00:00Q. 종일 유출됐습니다라는 문자 받으신 분들 많을 겁니다.
00:08쿠팡 소식부터 두 분과 함께 알아보겠습니다.
00:10이인철 참 좋은 경제연구소장 임주혜 변호사 모셨습니다.
00:14어서오세요.
00:15소장님 쿠팡 쓰시죠?
00:18저도 오늘 오전에 문자 받았습니다.
00:21아 쿠팡 쓰시고 변호사 임주 쓰시죠?
00:23전 사실 쿠팡 없으면 못 살죠.
00:25그렇죠.
00:25그렇죠. 아이들 준비물이며 생활 필수품, 심지어 신선식품도 쿠팡 애용하는 사람입니다.
00:31그렇죠. 장하연 앵커도 쿠팡 쓰시나요?
00:33저도 씁니다.
00:34저도 씁니다.
00:35여기 나와 있는 4명이 다 씁니다.
00:37이렇게 국민 대부분이 쓴다고 해도 과언이 아닌 국내 최대 온라인 쇼핑몰이 바로 쿠팡입니다.
00:43그런데 제가 앞서 말씀드린 대로 3,370만 개의 고객 정보가 유출됐습니다.
00:51쿠팡이 회원 수가 몇 명이다라는 걸 밝힌 적은 없는데
00:55이 정도면 사실상 거의 모든 회원들의 정보가 털린 겁니다.
01:01그런데 최초에는 4,500여 개가 유출된 것 같다고 발표했거든요.
01:093,370만 개와 4,500개는 너무 차이가 큽니다.
01:137,500배 차이인데.
01:15변호사님, 쿠팡 측이 이걸 알고도 축소했을까요?
01:18아니면 정말 몰랐을까요?
01:19몰랐어도 문제인데요.
01:20맞습니다.
01:21둘 다 문제입니다.
01:22알고서도 축소했다면 그거는 관련된 법 규정을 위반한 건 맞고요.
01:27몰랐으면 저는 더 큰 문제라고 봅니다.
01:30사실 이 보안 시스템이라는 것이 해커가 침입을 할 때 똑똑 저 들어갈게요 이러고 들어가는 거 아니고요.
01:37루그루 박물관 털렸을 때처럼 사다리차 놓고 들어가는 거 아니기 때문에 인지하는 데까지 시간은 걸릴 수 있습니다.
01:45다만 지금 이렇게 개인정보가 털려나갈 때까지 쿠팡은 사실상 고객이 최초의 정보 유출이 의심된다는 신고이 있기 전까지는 그 어떤 인지도 하지 못했다는 점, 이 부분은 정말 뼈저린 부분인 것 같고요.
02:00이미 유출이 확인된 시점에도 이 사고를 수습하는 과정에 있어서도 너무나도 허술했습니다.
02:07당초의 예상과는 달리 몇천 명 수준의 개인정보가 유출되었다고 했다가 사실상 쿠팡을 이용하는 이용자 전원의 개인정보가 유출되었다고 봐도 과언이 아닌데 이걸 몰랐다면 계속해서 지금 더 유출되었고 어느 정보까지 유출됐는지도 모른다면 이건 보안에 있어서 정말 큰 구멍이 아닐 수 없습니다.
02:27더 심각한 문제는 정보가 처음 빠져나간 것으로 추정되는 시점입니다.
02:33지난 6월부터 해외 서버를 통해서 무단 접속이 시작됐다는데요.
02:37이렇게 방대한 데이터가 나가는 동안 어떻게 전혀 모를 수가 있었을까요?
02:42이 서버라는 부분의 특수성은 이해할 필요가 있을 것 같습니다.
02:46우리가 예를 들어서 휴대폰을 절도당했다, 분실했다고 하면 바로 인지를 할 수 있습니다.
02:51내 휴대폰이 없기 때문이죠.
