보름 전부터 시작된 경고 신호
쿠팡의 개인정보 유출 사태는 갑작스러운 일이 아니었습니다. 유출 사실이 공식 발표되기 약 보름 전인 6월 9일, 한 고객이 직구 시마다 스미싱 문자가 수신된다는 의혹을 제기했지만, 쿠팡 고객센터는 “개인정보가 유출된 적이 없다”고 단호하게 일축했습니다. 이후 밝혀진 유출 규모는 무려 3370만 명에 달했고, 이는 사실상 쿠팡의 모든 이용자에 가까운 수치였습니다. 사태 발생 후 쿠팡은 ‘유출’이 아닌 ‘노출’이라는 표현을 고수하며 피해 규모를 축소하려는 듯한 태도를 보였고, 김범석 CEO의 침묵은 여론의 불신을 더욱 증폭시켰습니다.
“국내 배송인데, 왜 해외 직구 알림이?”
쿠팡 파문이 진정되지 않은 가운데, 또 다른 개인정보 위협이 모습을 드러냈습니다. 국내 온라인 쇼핑몰에서 ‘국내 배송’으로 상품을 구매한 소비자에게, 자신의 개인통관고유부호가 동의 없이 사용되어 해외 직구 물품이 통관 중이라는 알림이 발송된 사례가 잇따라 보고된 겁니다. 피해자 김 씨는 “통관부호를 준 적이 없는데 누가 썼는지 모르겠다”며 당혹감을 감추지 못했습니다. 개인통관고유부호는 해외 직구 시 주민등록번호 대신 쓰이는 중요한 식별 번호인데, 이마저 유출되거나 도용당할 위험에 놓이게 된 것이죠. 관세청에 접수된 통관부호 도용 신고는 지난해 동기 대비 3배 이상 급증했고, 당국은 유효기간을 1년으로 제한하는 등 대책 마련에 급급한 상황입니다.
유명무실해진 ‘정부 인증’의 허점
이런 대형 사고가 발생하는 배경에는 형식적인 보안 인증 제도의 한계가 자리 잡고 있습니다. 쿠팡을 비롯해 SK텔레콤, 예스24 등 최근 개인정보를 유출한 기업들은 모두 정부로부터 ‘정보보호 및 개인정보보호 관리체계 인증(ISMS-P)’을 받은 상태였습니다. 문제는 이 인증이 서류 위주의 ‘체크 더 박스’ 방식으로 진행되어, 실제 보안 역량을 제대로 검증하지 못한다는 점입니다. 인증 심사 기간은 1~2주에 불과해 기업들은 심사期間만 일시적으로 대응하고, 인증 획득 후에는 보안 관리가 흐지부지되는 경우가 많습니다. 서울여대 김명주 교수는 “현재 인증은 서류 제대로 냈는지만 보는 절차 인증에 불과하다”고 지적하며, 실제 해킹 공격을 모의하는 ‘침투 테스트’ 등을 통한 실질적 검증이 필요하다고 강조했습니다.
소비자의 선택: 불안한 채로 남을 것인가, 떠날 것인가
파장은 소비자의 행동 변화로 이어지고 있습니다. 유튜브에서 ‘쿠팡’ 키워드 검색량이 1,800% 이상 폭증했고, ‘탈퇴’, ‘집단소송’, ‘보상’ 같은 검색어가 뒤따랐습니다. 실제로 쿠팡의 일간 활성 이용자 수는 사태 직후 잠시 증가했다가 18만 명 이상 급감하는 모습을 보였습니다. 경쟁사들은 이 기회를 놓치지 않고 총력전을 펼치고 있죠. 네이버는 ‘N배송’을 강화하고 대규모 할인 행사에 나섰으며, SSG닷컴과 오아시스는 신규 가입자 혜택을 내세웠습니다. 그러나 많은 분석가들은 소비자들이 완전히 떠나기는 어려울 것이라고 내다봅니다. 쿠팡의 새벽 배송과 가격 경쟁력이라는 강력한 편의성 앞에서, 불안감과 실용성이 맞서는 딜레마에 빠진 것이 현재 소비자들의 심리입니다. JP모건 증권의 분석처럼 한국 소비자들이 데이터 유출에 상대적으로 둔감하다는 지적도 있지만, 이번 사태는 그 둔감함의 한계를 시험하는 중입니다.
이번 사태는 단순한 한 기업의 실수가 아니라, 우리의 개인정보가 얼마나 허술하게 관리되고 있는지를 적나라하게 보여준 사건입니다. 쿠팡의 안일한 대응, 통관부호 도용이라는 새로운 위협, 그리고 이를 막지 못하는 인증 제도의 한계가 삼중주를 이루고 있습니다. 기업의 신뢰 회복을 위한 진정성 있는 사과와 시스템 개선, 그리고 정부의 실효성 있는 제도 보완이 동시에 이루어지지 않는다면, 다음 피해자는 누구일지 예측하기 어려운 상황이 되고 말 겁니다.