쿠팡의 대규모 개인정보 유출 사태로 이름과 주소, 전화번호에다 일부 구매 정보까지 외부로 흘러 나간 사실이 확인되면서 이 정보가 실제 범죄에 쓰일 수 있다는 우려가 커지고 있다.

 

규모만 놓고 보면 사실상 쿠팡 고객 대부분이 포함될 가능성이 있어 파장은 작지 않다.

 

정부가 서둘러 스미싱·보이스피싱 경보를 내리고 다크웹 모니터링 강화 기간을 설정한 것도 같은 이유에서다.

 

보안 업계에서는 이번에 드러난 정보 구성이 사기 범죄자들에게는 거의 '완성형 재료'나 다름없다고 지적한다.

 

비밀번호나 카드 정보처럼 즉각적인 금전 탈취 수단은 아니지만 실생활과 맞닿아 있는 정보들이 조합되면 피해자는 쉽게 속을 수 있다는 얘기다.

 

사칭 전화나 환불 안내, 배송 문제를 빙자한 문자 등이 대표적이다.

 

정부 역시 "2차 피해가 발생할 수 있다"며 이용자들에게 각별한 주의를 요구했다.

 

◇ 배송지·전화번호·구매 이력…범죄자 '선호 조합'
유출된 정보 가운데 특히 문제가 되는 건 주소·전화번호와 함께 최근 구매 이력 일부가 포함됐다는 점이다.

 

단순히 누군지 알고 연락하는 수준을 넘어 "최근 주문하신 상품 배송이 지연됐다"는 등 목적이 분명한 접근이 가능해진다. 실제 고객센터 직원인지 사기범인지 구분하기 쉽지 않은 조건이 된 셈이다.

 

보안 업계 관계자는 "정확한 제품명이나 배송 시점 같은 정보를 알고 접근해오면 대부분 사람은 자세한 의심 없이 안내에 따르게 된다"며 "이 정도 정보 조합이면 사칭 범죄의 성공률이 크게 올라간다"고 설명했다.

 

비슷한 형태의 피해는 해외에서도 반복돼왔다. 미국에서는 아마존 계정 정보 일부가 노출된 뒤 배송 지연을 사칭한 스미싱이 몇 달간 기승을 부렸고, 유럽에서도 DHL을 사칭한 '배송 오류' 피싱이 널리 퍼졌다. 배송 관련 정보는 국제적으로도 악용 비중이 높은 항목이다.

 

◇ 카카오톡 사칭부터 우체국 배송 오류까지…범죄 확장 우려
이번 유출 정보는 배송 사칭뿐 아니라 여러 형태의 범죄로 번질 가능성이 있다.

 

카카오톡을 이용한 가족 사칭이나 금융 앱을 흉내 낸 환불 사기, 우체국·택배사 배송 안내로 위장한 문자 등이 대표적이다.

 

주소와 전화번호, 구매 이력까지 갖춰지면 범죄자는 피해자에게 "고객님이 주문하신 상품 관련 확인이 필요하다"는 식으로 자연스럽게 접근할 수 있다.

 

아직 실제 악용 정황이 확인된 건 아니지만 그 가능성 자체는 매우 높다는 게 경찰과 보안 업계의 공통된 판단이다.

 

과거 여러 차례 발생한 대규모 개인정보 유출에서도 범죄 조직은 확보한 정보를 1~2년 넘게 재활용해 왔다. 이번 쿠팡 사고 역시 규모와 내용 면에서 충분히 주의가 필요하다는 분석이 나온다.

 

 

◇ 정부, 인증 취약점 원인 확인…합동 조사
정부는 쿠팡의 침해·유출 신고를 받은 뒤 조사를 이어오던 중 최근 "인증 취약점을 악용해 로그인 없이 정보를 열람한 것으로 확인됐다"고 발표했다.

 

쿠팡이 초기에는 유출 계정 규모를 수천 개로 보고했다가 열흘 만에 수천만 개로 수정하면서 대응이 늦었다는 지적도 나왔다.

 

현재 과기정통부·개인정보위·경찰청·국정원 등이 참여하는 민관합동조사단이 가동 중이며, 개인정보위는 접근통제, 암호화 등 안전조치 준수 여부를 들여다보고 있다.

 

경찰은 내부자 개입 가능성에도 무게를 두고 수사 중이다. 정부는 이와 별도로 다크웹에서의 유출 정보 유통 여부를 감시하는 모니터링을 3개월간 강화하기로 했다.

 

◇ 전문가 "정확한 제품명 말해도 믿지 말라"
이처럼 쿠팡 유출 정보가 인공지능(AI)에도 악용되면서 범죄의 정교화가 우려된다.

 

AI는 이 데이터를 기반으로 개인에게 최적화된 사기 시나리오를 자동 생성하며, 딥페이크 음성을 활용해 가족이나 상담원을 정교하게 사칭하는 초개인화 피싱 성공률을 높일 수 있다는 지적이다.

 

전문가들은 이번 사고 특성상 개인이 스스로 유입 경로를 차단하는 게 가장 중요하다고 조언하고 있다.

 

모르는 번호로 온 환불·배송 오류 안내는 일단 의심하고, 링크 클릭이나 앱 설치, 결제 정보 입력은 피하는 것이 기본이다. 카카오톡으로 가족을 사칭해 금전 요구가 들어올 때도 반드시 본인에게 전화해 사실 여부를 확인해야 한다. 쿠팡 공식 공지나 앱 내 메시지를 제외한 외부 연락은 고객센터를 통해 재확인하는 절차도 필요하다.

 

한 보안 업계 관계자는 "구매 정보가 포함된 상황에서는 사칭 전화 성공률이 월등히 높아진다"며 "설령 상대가 정확한 제품명을 말하더라도 무조건 상담원이라고 생각해서는 안 된다"고 강조했다.(연합뉴스)