쿠팡·GS리테일·명품 3사 접근통제·사고 대응 부실로 제재
동의 없는 마케팅·미파기도 적발…보안 투자·관리체계 정비 나서
[소셜밸류=한시은 기자] 커피 프랜차이즈부터 이커머스·편의점·명품 브랜드까지 유통업계 전반에서 개인정보 관리 부실이 잇따라 드러나고 있다. 정보 유출뿐 아니라 동의 없는 마케팅 활용과 개인정보 미파기도 적발되면서 허술한 보안체계와 관리 절차를 정비할 필요성이 커지고 있다.
 |
| ▲ 커피·쇼핑·배달 등 일상과 밀접한 유통 서비스에서 개인정보 유출과 부적절한 이용 사례가 잇따르고 있다./사진=AI 생성 이미지(ChatGPT) |
◇ 할리스, 과거 멤버십 데이터 약 276만건 유출…클라우드 서비스 해킹
20일 업계에 따르면 할리스는 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에 대한 외부의 비인가 접근으로 고객 개인정보가 유출된 사실을 확인했다. 유출 추정 기간은 지난 9월3일부터 10월7일까지다.
할리스는 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상적인 접근이 이뤄졌고, 이 과정에서 고객정보 일부가 유출된 것으로 파악하고 있다고 설명했다. 유출 항목은 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보 등이다.
유출된 자료는 현재 활성화된 고객 데이터베이스(DB)가 아닌, 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일이다. 신고 유출 규모는 약 276만건으로, 중복 회원을 포함해 2009년부터 2020년 2월11일까지 누적된 고객 데이터로 추정된다.
할리스는 비인가 접근 경로를 차단하고 인증 절차와 비정상 로그인 시도에 대한 모니터링을 강화했다. 관계기관 신고도 완료했고, 내부 조사와 함께 향후 관계기관 조사에 협조할 방침이다.
추가 대응으로 개인정보 접근권한과 인증체계, 보안시스템을 전면 점검하고 필요한 개선 조치를 시행하겠다고 밝혔다. 해당 클라우드를 사용하는 멤버십 서비스도 조속히 중단할 예정이다.
◇ 배달대행사서 라이더 정보 노출…접근통제 허점
고객정보뿐 아니라 배달 종사자의 개인정보가 외부에 노출된 정황도 확인됐다.
최근 주요 배달 플랫폼의 라이더 모집·관리 등을 담당하는 배달대행 A업체가 운영하는 것으로 추정되는 사이트에서 배달의민족 라이더 약 201명의 이름과 전화번호가 담긴 데이터 폴더가 외부에 노출됐다.
해당 사이트는 라이더가 이름과 전화번호 끝자리, 비밀번호를 입력해 자신의 배달 실적을 조회하는 서비스를 제공했다. 다만 개인정보가 저장된 폴더는 별도의 인증 없이 접근할 수 있는 상태로, 웹주소에 특정 경로를 추가하는 것만으로 내용을 열람할 수 있었던 것으로 전해졌다.
◇ 쿠팡, 3755만명 개인정보 유출…보상·보안체계 정비 나서
쿠팡은 대규모 개인정보 유출과 이용자 온라인 활동기록 무단 수집으로 지난 6월 총 6246억8100만원의 과징금과 1680만원의 과태료 부과 처분을 받았다. 이 가운데 개인정보 유출에 따른 안전조치 의무 위반에 부과된 과징금은 4235억7500만원이다.
개인정보보호위원회 조사에 따르면 쿠팡 전직 직원은 인증서명키를 확보한 뒤 위조 인증토큰을 만들어 지난해 4월부터 11월까지 회원정보와 배송지, 주문내역 등이 담긴 페이지에 접근했다. 유출 피해자는 비회원을 포함해 약 3755만명으로 파악됐다. 이름과 이메일뿐 아니라 배송지에 등록된 가족·지인 등 제3자의 이름과 전화번호, 주소도 유출됐다.
개인정보위는 인증서명키 관리와 접근통제 등 기본적인 안전관리 체계가 미흡했다고 판단했다. 쿠팡은 해당 직원이 퇴사한 뒤에도 키를 즉시 갱신하거나 폐기하지 않았고, 비정상적인 접속량 증가에도 고객 민원이 접수되기 전까지 유출을 인지하지 못했다. 일부 피해자에 대한 유출 통지 지연과 비회원 통지 미이행, 보유기간이 지난 개인정보를 파기하지 않은 사실도 확인됐다.
