강남언니·위버스·29CM 등 잇단 개인정보 침해
올 상반기 유출 신고 432건

플랫폼과 유통, 식품, 화학 등 업종을 가리지 않고 개인정보 유출과 외부 침해 사고가 잇따르고 있다. 이름·연락처를 넘어 상담 내역과 결제정보 등 민감한 개인정보까지 노출되면서 기업들의 관리 체계 재점검이 필요하다는 지적이 나온다.

강남언니 홈페이지 캡처

9일 업계에 따르면 최근 열흘 남짓한 기간에만 국내 주요 기업과 플랫폼에서 8건 이상의 개인정보 유출·침해 사고가 확인됐다. 

가장 최근에는 미용·의료 플랫폼 ‘강남언니’에서 지난 4일 국내외 이용자 21만9665명의 개인정보가 유출됐다. 강남언니는 사고 발생 사흘 뒤인 7일 관련 사실을 공지했다. 피해 이용자는 한국 약 16만명을 비롯해 일본 약 4만8000명, 대만·태국·중국 등 해외 이용자가 포함됐다.

유출된 정보에는 이름과 전화번호, 이메일, 생년월일, 성별, 거주 국가·지역, 소셜네트워크 로그인 ID, 접속 IP, 이용 단말 정보 등 민감한 내용이 포함된 것으로 전해졌다. 실제 여러 정보를 결합하면 개인의 미용·의료 관심사와 구체적인 소비 내역까지 파악할 수 있는 수준이다. 

강남언니 운영사 힐링페이퍼는 지난 8일 입장문을 내고 “지난 6일 한국인터넷진흥원(KISA)로의 침해사고 신고에 이어 7일 개인정보유출 사고 신고를 완료했다”며 “정확한 공격자 파악과 재발 방지를 위해 관할 경찰서에 사이버 범죄 수사를 의뢰한 상태”라고 다시 한 번 사과했다.

또 홈페이지 입장문 및 개인정보 유출 확인 조회 페이지를 30일 간 게시할 예정이라며 한국 유출 고객 대상으로 1인당 5만원의 포인트를 지급하겠다고 안내했다.

위버스 로고.

앞서 3일에는 하이브가 운영하는 글로벌 팬덤 플랫폼 ‘위버스’에서 개인정보와 거래 관련 정보 42만2584건이 유출된 사실이 6일 공지를 통해 알려졌다. 사측에 따르면 유출된 개인정보는 이용자 가입 시 내부적으로 생성되는 식별번호를 비롯해 결제 수단, 결제대행사(PG)명, 통화 형태, 구매·취소 금액, 구매·환불 일시, 구매 상태 등이다. 

2일에는 뷰티 플랫폼 ‘화해’에서도 배송지 정보와 리뷰 게시글에 공개된 회원 정보 등이 외부에서 조회·유출된 정황이 확인됐다. 화해는 비밀번호, 결제 및 금융 정보, 주민등록번호는 피해 대상이 아니라고 밝혔다. 또 이번 사고를 인지한 즉시 접근 경로와 관련 인터넷프로토콜(IP)을 차단해 긴급 조치를 완료했다고 밝혔다. 

패션 플랫폼 ‘29CM’에서도 지난달 27일 개인정보 약 15만9000건이 유출됐다. 13만8000여 건은 이름이며 2만1000건은 이메일·휴대전화번호·배송정보가 포함됐다. 29CM는 “결제정보와 아이디·비밀번호 등 고객 계정정보는 유출 항목에 포함되지 않았다”고 밝혔다.

소비자 대상 플랫폼만의 문제도 아니다. 지난달 21일에는 신세계푸드가 운영하는 노브랜드버거의 배달업무 재위탁업체와 한국도심공항에서도 개인정보 유출 또는 침해 가능성이 확인됐다. SK이노베이션에서도 지난달 말 임직원 개인정보 관련 사고가 발생했다.

관련 신고건수는 빠르게 늘고 있다. 개인정보보호위원회에 따르면 개인정보 유출 신고는 2024년 307건에서 지난해 447건으로 약 46% 증가했다. 올해는 상반기에만 432건이 접수돼 6개월 만에 지난해 연간 신고 건수에 근접했다.

업계에서는 최근 일련의 사고를 특정 기업이나 업종의 보안 문제로만 보기 어렵다는 분석이다. 서비스가 고도화되면서 주문과 배송, 결제, 상담 등 고객 정보가 여러 내부 시스템과 외부 사업자를 거쳐 활용되고 있고, 그만큼 기업이 관리해야 할 데이터와 접점도 빠르게 늘어나고 있기 때문이다.

사고 원인 역시 제각각이다. 외부 공격과 시스템 취약점부터 업무상 과실, 외부 위탁업체 관리 문제까지 침해 경로가 다양해지고 있다. 개별 시스템에 대한 정기 점검만으로는 한계가 있는 만큼 비정상적인 접근이나 대량 조회를 상시 탐지하고 임직원 접근 권한과 외부 위탁 시스템까지 통합적으로 관리해야 한다는 지적이 나온다.

정부도 개인정보 사고에 대응해 기업의 정보 보호 책임을 한층 강화할 것으로 알려졌다. 이달 11일부터 시행되는 개정 개인정보보호법에 따라 반복적이거나 중대한 위반행위에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다. 

최근 3년간 고의 또는 중대한 과실로 위반행위를 반복하거나 고의·중과실로 1000만명 이상의 대규모 피해를 일으킨 경우 등이 강화된 과징금 대상이다. 동시에 개인정보 보호를 위해 예산과 인력, 설비 등에 사전 투자한 기업에는 일정 요건에 따라 과징금을 감경하는 장치도 마련해 예방 투자를 유도할 계획이다. 

박윤희 기자 [e-mail]