02:53또 경우에 따라서 내가 가방에 누가 칼로 그어서 휴대폰만 가지고 나갔으면 가방 안에 들어있는 다른 소지품은 안전하구나.
03:02이건 눈으로 육안으로 확인이 가능하기 때문에 사실상 개인정보가 유출된 것과 달리 이 절도라는 부분은 바로 인지가 가능하겠죠.
03:11하지만 이 서버에 담겨 있는 개인정보는 어떤 물리적으로 내가 이걸 도난당했는지 알 길이 없습니다.
03:18접근 권한을 탈취당한 것이기 때문에 지금 당장은 그 개인정보가 서버라는 통안에 안전하게 잘 담겨 있는 것 같아도요.
03:26누군가 몰래 일종의 빨대 같은 걸 탁 꽂아서 그 개인정보를 수시로 빼가고 있다면 인지 시점에는 어느 정도 시간이 소요된다고 해도요.
03:35일단 누군가 그 빨대를 꽂았다는 사실 자체가 경보기를 통해서 어떤 장치를 통해서 감지가 됐어야 되는데 쿠팡은 전혀 인지하지 못한 겁니다.
03:456월부터 누군가 이 서버에 접근하기 시작했는데 그걸 인지한 거는 11월 16일 고객이 내 쿠팡 개인정보가 유출된 것 같다는 신고를 하고서야 들여다보기 시작했습니다.
03:57그리고 1차 조사 결과에도 몇 천명 수준의 유출이었는데 며칠 더 조사를 해보니까 사실상 모든 이용객 정보 유출되었다라고 지금 이야기를 하고 있습니다.
04:07이 과정에 있어서 인지 시점도 늦었고 조사 과정에 있어서도 지금 전혀 이 보안 시스템의 쿠팡이 장악하고 있지 못하다는 비판 피하기 어렵습니다.
04:18자 그러면 어떤 정보가 털린 거냐 어떤 게 유출이 된 거냐 짚어보겠습니다.
04:23이게 굉장히 중요하겠죠. 이름과 이메일, 배송지 정보 그리고 최근 주문 내역, 주소록, 현관, 현관문 비밀번호를 거기다 적어놓으신 분들 있으니까 그런 것들도 유출된 겁니다.
04:37반면에 신용카드 번호와 결제 비밀번호, 로그인 비밀번호는 유출이 안 된 걸로 지금 알려져 있는데 소장님 지금 노출된 정보만으로도 여러 가지 범행에 이용될 가능성이 있다면서요?
04:49그렇습니다. 저게 이제 노란색으로 표시되어 있는 데는 이유가 있습니다.
04:54쿠팡이 당일 배송, 총알 배송을 굉장히 홍보하고 있어서 새벽에 집이 없는데 초인종 누르기 전에 현관 비밀번호를 알려주신 분들이 상당히 많다는 겁니다.
05:05그렇죠. 그러면 이걸 이용한 2차 피해 범죄가 일어날 가능성도 개연성도 남아있는 상황이고요.
05:13여기에다가 지금 쿠팡 측은 신용카드 번호며 결제 비밀번호, 로그인 비밀번호는 안전하게 보관되어 있다라고 얘기하고 있지만
05:21아니, 4,500명 유출해서 갑자기 3,370만 명으로 뛰어넘는 것도 늦게, 뒤늦게 알렸는데 이걸 과연 믿을 수 있을까라는 점이 의구심이고요.
05:33또 하나, 쿠팡은 우리나라 회사가 아닙니다.
05:35아하, 어디요?
05:37미국의 쿠팡 인터내셔널의 자회사입니다.
05:40그렇군요.
05:40자산총액이 5조 원이 넘으면 대기업 집단의 종속이 돼야 돼요.
05:45공정거래위원회 기준 대기업 집단이지만 김범수 의장이 미국 국적이라는 이유로 여기는 총수 없는 대기업 집단입니다.
