주소·구매이력·시청기록 등 생활 데이터, 2차 범죄 악용 우려
깃허브 키·API·협력업체 등 공격 경로 넓어져
편의점 택배와 OTT, 교육 플랫폼까지 국내 주요 생활밀착형 서비스에서 개인정보 유출 사고가 잇따르면서 소비자 불안이 커지고 있다. 이름과 연락처, 주소 등 기본 정보는 물론 구매 이력, 시청 기록, 택배 메모처럼 개인의 생활패턴을 파악할 수 있는 데이터까지 공격 대상이 되면서 개인정보 보호 체계 전반을 재정비해야 한다는 지적이 나온다.
최근 CU 편의점 택배 서비스를 운영하는 BGF네트웍스는 시스템에 비인가 접근이 발생해 고객 개인정보가 유출된 정황을 확인했다고 밝혔다. 유출 항목에는 이름, 휴대전화 번호, 이메일, 주소, 성별, 아이디, 비밀번호 등이 포함된 것으로 알려졌다.
앞서 티빙에서도 해킹에 따른 개인정보 유출 정황이 확인됐고 패스트캠퍼스 콜로소 등을 운영하는 데이원컴퍼니 역시 고객 정보 유출 사실을 알렸다.
데이원컴퍼니의 경우 공격 경로가 개발자 저장소인 깃허브 계정 키 탈취로 지목됐다. 회사 측은 깃허브 마스터 계정 키값이 탈취됐고 이를 통해 지난 5월 9일 최초 침입이 이뤄졌다고 설명했다. 보안 사고 가능성을 인지한 시점은 6월 8일로, 외부 침입자가 약 한 달간 내부 시스템에 접근했을 가능성이 제기된다.
반복되는 개인정보 유출은 개별 기업의 문제가 아닌 산업 전반의 리스크로 번지는 모습이다.
국회 정무위원회 소속 이인영 더불어민주당 의원실이 개인정보보호위원회로부터 제출받은 자료에 따르면 2022년부터 최근 4년간 개인정보 유출로 과징금 처분을 받은 곳은 총 139곳이다. 이 중 이커머스·식음료·의류·여행 등 유통기업이 34건으로 24.4%를 차지해 가장 많았고, IT·플랫폼 기업이 32건으로 뒤를 이었다.
해커는 왜 유통·플랫폼 기업을 노릴까
유통·플랫폼 기업이 해커의 주요 표적이 된 배경에는 방대한 생활 데이터가 있다. 이커머스는 구매 이력과 결제 패턴을, 택배 서비스는 배송지와 연락처를, OTT는 시청 이력과 콘텐츠 소비 성향을 보유한다. 단순 연락처를 넘어 개인의 소비 습관과 생활 반경까지 추정할 수 있는 정보들이다.
이 같은 정보는 보이스피싱, 스미싱, 계정 탈취, 명의도용 등 2차 범죄에 악용될 우려가 있다. 특히 주소와 전화번호, 구매 이력, 배송 정보가 결합되면 표적형 사기에 활용될 가능성이 커진다. 택배 메모에 공동현관 비밀번호 등 민감한 내용이 담긴 경우 피해 우려는 더 커질 수밖에 없다.
개인정보 유출 경로도 복잡해지고 있다. 과거에는 고객 데이터베이스를 직접 노리는 방식이 주를 이뤘다면 최근에는 깃허브 등 개발자 저장소, 클라우드 접근키, API, 협력업체 시스템이 침투 경로로 떠오르고 있다.
실제 최근 발생한 일부 개인정보 유출 사고에서는 개발자 저장소에 노출된 자격증명이나 클라우드 접근권한이 공격의 단서로 활용된 정황이 확인되면서 개발·운영 환경 전반에 대한 보안 관리 중요성이 커지고 있다.
문제는 한 번 노출된 접근키가 현재 코드에서 삭제됐다고 완전히 사라지는 것이 아니라는 점이다. 개발자 저장소에는 과거 코드 변경 기록이 남기 때문에 이미 외부에 노출된 키라면 폐기 후 새 키로 교체해야 한다. 개발·운영 권한 관리가 허술할 경우 단순 실수가 대규모 개인정보 유출로 번질 수 있는 셈이다.
전문가들은 반복되는 개인정보 유출 사고의 배경으로 유통·플랫폼 업계의 보안 투자 부족을 지목한다. AI 추천, 물류 자동화, 마케팅 고도화 등 매출과 직결되는 영역에는 적극 투자하면서도 보안은 직접 수익을 내지 못하는 비용으로 보는 경향이 강했다는 것이다.
간편결제, 멤버십, 배송 조회, 개인화 추천 등 외부 연동 서비스가 늘어난 만큼 보안 관리 범위도 넓어졌지만 대응 체계는 이를 따라가지 못했다는 지적이다.
제재 수위는 높아지고 있다. 개보위는 쿠팡에 대해 개인정보 안전조치 의무 위반 등으로 총 6247억원의 과징금을 부과했다. 개인정보 유출과 온라인 활동기록 무단 수집 등이 함께 문제가 됐으며 단일 개인정보 유출 사고 관련 과징그믕로는 역대 최대 규모다.
개보위는 쿠팡의 인증 서명키 관리와 접근 통제 소홀 등 기본적인 안전관리 체계가 미흡했다고 판단했다.
다만 과징금만으로는 반복되는 유출 사고를 막기에 한계가 있다는 지적도 나온다. 사고 이후 통지와 사과, 비밀번호 변경 안내에 그치는 사후 대응을 넘어 개인정보 최소 수집, 접근 권한 관리, 개발 인프라 보안, 협력업체 점검 등 예방 중심의 체계가 필요하다는 것이다.
개인정보가 기업의 핵심 자산이 된 만큼 보안 역시 비용이 아닌 경영 리스크 관리의 기본값으로 봐야 한다는 목소리가 커지고 있다.
