쿠팡·GS리테일·올리브영·명품 이어 CU 택배까지
유통업계, 방대한 고객 데이터 보유…주요 표적 돼
정보보호 투자액 증가 추세지만 타 업종 비해 낮아

지난해에 이어 올해도 유통업계 개인정보 유출사고가 반복되면서 소비자 불안과 피로감이 커지고 있다. 유통업체들이 배송정보와 구매이력 등 방대한 고객 데이터를 보유하게 되면서 정보보호 역량도 기업 경쟁력을 좌우하는 핵심 과제로 떠오르고 있다.

8일 업계에 따르면 CU편의점 택배 서비스를 운영하는 BGF네트웍스에서 지난 4일 개인정보 유출사고가 발생했다. 유출 항목은 이름, 휴대전화번호, 이메일주소, 주소, 성별, 아이디(ID), 생년월일, 비밀번호(단방향 암호화 처리), CI(연계정보) 등이다. 회사 측은 신원 미상의 해커가 시스템에 비인가 접근해 개인정보를 유출한 것으로 보고 있다.

유통업계의 개인정보 유출 사고는 이번이 처음이 아니다. 지난해에는 쿠팡에서 약 3370만건의 고객 계정 정보가 유출돼 논란이 됐다. 특히 공동현관 비밀번호와 주문 내역 등 민감한 정보까지 유출된 것으로 드러나 파장이 커졌다. GS리테일 역시 지난해 편의점 GS25에서 약 9만건, 홈쇼핑 GS샵에서 약 158만건의 개인정보 유출 사고를 겪었다. CJ올리브영을 비롯해 디올·티파니·루이비통·까르띠에 등 글로벌 명품 브랜드, 명품 플랫폼 머스트잇까지 해킹 공격 대상이 됐다.

올해 들어서는 단순 정보 유출을 넘어 유출 정보가 범죄에 악용되는 사례도 등장했다. 배달의민족에서는 위장취업한 외주업체 직원이 고객 정보를 빼돌려 보복 범죄에 활용한 사건이 발생했다. 최근에는 한 텔레그램 채널에 CJ그룹 여성 직원 330여명의 휴대전화번호와 사내 전화번호, 직급, 사진 등 개인정보가 유출되는 사건도 있었다.

사고 원인은 외부 해킹, 내부자 유출 등으로 다르지만 개인정보가 반복적으로 노출되고 있다는 점은 공통적이다. 업계에서는 유통기업들이 개인정보를 대거 축적하게 되면서 공격자들의 주요 표적이 되고 있다고 분석한다. 박기웅 세종대 정보보호학과 교수는 "한 곳에서는 주민번호와 주소가, 다른 곳에서는 택배정보가 노출되는 식의 과정을 거치다보면 정보값이 많아지고 연결고리가 만들어진다"면서 "정보가 결합될수록 공격의 성공률이 높아지는 것"이라고 말했다.

잇따른 개인정보 유출 사고로 정보보호 중요성이 커지면서 유통업계에서도 관련 투자를 늘리는 추세다. 다만 유통업체들이 고객 데이터를 핵심 자산으로 활용하고 있는 점을 고려해 정보보호 역량을 더욱 강화해야 한다는 지적이 제기된다. 과학기술정보통신부의 '2025년 정보보호 공시 현황 분석 보고서'를 보면 도매·소매업의 평균 정보보호 투자액은 지난해 32억원으로 2022년 23억원, 2023년 26억원, 2024년 27억원에 이어 꾸준히 증가했다. 다만 금융·보험업(85억원), 정보통신업(62억원)과 비교하면 여전히 낮은 수준이다. 도매·소매업의 평균 정보보호 전담인력도 9.8명에 그쳤다.

전문가들은 정보보안 난이도가 갈수록 높아지는 만큼, 사고 발생 여부에 대한 책임 뿐 아니라 사고 이후 기업이 얼마나 신속하고 투명하게 대응했는지도 함께 평가할 필요가 있다고 말한다.

박기웅 세종대 정보보호학과 교수는 "공격자는 새로운 공격 수법 하나만 찾아내면 되지만 방어자는 어떤 공격이 들어올지 모르는 상황에서 선제적으로 대처해야 해 더 어렵다"면서 "기업이 사고 이후 대처 과정을 얼마나 투명하게 공개하고 보호 조치를 이행했는지에 대한 평가가 함께 이뤄져야 유출 사실을 숨기기보다 좀 더 적극적인 대처를 하도록 유도할 수 있다"고 설명했다.

https://news.mtn.co.kr/news-detail/2026060815413282022