05:54그렇군요.
05:55그러다 보니까 이게 만에 하나 피해 규모가 밝혀졌어요.
05:59어떤 규제를 내릴 거냐.
06:00이게 플랫폼 규제에 들어가요.
06:01그런데 우리는 한미 관세 협상에서 플랫폼 규제에 대해서 미국도 협상하기로 했기 때문에 눈치를 봐야 되는 상황입니다.
06:08네, 그러면 이 사태가 어디서부터 시작됐는지가 또 중요할 겁니다.
06:14유출 사태의 핵심 관련자가 중국 국적으로 추정되는 전 직원인 것으로 알려졌는데 그렇다면 내부인의 소행인 건가요?
06:22아직까지는 조사 초기 단계이기 때문에 어떤 원인 관계를 단정짓기는 좀 일러 보입니다.
06:28다만 이런 개인정보 유출 사태가 발생을 하면 일단 내부 직원의 어떤 연결고리가 있을 가능성이 매우 높습니다.
06:36네, 쿠팡이라는 서버에 접근할 수 있는 권한을 갖고 있던 직원이 만연히 이 권한을 다른 사람에게 넘기는 경우 있을 수 있고요.
06:46또 경우에 따라서는 이런 정보에는 접근할 수 없지만 관련자로서 근무하고 있었기 때문에 이 내용을 너무 잘 알아서 어떻게 하면 접근할 수 있는지 그 정보를 외부에 알리는 그런 경우도 있습니다.
06:58이번 사항 같은 경우에도 쿠팡 측에서 이런 접근 권한은 없었지만 쿠팡에서 근무하고 있던 직원이 유출과 관련해서 일부 도움을 준 것으로 관련자로서 지금 교소까지 진행한 상황이라는 이야기 전해지고 있습니다.
07:13네, 변호사님 근데 이 사람이 지금 한국에 없는 것 같다라는 얘기도 있더라고요.
07:18그 경우에는 이제 신병을 확보하는데 굉장히 어려움이 따르지 않을까요?
07:22그렇죠. 중국 국적으로 추정이 되고 있고 이미 중국으로 넘어갔다라는 이야기도 나오고 있는데 그렇다면 이제 수사 과정에 있어서 시간이 좀 더 걸릴 수 있습니다.
07:33일단 찾아내야 되고요. 한국으로 송환을 요청하고 이런 과정들이 시간은 걸리겠지만 필요하다면 반드시 있어야 되는 그런 규정이고
07:41시간이 걸리더라도 이 직원에 대한 정확한 조사 그리고 이 원인에 대한 발견은 풍면이 필요한 상황입니다.
07:49네, 심각해지니까 정부가 나섰습니다.
07:53과기정통부와 개인정보위가 민관합동조사단을 꾸린 건데
07:58소장님 이게 좀 평상시의 조사랑은 조금 다르게 더 집중적으로 이루어질 것 같아요.
08:03워낙에 이제 개인정보 유출 범위가 좀 크고요.
08:07그리고 이제 이걸 조금 은폐하려는 의혹까지 지금 나오고 있다 보니까 민간 조사단이 출범을 한 건데요.
08:15앞서 제가 말씀을 드렸습니다만 당장 이름과 같은 구매용만 보고 이제 피부가 있다 없다라고 말하기는 좀 어렵습니다.
08:23그럼에도 불구하고 이제 2차표의 가능성이 있고요.
08:26특히나 이제 이 보이스피슨과 같은 이제 범죄로 연결될 수 있기 때문에 아마 민간 투자협의가 왜 그리고 이제 이런 사실을 알면서도 왜 좀 숨겼는지 피해 규모가 얼마인지
08:37이거에 대한 이제 명백한 이제 수사를 통해서 좀 알려줘야 되겠습니다.
08:42네, 그렇다면은 지금부터 지금 당장 소비자들이 할 수 있는 게 무엇인지를 좀 따져봐야 할 텐데요.
