1일 과학기술정보통신부·개인정보보호위원회·한국인터넷진흥원(KISA)는 이번 쿠팡 정보 유출 사태와 관련 대국민 보안 공지를 통해 “추가적인 개인정보·금전 탈취 시도가 우려되기 때문에 주의가 필요하다”고 밝혔다.

쿠팡에서 노출된 개인 정보(이름, 전화번호, 주소 등)를 활용한 추가 범죄로는 스미싱·보이스피싱 사기부터 주식 리딩방 사기, 온라인 계정 탈취 신용 사기 및 명의 도용 등의 유형이 있을 수 있다.

이미 쿠팡으로부터 개인정보 유출 안내 문자를 받은 이후 스팸으로 의심되는 전화번호로 벌써 4~5통의 전화를 받았다는 소비자들이 속출하고 있는 상황.

지난달 30일 쿠팡이 개인정보가 유출된 고객에게 보낸 안내 문자.

쿠팡 사태와 관련 피싱 사기 등 2차 피해를 막으려면 우선 쿠팡에서 사용하는 비밀번호를 재설정할 필요가 있다. 특히 그 동안 같은 비밀번호를 써왔던 다른 사이트나 애플리케이션이 있다면 함께 변경해야한다고 전문가들은 조언한다.

온라인 뿐 아니라 오프라인에서도 마찬가지다. 이미 이번 정보 유출에서 집 주소지가 털린 것과 관련, 아파트 공동현관 비밀번호 등을 기재해 놓은 것을 두고 불안감을 호소하며 아파트 동 별로 공동현관 비밀번호를 바꾸는 움직임마저 보이고 있다.

쿠팡에 따르면 앱상에서 보안 및 로그인 탭으로 들어가면 쿠팡 계정으로 로그인을 했던 환경을 확인하는 것이 가능하다. 이때 만약 모르는 기록이 있다면 로그아웃을 해야한다.

국내 이커머스(전자상거래) 시장 1위 업체인 쿠팡에서 3천만건이 넘는 대규모 정보 유출 사고가 발생했다. 쿠팡은 현재까지 고객 계정 약 3천370만개가 유출된 것을 확인했다. 이는 국내 성인 네 명 중 세 명의 정보에 해당하며, 사실상 쿠팡 전체 계정에 맞먹을 것으로 추정된다. 사진은 30일 서울 송파구 쿠팡 본사. [연합뉴스]

앞서 쿠팡 측은 신용카드 정보 등이 이번 개인정보 유출에 포함되지는 않았다고 밝혔다. 하지만 여전히 불안하다면 모든 카드사에서 운영하고 있는 해외 및 온라인 결제 잠금 기능과 카드사용을 일시적으로 중지하는 기능을 활성화하면 된다. 결제시 바로 푸시 알림 등이 오게끔 설정하는 것도 필요하다.

KISA를 통한 개인정보 유출 여부를 주기적으로 확인하는 것이 좋다. ‘개인정보노출 알림e’를 검색해 접속 후 자신의 이메일 주소를 입력하면 과거 유출 여부까지 확인해 볼 수 있다. 또 KISA 명의도용 확인 서비스에서 내 명의 개통 건에 관한 확인도 무료로 가능하다.

한편, 이번 대규모 개인정보 유출 사고와 관련 쿠팡의 내부 관리감독이 허술했다는 지적이 나오고 있다.

이날 최민희 국회 과학기술정보방송통신위원회 위원장이 쿠팡으로부터 제출받은 자료에 따르면 3370만 건의 개인정보 유출이 가능했던 이유는 인증 관련 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키가 장기간 방치돼 담당 직원이 퇴사 후에도 이를 악용한 것이란 분석이다.

의원실은 쿠팡이 이번 유출에 악용된 인증키 유효기간에 대해서는 경찰 수사가 진행 중인 사안이라며 답변하지 않았다.

그러나 쿠팡 측에 토큰 서명키 유효인증기간에 대해 문의한 결과 “5~10년으로 설정하는 사례가 많다는 걸로 알고 있다”며 “로테이션 기간이 길며, 키 종류에 따라 매우 다양하다”는 답변을 보내왔다고 전했다.

‘토큰’은 계정 로그인시 문을 열어주는 일회용 출입증이라고 할 수 있다. 그 출입증을 찍어주는 ‘도장’의 역할을 하는 것이 다름아닌 ‘서명키’다. 출입증이 있어도 출입을 허가하는 인증 도장인 서명키가 없을 경우 출입이 불가능하다. 그만큼 토큰의 서명키는 정보 보안에서 중요한 역할을 한다.

최 의원실에 따르면 쿠팡 로그인 시스템상 토큰은 생성하고 즉시 폐기되는 상황이다.

그러나 토큰 생성에 필요한 서명정보의 경우 담당 직원이 퇴사를 하더라도 삭제하거나 갱신하지 않고 이를 방치해 사상 초유의 개인정보 유출 사고가 발생했다는 지적이다.