‘노출’에서 ‘유출’로 말 바꾼 쿠팡
피해는 아직 안 보인다는 말만 반복
쿠팡의 개인정보 사고는 ‘수습’이 아니라 ‘정정’부터 시작됐습니다.
3,370만 건에 달하는 정보가 빠져나간 지 8일이 지나서야, “노출”이 아니라 “유출”이었다고 다시 공지했습니다.

사고 이후 가장 먼저 바로잡힌 것은 해킹 경로가 아니라 표현이었습니다.
정말 ‘지금도 안전한가’라는 질문에는 이렇다할 답이 보이질 않습니다.

■ ‘노출’이라던 사고는 결국 ‘유출’

쿠팡은 7일, 홈페이지와 앱 첫 화면에 ‘개인정보 유출 사고 재안내’ 배너를 띄웠습니다.
기존 공지에서는 ‘일부 노출’이라고 밝혔던 사고를, 이번에는 분명히 ‘유출’로 다시 규정했습니다.
이 수정은 개인정보보호위원회가 지난 3일 긴급회의에서 ‘노출 통지는 부적절하다’며 정정과 재고지를 명령한 데 따른 조치입니다.

유출된 항목은 이름, 이메일, 배송지 주소록에 저장된 성명·전화번호·주소·공동현관 출입번호, 일부 주문 정보입니다.
쿠팡은 “결제 정보, 계좌번호, 비밀번호, 개인통관부호는 유출되지 않았다”고 다시 확인했습니다.

그러나 이번 재공지로 드러난 핵심은 기술적 보안보다 초기 소통의 실패였습니다.
이용자에게 가장 민감한 단어인 ‘유출’을 ‘노출’로 완화해 공지한 판단이 신뢰를 먼저 무너뜨렸습니다.

■ “2차 피해는 없다”는 말, 아직은 ‘확인 중’

쿠팡은 “현재까지 2차 피해로 의심되는 사례는 없다”고 밝히며, 경찰청의 전수조사에서도 범죄 연계 정황이 확인되지 않았다고 설명했습니다.
하지만 ‘현재까지’란 단서가 붙습니다.

3,370만 건이라는 정보량은 단일 기업 사고 기준으로도 국내 최대 수준입니다.
이 정도 규모의 정보가 실제 범죄로 연결되지 않았다는 점은 다행이지만, 정보범죄의 특성상 유통·재가공·해외 중계까지 시간이 걸린다는 점에서 조사는 이제 시작이라는 평가가 지배적입니다.

정부 조사 결과 역시 내년으로 넘어갈 가능성이 크다는 관측이 나옵니다.

■ 이용자가 해야 할 일은 ‘전화번호 확인’과 ‘현관 비밀번호 변경’

쿠팡은 이번 재공지를 통해 구체적인 예방 행동 지침을 공개했습니다.

핵심은 두 가지입니다. 첫째는 쿠팡 공식 발신 번호 확인입니다.
쿠팡은 고객센터, 개인정보보호센터, 쿠팡페이, 쿠팡이츠 등 공식 번호만 고객 연락에 사용한다고 밝혔습니다.
이 번호가 아닌 문자나 전화는 모두 사칭 가능성을 염두에 둬야 합니다.

다음은 공동현관 출입번호 변경으로 배송지 주소록에 출입번호를 저장한 이용자는 즉시 번호를 바꾸라고 권고했습니다.
이번 유출 사고에서 가장 현실적인 물리적 위험이 바로 이 지점이기 때문입니다.

쿠팡은 “기사나 직원이 고객에게 전화를 먼저 거는 일은 거의 없다”고도 강조했습니다.
리뷰 이벤트, 보상 안내, 앱 재설치 요구는 모두 고위험 신호로 봐야 합니다.

■ 가입하지도 않았는데 정보가 털린 경우, 아직 통지도 못 받아

이번 사건의 가장 불완전한 대목은 비회원 피해입니다.
쿠팡에 가입하지 않았더라도, 타인의 배송지 주소록에 이름과 연락처가 저장돼 있으면 이번 유출 대상에 포함됩니다.
그렇지만 이들에 대한 개별 통지는 아직 이뤄지지 않았습니다.

개보위는 “가입 여부와 무관하게 유출 대상자는 모두 통지해야 한다”고 요구했습니다.
쿠팡은 이 같은 내용을 문자 메시지를 통해서도 안내 중이지만, 직접 가입한 회원이 아닌 배송지 목록에 추가돼 있던 이용자에 대해서는 아직 안내하고 있지 않다고 설명했습니다.

이번 유출 정보의 양이 방대해, 조사 완료까지는 상당한 시간이 소요될 것이란 전망입니다.
최종 결과 발표는 내년에나 가능하다는 시각도 제기됩니다.


JIBS 제주방송 김지훈(jhkim@jibs.co.kr) 기자
<저작권자 © JIBS 제주방송, 무단 전재 및 재배포 금지>