별도로 회원 약 1117만명의 다른 웹·앱 방문기록 등을 법적 근거 없이 수집·저장한 행위에는 2011억600만원의 과징금이 부과됐다. 개인정보위는 안전조치 강화와 비회원 피해자에 대한 유출 통지, 개인정보 처리체계 정비 등을 명령했다.
쿠팡은 사고 이후 정보보호·법률·IT 분야 외부 전문가 등이 참여하는 ‘정보보호 자문위원회’를 출범하며 보안체계 개선을 위한 외부 검증 장치를 마련했다. 위원회는 분기별 정기회의를 통해 보안 현안과 정책 전반을 점검하고, 정보보호 강화계획의 실효성을 검증할 예정이다.
◇ GS샵·GS25 잇단 정보 유출…이후 보안 투자 확대
GS리테일도 GS샵과 GS25의 고객정보 유출 사고로 지난 8월 개인정보보호위원회로부터 과징금 128억3600만원과 과태료 300만원을 부과받았다.
공격자는 미리 확보한 아이디와 비밀번호를 무차별 대입하는 ‘크리덴셜 스터핑’ 수법으로 두 홈페이지에 침입했다. GS샵에서는 2024년 6월21일부터 지난해 2월13일까지, GS25에서는 2024년 12월26일부터 지난해 1월4일까지 공격이 이어졌다. 유출 규모는 GS샵 158만1025명, GS25 7만9128명으로, 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 노출됐다.
개인정보위는 대량의 로그인 시도와 실패가 발생했는데도 이를 탐지·차단하는 체계가 미흡했다고 판단했다. 특히 GS리테일은 지난해 1월4일 GS25의 유출 사실을 인지하고도 GS샵에서 진행 중이던 동일한 공격을 곧바로 파악하지 못했다. 두 서비스 공격에 공통으로 사용된 IP가 327개에 달했지만, GS샵에서는 이후에도 약 40일간 정보 유출이 계속됐다.
사고 대응 조직과 통지 절차에서도 허점이 드러났다. 사고 당시 개인정보 전담조직이 없었고 보안 운영은 이원화돼 있었다. 조사 과정에서 추가 확인된 피해자 1599명에게는 정당한 사유 없이 법정 기한인 72시간을 넘겨 유출 사실을 알렸다. 개인정보위는 비정상 접속을 식별하는 보안정책 적용과 전담인력 배치, 개인정보 보호책임자(CPO)의 권한·책임 명확화 등을 명령했다.
GS리테일은 사고 이후 보안 시스템과 관리체계를 전면 점검하고, 주요 임원과 외부 전문가가 참여하는 정보보안대책위원회를 구성해 대응체계를 강화했다고 밝혔다. 임직원 교육과 내부 관리체계 정비 등 재발 방지 활동도 이어가겠다는 입장이다.
한국인터넷진흥원(KISA) 정보보호 공시에 따르면 GS리테일의 지난해 정보보호 투자액은 약 92억원으로 전년 약 78억원보다 17.5% 증가했다. 전체 정보기술 투자에서 차지하는 비중은 4.1%에서 5.2%로 높아졌고, 정보보호 전담인력은 20.2명에서 22명으로 늘었다.
지난해에는 통합보안로그분석 시스템과 상시 공개 보안 점검 시스템을 구축하고, 소스코드 보안·품질 관리 프로세스를 마련했다. 악성 이메일 방어 시스템을 강화하는 한편 상시 모의해킹과 침해사고 대응훈련도 실시했다고 공시했다.
◇ 명품업계도 개인정보 관리 부실…접근통제부터 사고 신고까지 허점
명품업계에서도 고객정보 관리 부실로 대규모 유출 사고가 발생했다. 개인정보보호위원회는 지난 2월 루이비통코리아와 크리스챤디올꾸뛰르코리아, 티파니코리아 등 LVMH그룹 산하 국내 판매 사업자 3곳에 총 360억3300만원의 과징금을 부과했다.
업체별 과징금은 루이비통코리아 213억8500만원, 디올 122억3600만원, 티파니코리아 24억1200만원이다. 디올과 티파니에는 각각 과태료 360만원과 720만원도 부과됐다.