08:48변호사님 우리는 지금 뭘 해야 되나요? 비밀번호 바꾸는 걸로 안전할까요?
08:52일단 쿠팡 측에서는 비밀번호 변경도 필요 없다라는 취지입니다.
08:57왜냐하면 일단 로그인 정보 자체가 탈취된 것은 아니고 특히 이 계좌 정보 같은 부분 신용카드 정보 같은 건 넘어가지 않았다고 주장하는데
09:06앞서 소장님도 언급해 주신 것처럼 이미 피해 규모 자체가 이렇게 크게 차이가 났는데 과연 이 내용 믿을 수 있는가.
09:14이 부분도 저는 사실 일구심은 들고요.
09:17다만 정확하게 확인되기 전에 너무나도 크게 공포심을 가질 필요는 없을 것 같습니다.
09:23분명한 건 지금 유출된 정보가 민감도가 상당히 높은 중요한 정보라는 점입니다.
09:29지금 이름과 이메일 번호 이 정도를 갖고 있으면 이미 다른 사람들이 갖고 있는 정보와 결합하면은요.
09:36누구인지 특정될 수밖에 없고요.
09:38가장 제가 걱정하는 점은 주거지 정보, 주소가 유출되었다는 점입니다.
09:44스토킹 피해 같은 부분에 우려가 있을 수도 있고 지금 구매 이력도 일부 넘어갔다고 한다면 일정 부분 이런 걸 구매했다라는 걸 근거로 해서
09:54스토킹 피해라든가 다른 협박성 범죄로 나아갈 수 있을 그런 우려가 있어서 일단 당장 중요한 건 쿠팡 측의 대응을 지켜볼 필요도 있을 것 같고요.
10:04개인이 필요하다고 판단이 된다면 이메일 비밀번호 같은 부분 변경하는 거 그리고 내 정보가 지금 유출된 바는 없는지 계속해서 점검하고 확인하고 걸려오는 문자나 전화 같은 부분 추가적으로 지금 스미싱 피해가 있을 수 있기 때문에 조심하는 수밖에 없을 것 같습니다.
10:23참 근데 이게 KT도 그랬고 롯데카드도 그랬고 해킹이 여러 가지 문제가 있었는데 이거는 사실은 지금 해킹이 아니라 내부 직원의 소행으로 보인다는 거예요.
10:32그럼 해킹이 됐든 내부 직원의 소행이 됐든 고객 정보를 이렇게 빼돌리는 행위를 왜 하는 걸까요? 이게 돈이 되나요?
10:41그렇죠. 사실 우리가 휴대폰을 절도했다 지갑을 절도하면 바로 이걸 팔아서 뭔가 이윤을 남기기 위한 절도인 겁니다.
10:49그런데 개인 정보 같은 건요. 가공을 거치게 됩니다.
10:52지금 내가 이 개인 정보를 타취했다고 해서 이 순간 팔아넘기겠다는 것이 아니라 가장 비싼 방식으로 가공하고 조립해서 비싼 시점에 넘길 수 있다는 것이 문제인 겁니다.
11:05그래서 당장은 내가 이 개인 정보가 유출됐다고 해서 어떤 피해가 있는지가 체감을 하기가 어려울 수 있지만 이것이 언젠가 잠재적으로 정말 큰 위험이 될 수 있기 때문에 위험한 거고요.
11:17이 개인 정보를 가지고 할 수 있는 게 너무나도 많습니다. 누군가에게 이 정보를 팔아넘길 수도 있고 특히 범죄와 결합이 된다면 어마어마한 파급력을 가질 수 있기 때문에 이건 정말 쉽게 생각할 문제가 아니라고 생각합니다.
11:31네, 요즘 개인 정보 유출에 대해서 많이들 민감하실 텐데 참 한숨밖에 안 나오는 그런 상황인 것 같습니다.
