커피 멤버십부터 이커머스, 외식기업까지 유통업계에서 개인정보 유출 사고가 잇따르고 있다. 최근 석 달간 공개된 주요 기업의 유출 규모만 300만건을 넘었다. 기업들이 정보보호 조직을 확대하고 투자를 늘리고 있지만 외부 시스템과 연결된 지점에서 보안 사고가 반복되면서 고객 정보 관리 체계의 실효성이 도마 위에 올랐다.
9일 유통업계에 따르면 SSG닷컴은 지난 4일 개인정보 유출을 파악해 5일 한국인터넷진흥원(KISA), 6일 개인정보보호위원회에 신고했다. 외부 비인가자가 API(응용프로그램 인터페이스) 취약점을 이용해 일부 고객정보를 조회했다. 유출 정보는 대부분 고객 성명과 내부 식별용 고객번호이며 회사는 해당 고객에게 개별 통지했다. 추가 피해는 아직 확인되지 않았다.
유통업계에서는 지난 8월 말 29CM을 시작으로 할리스, G마켓, 기프티엘, 더본코리아 등에서 개인정보 침해 사고나 유출 가능성이 잇따라 확인됐다. G마켓·할리스·29CM·기프티엘 등의 유출 규모를 단순 합산하면 약 383만건이다. 기업별 규모는 할리스 276만건, G마켓 90여만명, 29CM 약 16만건, 기프티엘 1만8359명이다.
사고 경로는 비슷했다. 29CM과 G마켓은 고객정보 조회 API 취약점이 공격에 쓰였다. 할리스는 과거 멤버십 정보가 보관된 클라우드 서비스에서 비인가 접근이 있었다. 더본코리아는 ERP 유지보수 업체의 백업 서버에서 정보 반출 정황이 나왔다. 기업 내부 시스템뿐 아니라 외부 서비스와 협력업체까지 보안 관리 범위가 넓어졌다.
유출 정보도 금전 피해와 연결되는 형태로 늘었다. G마켓에서는 이름과 연락처, 주소 외에 e쿠폰 PIN번호가 유출돼 일부 쿠폰이 무단 사용된 정황이 확인됐다. 기프티엘은 쿠폰 일련번호와 환불 계좌 등이 유출 대상에 포함됐다. 유통업체는 구매와 배송, 멤버십 적립 과정에서 이름과 연락처, 주소, 구매 이력을 두루 수집해 사고가 나면 피해 범위가 넓다.
이같은 상황이 반복되자 기업들은 보안 조직과 투자를 늘리고 있다. 신세계그룹은 SCK컴퍼니와 이마트24에 정보보안센터를 신설했다. 현대백화점은 정보보안 조직을 최고경영자(CEO) 직속으로 두고 IT 예산 대비 정보보호 투자 비중 목표를 7%에서 10%로 높였다.
G마켓도 IT 투자 대비 정보보호 투자 비중이 9.7%로 높았지만 이번 사고를 피하지 못했다. 예산 규모보다 외부 API와 클라우드, 협력업체 서버 등 기업이 직접 통제하기 어려운 영역의 취약점을 사전에 찾아내는 관리 역량이 필요하다는 지적이 나온다. 수집부터 보관, 폐기까지 전 과정을 주기적으로 점검해야 한다는 목소리도 있다.
독자들의 PICK
지금 4,434명 읽는 중
업계 관계자는 "온라인 거래와 멤버십 서비스가 확대될수록 기업이 관리해야 할 고객정보와 보안 위협도 함께 늘어난다"며 "사고가 난 뒤 대응하는 방식으로는 고객 신뢰를 회복하기 어려운 만큼 평소 데이터 관리 체계를 점검하고 보안 사각지대를 줄이는 노력이 필요하다"고 말했다.
