CU 택배도 뚫렸다...생활 밀착형 서비스의 보안 허점
BGF네트웍스가 운영하는 CU편의점 택배 서비스 CU POST에서 고객 개인정보 유출 사고가 발생했습니다. 지난 6월 4일 오후 3시 30분경, 신원 미상의 해커가 웹 취약점을 악용해 시스템에 비인가 접근한 것으로 확인됐는데요. 이로 인해 온라인 회원 고객의 아이디와 비밀번호를 비롯해 이름, 생년월일, 성별, 주소, 이메일, 휴대전화 번호, 연계정보(CI) 등이 유출되었습니다. 회사 측은 사고 인지 직후 공격 IP를 차단하고 개인정보보호위원회와 한국인터넷진흥원에 신고하는 등 후속 조치를 진행했으며, 공식 사과문을 올렸습니다.
다행히 택배 발송 과정에서 입력된 수하인 등 제3자의 정보는 유출되지 않았다고 밝혔습니다. 하지만 생활 밀착형 서비스에서 주요 식별 정보가 노출된 만큼 이용자들의 불안은 쉽게 가라앉지 않고 있습니다. 특히 이름과 연락처, 주소가 함께 유출된 경우 스미싱이나 보이스피싱 같은 2차 범죄로 악용될 우려가 크다는 점이 가장 큰 걱정거리입니다.
잇단 유출에 드러난 기업 보안의 민낯
CU 택배의 이번 사고는 최근 잇따라 터지고 있는 대형 개인정보 유출 사태의 연장선에서 바라봐야 합니다. 불과 하루 차이인 6월 3일에는 OTT 서비스 티빙에서 회원 DB가 해킹당해 아이디와 이름, 생년월일, 전화번호, 환불 계좌번호 등이 유출되었고, 이에 정부는 민관합동조사단까지 구성해 원인 규명에 나섰습니다.
앞서 5월에는 CJ그룹에서 텔레그램을 통해 여성 직원 330여 명의 개인정보가 노출되는 사건도 있었습니다. 심지어 GS리테일에서도 GS25 홈페이지와 GS샵을 통해 회원 정보가 유출되는 등 편의점 유통업계 역시 예외는 아니었죠. 이처럼 유출 사고가 업종을 가리지 않고 발생하는 건, 기업들이 단순 전산 문제가 아닌 경영 차원의 핵심 리스크로 보안을 다루지 않고 있다는 반증입니다.
보안 투자 부족과 법제도 개선의 속도
기업들의 보안 관리가 뒷걸음질 치는 데는 현실적인 이유가 있습니다. 시스코가 발표한 자료에 따르면 국내 기업의 97%가 보안 인력 부족을 호소하고 있으며, IT 예산의 10% 이상을 보안에 투입하는 기업은 33%에 그쳤습니다. 게다가 고성능 AI를 활용한 지능형 사이버 공격이 늘면서 기존 보안 체계가 무력화될 가능성도 커지고 있는데요.
이에 정부는 오는 9월 11일부터 시행될 개인정보보호법 개정안을 통해 중대한 침해 행위에 대해 전체 매출액의 최대 10%를 과징금으로 부과하고, 개인정보보호책임자 책임도 강화하기로 했습니다. 하지만 법적 제재만으로는 한계가 있어, 기업 스스로 충분한 예산과 전문 인력을 확보해 사전 예방 체계를 구축하는 것이 근본적인 해법이 될 것입니다.