"쿠팡 유출로 누군가 카드 발급, 여기 전화해 봐라" 신종 피싱 나왔다

쿠팡이 개인정보보호위원회(개보위)의 시정조치에 따라 ‘개인정보 유출’이란 표현을 담은 안내문을 7일 공지했다. 지난달 20일부터 개인정보 ‘노출’ 표현을 고수한 지 17일 만의 정정으로, ‘늑장 대처’ 비판을 피하기 어려울 전망이다.

쿠팡은 이날 오전 11시 앱(애플리케이션)과 웹사이트에 “개인정보 유출사고에 관해 재안내드립니다”란 글을 게시하고, 개인정보가 유출된 3370만명에게 같은 내용을 문자로 통보했다.

쿠팡은 이날 안내문에서 “새로운 개인정보 유출 사고가 발생한 것은 아니며, 11월 29일부터 안내해 온 개인정보 유출 사고를 사칭한 피싱 등 추가 피해 예방 차원의 재안내”라고 밝혔다. 또 “이번 유출을 인지한 즉시 관련 당국에 신속하게 신고했고 과학기술정보통신부, 경찰청, 개보위, 한국인터넷진흥원, 금융감독원 등 관련 당국과 협력해 조사 중”이라고 강조했다.

쿠팡이 ‘개인정보 노출’을 ‘유출’로 공식 정정한 건 17일 만이다. 쿠팡은 지난달 20일 유출 규모를 4500명이라고 처음 발표했을 때부터 ‘노출’이란 표현을 사용해 법적 책임을 피하려는 것 아니냐는 비판을 받아 왔다. 현행법상 유출은 기업의 관리 부실 책임을 의미하지만, 노출은 기업의 통제권이 유지된 상태에서 우발적으로 공개된 것을 뜻해 상대적으로 책임이 덜하다.

논란이 이어지자 개보위는 지난 4일 쿠팡에 “노출을 유출로 정정해 재통지하고 7일 이내 조치 결과를 제출하라”고 의결했다. 기한 내 정정 조치가 이뤄지지 않을 경우 과징금이 가중될 수 있어 일각에선 “쿠팡이 사실상 등 떠밀려 유출을 인정했다”는 지적이 나온다.

쿠팡의 이번 재안내문에는 ‘유출 정보’ 항목으로 공동현관 출입번호가 새로 포함됐다. 이전 안내문엔 없던 내용이지만, 박대준 쿠팡 대표는 지난 2일 국회 과학기술정보방송통신위원회(과방위) 긴급 현안질의에서 “(공동현관 비밀번호가 유출 정보에) 일부 포함된 것으로 알고 있다”고 답했다.

공동현관 비밀번호를 제외한 유출 정보 범위는 기존과 동일하다. 쿠팡은 “현재까지 조사 결과에 따르면 유출 정보는 이름, 이메일 주소, 배송지 주소록 및 일부 주문정보”라며 “현재까지 카드·계좌번호 등 결제정보, 비밀번호 등 로그인 관련 정보, 개인통관부호는 유출이 없었음을 수차례 확인했다”고 전했다.

하지만 이번 유출 사태를 악용한 신종 스미싱·보이스피싱이 기승을 부려 2차 피해 우려가 커지고 있다. 이날 경찰청 전기통신금융사기(보이스피싱) 통합대응단에 따르면 최근 ‘카드 배송 사칭 수법’에 쿠팡 사태를 결합한 시도가 잇따라 접수되고 있다.

피싱범은 주로 “당신 명의로 신용카드가 발급됐다”며 접근한 뒤 피해자가 “신청한 적 없다”고 하면 “쿠팡 개인정보 유출로 신청하지 않은 카드가 발급됐을 수 있다. 고객센터에 확인해야 한다”며 가짜 전화번호를 알려준다. 해당 번호로 전화하면 피싱범이 휴대전화를 조종할 수 있는 원격제어 앱 설치를 유도하는 것으로 파악됐다. 이 밖에도 쿠팡 사태와 관련해 “주문한 상품이 지연·누락될 수 있다”는 문구로 특정 링크 접속을 유도하는 방식이 등장했다.

경찰청은 “아직 쿠팡 개인정보 유출로 인한 직접적인 2차 피해 사례는 확인되지 않았지만 새로운 수법으로 추가 피해가 발생할 가능성이 있다”며 각별한 주의를 당부했다.

쿠팡 역시 재안내문을 통해 “쿠팡은 전화나 문자로 앱 설치를 요구하지 않는다”며 “출처가 불분명한 링크는 절대 클릭하지 말고 해당 문자를 삭제하라”고 강조했다. 이어 “의심스러운 전화·문자는 112나 금융감독원에 신고하고 쿠팡 공식 고객센터가 보낸 문자인지 확인하라”고 당부했다.

또 “‘배송완료’ 알림 문자는 ‘쿠팡 고객센터 번호(1577-7011)로만 발송된다”며 “쿠팡 배송기사를 사칭하거나 상품 리뷰, 아르바이트를 미끼로 한 전화·문자에 유의하라”고 덧붙였다. 공동현관 출입번호가 주소록에 등록돼 있는 경우 변경할 것을 권장했다.

한편 국회 과방위는 오는 17일 쿠팡 청문회를 열 계획이다. 과방위는 쿠팡의 실질적 소유주인 김범석 쿠팡 Inc 의장의 증인 출석도 요구할 예정이지만, 그의 출석 여부는 불투명하다.



임선영([email protected])