‘쿠팡 사태’에 덩달아…해커들이 '이곳' 노리는 이유

[이데일리 김정유 기자] 국내 이커머스(전자상거래) 1위 업체 쿠팡에서 대규모 정보 유출 사고가 발생하면서, 이커머스 업계 전반에 긴장감이 흐르고 있다. 쿠팡 사고에 더해 최근 몇년간 이커머스 업계의 고객 정보 유출건이 잇따르고 있는 탓이다. 이커머스는 정보 유출자 입장에선 매력적인 공격처로 꼽힌다. 고객·결제 정보와 같은 공격 가치가 높은 정보가 많은데다, 수많은 시스템이 연계돼 전체 정보 유출까지 연결될 수 있다는 측면에서다.

그래픽=김일환 기자

1일 관련 업계에 따르면 쿠팡에서 발생한 고객 계정 3370만개 유출 사고가 사회적 문제로 확산될 조짐을 보이자 국내 이커머스 업체들은 부랴부랴 내부 보안 강화에 나서고 있다. 오픈마켓 플랫폼 A사는 쿠팡 사고가 터지자마자 내부 보안체계 점검에 돌입했고, 또 다른 플랫폼 B사 역시 정례적으로 하던 고객정보 관리에 더해 추가적인 점검을 진행하고 있는 것으로 전해졌다.

A사 관계자는 “쿠팡 고객 정보 유출건이 터지면서 서둘러 내부 보안 점검에 나서고 있다”며 “애꿎은 다른 국내 이커머스 플랫폼들에 여파가 확산하지 않을지 걱정된다”고 말했다. B사 관계자 역시 “이커머스 업체 입장에서 이번 사태는 매우 큰 사안”이라며 “동종업계면 당연히 점검을 해야 한다. 자칫 유탄을 맞을 수 있다”고 밝혔다.

동종업계 C사의 경우에도 쿠팡 정보 유출 사고의 정부 조사 결과를 예의주시 중이다. 향후 어떤 식으로 정보가 뚫렸는지 조사 결과가 나오면 해당 부분에 보안 강화를 진행하기 위해서다.

이커머스 업계가 이처럼 전전긍긍하는 것은 쿠팡이 업계 1위 플랫폼이기 때문이다. 업계 1위에서 발생한 개인정보 유출건은 소비자들에게 더 깊게 각인돼 타 플랫폼에까지 불신을 확산시킬 수 있어서다. 이커머스 플랫폼 자체가 정보 보안이 취약하다는 인식을 심어준 것도 업계 입장에선 마이너스다.

특히 쿠팡 사태 이전부터 이커머스 고객정보 유출이 쭉 이어지고 있다는 점도 우려 요소다. 2008년 옥션에선 1800만명 이상의 고객 정보가 유출돼 사회적 현안으로 대두된 바 있는데, 이후 2016년 인터파크(1000만명 유출), 2022년 발란(162만건) 등 꾸준히 이어지고 있다.

지난해엔 GS샵 해킹으로 150만건의 정보가 빠져나갔고, 해외 직구 플랫폼 팝인보더에서도 11만 3000건이 유출된 바 있다. 또한 지난해에 중소 이커머스 플랫폼 50개사를 대상으로 한 해킹 공격도 전개됐는데 당시엔 카드정보까지 탈취당해 논란을 키우기도 했다.

해외 이커머스 업체들도 마찬가지다. 미국 음악 관련 유통업체 핫토픽에선 지난해 5700만명의 고객 정보(카드정보 포함)가 유출됐고, 이어 미국 신발 유통체인 JD스포츠 역시 2023년 카드 번호 4자리 등을 포함한 1000만명의 고객 정보가 노출됐다.

30일 정부서울청사에서 쿠팡 관련 긴급 관계부처 장관회의가 열린 가운데 박대준 쿠팡대표가 회의장을 나서며 기자들의 질의에 답하고 있다. (사진=이영훈 기자)

유럽 보안업체 인텔리전스X에 따르면 최근 이커머스 업계에 고객정보 유출 사고가 몰리고 있는 이유는 해커들 입장에서 공격 가치가 크고, 구조적으로 취약한 지점이 많기 때문이다. 인텔리전스X 측은 최근 보고서를 통해 “올 상반기까지 이커머스 앱이 해커들이 주요 표적이 되고 있다”며 “다크웹에 도난당한 신용카드가 유출되는 것부터 대규모 고객정보 유출까지 모든 틈새를 악용하고 있다”고 강조했다.

익명을 요구한 국내 보안업계 한 관계자는 “이커머스는 해커 입장에서 이름, 주소, 연락처, 구매 내역, 카드 및 결제 정보까지 한 번에 얻을 수 있다”며 “또한 웹·모바일 앱, 결제 게이트웨이, 물류·택배 연동 등 수많은 시스템과 앱 프로그래밍 인터페이스(API)가 연결돼 어느 한 곳만 틈새가 보이면 전체 고객 정보 유출로 이어질 수 있다”고 말했다.

경쟁이 치열한 이커머스 업체들의 속도·편의 우선주의와 내부자에 대한 권한 과다 부여 등도 한 이유로 꼽힌다.

ICT업계 관계자는 “이커머스는 출시 속도, 이용자 환경(UX), 구매전환율 등을 우선하다 보니 코드 리뷰, 보안테스트, 패치 적용 지연 등으로 취약점이 장기간 방치되는 경우가 있다”며 “업종 특성상 고객센터·마케팅 대행사·물류 및 IT 외주사 등 여러 주체가 고객정보에 접근하기 때문에 계정 관리 미흡, 권한 과다 부여 등에 따라 유출이 발생하는 경우가 많은 것 같다”고 밝혔다.