "카카오 측이 신고하고 고객들한테 통지했다고 하지만 실제로는 (우리쪽엔 안하고) 과기부에만 했다"며 "하나의 사고로 발생한 문제지만 적용되는 법은 두 개로, (개인정보보호법에 대한 것은 이행 안하고) 정보통신망법에 맞춰서만 (카카오가) 했다"고 설명했다. 그러면서 "카카오 측이 입장문에 모든 조치를 다 한 것처럼 했지만 실제로 개인 정보가 유출된 피해자들한테 사실을 고지하는 게 기업으로서의 도리가 아닌가 싶다"며 "개인정보보호법상 피해 사실을 알게 된 시점마다 개별적으로 계속 통지해야 하는데 카카오는 알면서도 이를 이행하지 않았다"고 꼬집었다. 하지만 카카오는 여전히 개인정보위의 움직임에 반발하며 강경한 태도를 보이고 있다. 또 개인정보위가 제재처분을 내리는 과정에서 해커가 독자적으로 자행한 불법행위까지 카카오의 과실로 본 점은 잘못됐다고 비판했다. 이처럼 개인정보위와 카카오의 입장이 극명하게 엇갈리는 만큼 이번 제재 처분은 법정 공방으로 이어질 전망이다. 카카오는 "회원일련번호는 페이스북, 인스타그램 등에서도 볼 수 있는데 이 역시 개인정보 유출로 다 볼 수 있는 부분인지에 대해서도 의문이 든다"며 "이번 결정에 대해 행정소송을 포함한 다양한 조치와 대응을 적극 검토할 것"이라고 밝혔다.

2024.06.06 08:49장유미

Prev 1 2 Next