29CM 개인정보 16만건 유출…무신사 ‘휴면계정 폐지’가 남긴 과제

[녹색경제신문 = 서영광 기자] 무신사가 운영하는 29CM에서 고객 개인정보 16만여 건이 유출된 가운데, 지난해 무신사가 폐지한 휴면계정 전환제도에도 다시 관심이 쏠리고 있다. 장기간 서비스를 이용하지 않은 고객까지 일반회원으로 전환하는 방식이 적용된 만큼, 향후 해킹 범위가 회원정보 전반으로 확대될 경우 실제 서비스 이용 여부와 관계없이 개인정보 침해 대상이 넓어질 가능성이 있기 때문이다.

지난 23일 국회 과학기술정보방송통신위원회 소속 이주희 의원이 과학기술정보통신부와 한국인터넷진흥원(KISA)으로부터 제출받은 자료에 따르면 최근 29CM에서는 주문정보를 조회하는 연동 기능(API)에 외부의 비정상적인 접근이 발생했다. 이에 따라 고객 이름 13만8841건과 이름·이메일 주소·휴대전화 번호·배송정보 등이 포함된 2만1011건 등 총 16만여 건의 개인정보가 유출된 것으로 확인됐다.

앞서 29CM는 지난 8월 27일 개인정보 유출 사실을 확인한 뒤 이용자들에게 관련 내용을 안내했다. 회사 측은 추가 피해 방지를 위한 보호조치를 완료했다고 밝혔다. 유출된 정보에는 이름을 비롯해 이메일 주소, 휴대전화 번호, 배송정보 등이 포함됐으며, 결제정보와 아이디·비밀번호는 유출 항목에 포함되지 않은 것으로 안내됐다.

이번 사고는 무신사 한 곳에 국한된 문제로 끝나지 않았다. 정부가 침해사고 정황을 파악하고 기업들에 신고를 안내하면서 지난 9월 2일부터 9일까지 무신사를 제외한 8개 기업이 추가로 사이버 침해사고를 신고했다. KISA는 현재 신고 기업들을 대상으로 침해사고 원인 등을 조사하고 있으며, 구체적인 피해 규모는 공개하지 않고 있다.

특히 이번 사고에서 눈여겨볼 부분은 개인정보에 접근하는 통로로 주문정보 조회 API가 지목됐다는 점이다. 온라인 플랫폼에서는 회원가입 과정에서 확보한 정보뿐 아니라 주문과 배송 과정에서 이름, 연락처, 배송정보 등 다양한 개인정보가 생성·관리된다. 여러 서비스와 시스템이 연결될수록 개인정보가 이동하거나 접근할 수 있는 접점 역시 늘어날 수밖에 없다.

이런 가운데 지난해 무신사가 시행한 휴면계정 전환제도 폐지도 개인정보 관리 측면에서 다시 살펴볼 필요성이 커지고 있다.

무신사는 지난해 기존 휴면계정 전환제도를 폐지하고 장기간 서비스를 이용하지 않은 고객의 계정을 순차적으로 일반회원으로 전환했다. 당시 회사는 개인정보보호법 개정에 따른 조치라며 고객의 서비스 접근성과 이용 편의를 높이고 휴면 해제 과정에서 발생하는 불편을 줄이기 위한 결정이라고 설명했다. 기존에는 장기간 서비스를 이용하지 않은 회원의 개인정보를 파기하거나 별도로 분리해 보관하는 방식이 적용됐지만, 관련 제도가 폐지되면서 사업자가 자율적으로 휴면정책을 운영할 수 있게 됐다.

문제는 이 같은 환경에서 대규모 해킹이 발생할 경우다. 해커의 접근 범위가 특정 주문정보나 일부 계정에 그치지 않고 회원 데이터베이스 전반으로 확대된다면 장기간 서비스를 이용하지 않았던 고객 역시 개인정보 침해 대상에 포함될 수 있다. 실제 구매나 서비스 이용이 없는 회원이라도 개인정보가 일반회원으로 관리되고 있다면 해당 정보 역시 공격자가 접근할 수 있는 범위에 들어갈 가능성이 있기 때문이다.

지난해 본지가 휴면계정 정책 변경을 취재했을 당시 개인정보보호위원회 역시 휴면정책 변경 과정에서 기존에 별도로 보관하던 개인정보를 파기하는지, 일반회원 데이터베이스와 통합하는지 등을 정보주체에게 명확하게 안내할 필요가 있다고 권고한 바 있다.

이에 이번 29CM 사고를 계기로 개인정보 보호 역시 단순한 데이터 보관을 넘어 어떤 정보가 관리 대상에 포함되는지, 해당 정보에 어떤 시스템을 통해 접근할 수 있는지, 외부 시스템과 연결되는 API를 어떻게 통제하는지까지 함께 점검해야 한다는 지적이 나온다.

특히 휴면회원까지 일반회원으로 전환하는 방식에서는 대규모 침해사고 발생 시 보호해야 할 개인정보의 잠재적 범위가 넓어질 수 있는 만큼, 데이터 관리 정책과 보안 체계를 함께 살펴야 한다는 설명이다.

한 업계 관계자는 <녹색경제신문>에 “휴면계정의 개인정보를 일반회원 데이터와 통합해 관리하는 경우 실제 서비스 이용 여부와 관계없이 보호해야 할 데이터가 늘어날 수 있다”며 “이번 사고를 계기로 회원정보뿐 아니라 주문정보와 배송정보 등 여러 시스템에 흩어진 개인정보의 접근 권한과 API 연동 과정까지 전반적으로 점검할 필요가 있다”고 말했다.