티파니도 디올도 탈탈 털렸다는데…잇따른 사고에도 인색한 보안 투자

최근 세계적인 명품 기업을 비롯해 국내 유통 업계에서 해킹 사고가 잇따르고 있다. 일부 기업들은 개인정보 유출 사고에 대한 공지조차 하지 않는 데다, 개인정보 보호를 위한 투자에 인색한 것으로 드러나 비판이 나온다. SK텔레콤의 해킹 사고를 계기로 개인정보 보호에 관심이 커진만큼 조속한 대책 마련이 시급하다는 지적이다.

31일 유통 업계에 따르면 루이비통모에헤네시(LVMH) 산하 명품 주얼리 브랜드 '티파니앤코'는 지난달 8일 해킹 사고로 국내 일부 소비자들의 개인정보가 유출됐다. 티파니코리아는 이같은 사실을 한 달이 지난 이달 9일 인지한 뒤, 최근 일부 고객에게 해킹 사고를 알리는 이메일을 보냈다. 하지만 이번 사고에 대해 홈페이지나 사회관계망서비스(SNS) 등에 별도의 공지는 하지 않았다.

명품 기업 'LVMH' 브랜드 잇따라 고객 정보 해킹…국내 유통기업도 피해
LVMH에서 해킹 피해가 발생한 것은 이번이 처음이 아니다. 앞서 지난 13일 LVMH 산하 명품 브랜드 디올(Dior)도 고객들에게 이메일을 보내 "지난 7일, 외부의 권한 없는 제3자가 당사가 보유한 일부 고객 데이터에 접근한 사실을 발견했다"며 해킹 피해를 알린 바 있다. 당시 디올 측은 고객 이름, 휴대전화 번호, 이메일 주소, 우편 주소 등의 정보가 유출됐다고 밝혔다. 다만 은행 정보, 신용카드 정보를 포함한 금융 정보는 포함되지 않았다고 설명했다.

국내 유통 기업들을 상대로 한 해킹도 지속적으로 발생했다. 지난 1월 GS리테일은 해킹 공격으로 편의점 GS25 회원 9만여명의 개인정보가 유출된 정황을 확인했다고 밝혔다. 이후 추가 분석을 통해 지난해 6월 21일부터 지난 2월 13일까지 홈쇼핑 업체 GS샵에서도 약 158만건의 고객 개인정보가 유출된 점을 확인했다. 블랙야크도 지난 3월 해커의 홈페이지 공격으로 약 34만명의 개인정보가 유출됐고, CJ그룹 계열사 헬스앤뷰티 전문점 CJ올리브영도 지난 3월 해킹 시도가 발생했다.

한국인터넷진흥원(KISA)에 따르면 국내에서 신고된 사이버 위협 피해는 2023년 1277건에서 지난해 1887건으로 48%나 증가했다. 지난해 상반기에는 899건으로 전년 동기 대비 35%, 하반기에는 988건으로 전년 대비 61% 늘었다.

국내 유통기업 보안 취약…간편 로그인에 투자도 인색
유통 업계에서 빈번한 해킹사고는 간편한 로그인 방식이 원인으로 지목된다. 올해 들어 유통 업계에서 발생한 개인정보 유출 사고는 '크리덴셜 스터핑(Credential Stuffing)'이 많은 것으로 전해진다. 크리덴셜 스터핑은 해커가 유출된 아이디(ID)와 비밀번호 등 로그인 정보를 웹사이트나 애플리케이션(앱)에 무작위로 대입해 로그인에 성공할 경우 개인정보를 탈취해가는 방식이다. 여러 사이트에 동일한 ID와 비밀번호를 사용할수록 보안에 취약하다는 이야기다.

실제 CJ올리브영의 경우 지난 3월 발생한 해킹 사고는 5시간가량 6만개 이상 IP에서 로그인을 시도하는 크리덴셜 스터핑 공격이 이뤄진 것으로 추정된다.

국내 e커머스 플랫폼의 최대 경쟁력으로 꼽히는 '빠른 구매'를 위한 간편 로그인이 해킹 위험을 높인 셈이다. 해킹으로 인한 개인정보 유출을 막기 위해선 로그인 절차에서 다단계 인증을 활성화하거나 이중 로그인 절차를 도입해야 한다. 하지만 로그인 절차가 복잡해지면 소비자 이탈로 이어지는 만큼 관련 투자에 소홀했다는 지적도 나온다.


실제 주요 유통 기업은 다른 산업계보다 정보보호 부문에 대한 투자와 인력이 부족한 것으로 나타났다. KISA에 따르면 2023년 말 기준 전체 정보보호 공시 기업들의 정보기술(IT) 부문 투자 대비 정보보호 부문 투자 비율은 평균 6.11%인 것으로 집계됐다. 반면 GS리테일(1.9%), CJ올리브영(4.1%), 롯데쇼핑(4.8%) 등 주요 유통 업체들은 평균보다 낮았다

보안 인력도 마찬가지다. 같은 기간 전체 정보보호 공시 기업들의 정보기술(IT) 부문 인력 대비 정보보호 부문 인력 비율은 평균 6.26%인 반면, GS리테일(3.9%), CJ올리브영(2.2%), 롯데쇼핑(3.25%) 등은 이에 못 미쳤다.

박춘식 서울여대 정보보호학과 교수는 "고객의 개인정보를 대규모로 취급하는 유통 기업들은 개인 정보 유출에 더욱 각별하게 신경 써야 한다"며 "그러나 정보보호 부문 투자액과 인력이 평균에 못 미치는 것은 개인정보 보호에 대한 경영자의 안이한 인식을 보여주는 사례"라고 지적했다. 이어 "다소 비용이 들더라도 기업 경영 차원에서 정보보호에 대한 경영자의 강력한 의지가 필요하다"고 강조했다.

박재현 기자 [email protected]
<ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제(www.asiae.co.kr) 무단전재 배포금지>