2022년 고객정보 오발송·2025년 계정 도용 무단결제 이어 보안 논란 반복
피해 고객 전액 배상·1만원 캐시 지급에도 한계…사후 보상보다 재발 방지책이 관건
[메가경제=심영범 기자]G마켓이 대규모 개인정보 유출 사고로 다시 보안 논란에 휩싸였다. 외부 서비스의 응용프로그램 인터페이스(API) 취약점을 악용한 비인가 접근으로 고객 이름과 연락처, 주소뿐 아니라 금전적 가치가 있는 전자쿠폰(e쿠폰) 핀번호까지 유출된 것으로 확인되면서다.
G마켓은 피해 고객에 대한 금전적 보상과 추가 피해 방지 조치에 나섰지만, 과거에도 개인정보 처리 과정에서의 유출과 계정 도용에 따른 무단결제 문제가 불거졌다는 점에서 보안관리 체계 전반에 대한 점검이 필요하다는 지적이 나온다.
고객의 구매정보와 개인정보, 결제 편의성을 기반으로 성장해 온 이커머스 플랫폼에서 보안 문제가 반복될 경우 소비자 신뢰와 사업 경쟁력에도 부담으로 작용할 가능성이 높다.
 |
| ▲ G마켓이 대규모 개인정보 유출 사고로 다시 보안 논란에 휩싸였다. 외부 서비스의 응용프로그램 인터페이스(API) 취약점을 악용한 비인가 접근으로 고객 이름과 연락처, 주소뿐 아니라 금전적 가치가 있는 전자쿠폰(e쿠폰) 핀번호까지 유출된 것으로 확인되면서다. [사진=G마켓] |
◆ 90만명 개인정보 유출…e쿠폰 핀번호까지 노출
3일 업계에 따르면 G마켓은 지난달 27일 오후부터 30일까지 외부 서비스 API 취약점을 악용한 비인가 접근으로 고객 개인정보가 유출된 사실을 확인했다.
유출된 정보는 고객 이름과 아이디, 전화번호, 이메일, 주소, e쿠폰 핀번호 등이다. 로그인 비밀번호는 유출 대상에 포함되지 않은 것으로 파악됐다. MBC 보도에 따르면 G마켓은 개인정보보호위원회에 피해 규모를 90여만명으로 신고했다.
이번 사고에서 특히 주목되는 부분은 e쿠폰 핀번호 유출이다. 이름과 연락처 등 개인정보 노출에 그치지 않고 상품권과 쿠폰을 실제로 사용할 수 있는 인증정보까지 외부에 노출됐기 때문이다. e쿠폰 핀번호가 고객 동의 없이 제3자에 의해 사용된 정황이 확인되면서 사고 사실이 드러난 것으로 알려졌다.
G마켓은 사고를 인지한 직후 취약한 접근 경로를 차단하고 긴급 보안 점검에 착수했다. 상품권 보유 고객을 대상으로 핀번호 교체 작업도 진행하고 있다.
◆ 2022년 개인정보 오발송부터 2025년 무단결제까지
G마켓의 보안 논란이 이번이 처음은 아니라는 점도 부담이다.
앞서 2022년 12월 개인정보보호위원회는 G마켓이 운영하는 옥션 고객센터의 개인정보 처리 과정에서 발생한 유출 사고와 관련해 과징금과 과태료를 부과했다.
당시 G마켓은 옥션 고객센터에서 이용자 민원에 이메일로 답변하는 과정에서 다른 고객의 민원 내용을 잘못 발송했다. 이 과정에서 개인정보 1건이 유출된 것으로 확인됐다.
개인정보위는 G마켓이 개인정보 유출 사실을 인지하고도 24시간 이내에 통지·신고하지 않은 점을 문제 삼았다. 개인정보 보호 의무뿐 아니라 사고 발생 이후 대응 절차에서도 미흡한 부분이 드러난 사례다.
2025년에는 계정 도용에 따른 무단결제 사고가 발생했다. 같은 해 11월 29일 G마켓 이용자 60여명은 자신이 구매하지 않은 모바일 상품권이 스마일페이를 통해 결제됐다며 피해를 신고했다. 1인당 피해액은 3만~20만원 수준으로 알려졌다.
당시 G마켓은 내부 점검 결과 자체 시스템의 해킹 흔적은 발견되지 않았으며, 외부에서 탈취된 아이디와 비밀번호 등을 이용해 계정에 접근했을 가능성이 있다고 설명했다. 금융감독원은 사고 경위와 개인정보 유출 경로, 소비자 피해 규모 등을 확인하기 위해 현장점검에 나섰다.
G마켓은 피해 고객에게 전액 환불하고 환금성 상품에 추가 인증을 적용하는 등 후속 조치를 진행했다.
2023년 초에도 G마켓에서 구매한 미사용 상품권이 사용 완료 처리되거나 간편결제 무단 시도가 발생했다는 소비자 제보가 나왔다. 당시 회사는 자체 시스템을 통한 개인정보 유출 가능성은 없으며 외부에서 탈취된 계정정보가 악용됐을 가능성을 제기했다.
각 사고의 발생 원인과 기술적 유형은 다르다. 고객센터의 개인정보 오발송, 외부에서 탈취한 계정정보를 활용한 무단결제, 외부 서비스 API 취약점을 악용한 비인가 접근을 동일한 사고로 볼 수는 없다.
다만 소비자 입장에서는 개인정보와 결제 관련 보안 문제가 반복적으로 불거졌다는 점에서 우려가 커질 수밖에 없다. 사고 유형이 달라졌다는 이유만으로 기업의 보안관리 책임을 별개로 평가하기는 어렵다는 지적도 나온다.
G마켓은 지난달 30일 한국인터넷진흥원(KISA)에 침해사고를 신고했으며, 이달 1일 오후 개인정보보호위원회에도 신고를 완료했다. 경찰 사이버수사대에도 수사를 의뢰할 예정이다.
G마켓 관계자는 "지난 2일 금전적 피해가 확인된 고객에게 e쿠폰 액면가를 기준으로 피해 금액 전액을 지난 1일 보상했다"라고 밝혔다. 실제 금전적 피해가 발생하지 않았더라도 개인정보가 유출된 고객에게는 현금처럼 사용할 수 있는 스마일캐시 1만원을 지급했다.
[저작권자ⓒ 메가경제. 무단전재-재배포 금지]