이번 유출 사고는 고객관리를 위해 도입한 서비스형 소프트웨어(SaaS)에서 발생했다. 직원 계정이나 접근권한이 탈취된 가운데 외부 접속과 대량 다운로드를 통제하는 보호조치가 미흡했던 것으로 조사됐다.
루이비통에서는 지난해 6월9일부터 13일까지 세 차례에 걸쳐 약 360만명의 개인정보가 유출됐다. 해커는 악성코드에 감염된 직원 기기에서 고객관리 소프트웨어의 계정정보를 탈취해 고객정보에 접근했다. 루이비통은 접속 가능한 IP 주소를 제한하지 않았고, 개인정보취급자의 외부 접속에 안전한 인증수단도 적용하지 않은 것으로 파악됐다.
디올과 티파니에서는 고객센터 직원이 보이스피싱에 속아 해커에게 소프트웨어 접근권한을 넘겼다. 디올은 지난해 1월26일 약 195만명, 티파니는 같은 해 4월8일 약 4600명의 개인정보가 유출됐다. 두 업체 역시 접속 IP 제한과 대량 다운로드 도구에 대한 사용 통제가 미흡했다.
사고를 뒤늦게 파악하거나 신고를 지연한 문제도 드러났다. 디올은 개인정보 다운로드 여부 등 접속기록을 월 1회 이상 점검하지 않아 사고 발생 후 3개월 이상 지난 지난해 5월에야 유출 사실을 인지했다. 이후에도 정당한 사유 없이 법정 신고 기한인 72시간을 넘겨 관계기관에 신고한 것으로 확인됐다.
◇ 커피·외식 프랜차이즈도 관리 허점…미동의 마케팅·개인정보 미파기 적발
대부분의 식음료 프랜차이즈에서도 고객 개인정보 관리 부실이 드러났다. 보유기간이 지났거나 처리 목적을 달성한 개인정보를 파기하지 않고, 동의 없이 마케팅에 활용하는 등 위반 사례가 확인됐다.
개인정보보호위원회는 지난 2월 버거킹과 메가MGC커피, 스타벅스, 맥도날드, 투썸플레이스, 이디야, 빽다방 등 프랜차이즈 7개 사업자의 개인정보 보호법 위반에 대해 제재했다.
버거킹 운영사 비케이알은 법정대리인의 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용해 과징금 9억2400만원을 부과받았다. 개인정보 이용·제공 내역 미통지와 미파기 등도 확인돼 과태료 1530만원과 시정명령·공표명령이 함께 내려졌다.
메가MGC커피 운영사 엠지씨글로벌은 회원가입 시 마케팅 활용에 동의하지 않은 회원도 자동으로 동의 처리되도록 설정해 광고성 앱 푸시를 발송했다. 개인정보위는 이러한 목적 외 이용에 과징금 6억4200만원을 부과했다. 개인정보 미파기와 수탁자 관리·감독 소홀 등도 적발돼 과태료 1530만원과 시정명령·공표명령을 받았다.
개인정보 수집에 동의하지 않으면 서비스를 이용하지 못하게 하거나, 별도로 받아야 할 동의를 포괄적으로 받은 사례도 있었다.
투썸플레이스는 매장 주문 시 휴대전화번호를 입력하지 않으면 주문·결제를 할 수 없도록 운영했다. 빽다방 운영사 더본코리아는 마케팅과 맞춤형 서비스 등 별도 동의가 필요한 사항을 한꺼번에 동의받고, 개인정보 처리 수탁자에 대한 관리·감독도 소홀히 했다. 두 업체에는 각각 과태료 540만원과 1260만원, 시정명령·공표명령이 내려졌다.
맥도날드는 개인정보 미파기와 접근통제 소홀, 접속기록 미보관으로 과태료 1140만원을, 이디야는 개인정보 이용·제공 내역 미통지와 미파기, 접속기록 관리 미흡 등으로 과태료 1620만원을 부과받았다. 두 업체에는 시정명령·공표명령도 내려졌다. 스타벅스 운영사 에스씨케이컴퍼니는 개인정보를 파기하지 않은 사실이 확인돼 시정명령을 받았다.
업계 한 관계자는 “유통업계 전반에서 멤버십과 온라인 주문 등을 활용한 서비스가 확대되면서 고객정보 보호의 중요성도 커지고 있다”며 “유출 경로와 공격 수법이 다양해지는 만큼 회사 차원에서 보안 관리에 각별히 노력하는 추세”라고 말했다.
[ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]
