최근 많은 소비자가 이용하는 대형 이커머스에서 연달아 이용자 개인정보 도용 피해가 발생했어요. 해커는 이미 유출된 로그인 정보를 무작위로 대입하는 크리덴셜 스터핑(credential stuffing)으로 이용자들의 계정에 접근해 개인정보와 전자 상품권 등을 빼돌린 것으로 확인됐고요.

◼ 어떤 사건들이 발생한 거야?

사전에 구입‧충전해둔 상품권이 사용한 것으로 처리되는 상품권 도용 사건이 각종 온라인 커뮤니티에 게시되면서 알려지게 됐어요. 해당업체는 피해사실을 인지하고 보안당국 등 관련 기관과 함께 사건 대응에 나선 상황이에요. 현재까지 약 100여 명의 상품권 4천만 원 상당이 사용된 것으로 확인되며 추가 피해 여부는 조사 중이고요.

또 다른 업체에서는 신원 불상의 자로부터 사전 수집된 것으로 추정되는 계정정보를 이용한 로그인 시도가 확인되며 개인정보 유출 의심 정황이 발견되기도 했어요. 이번 공격으로 일부 회원의 이메일, 성별, 생년월일, 전화번호, 주소, 회원등급 등이 유출됐을 가능성이 있는 것으로 알려졌고요. 무엇보다 온라인쇼핑몰 등 인터넷 이용자들이 다양한 웹사이트에 동일한 계정정보를 사용하는 사례가 많아서 개인정보 유출, 금전 피해 등의 추가 피해가 있지 않을까 우려되고 있어요.

◼ 개인정보 유출, 왜 자꾸 발생하지?

사고가 발생한 해당업체들과 보안당국에서 조사를 진행하고 있지만 외부에서 수집한 계정 정보를 가지고 로그인을 시도한 크리덴셜 스터핑 공격의 경우, 해당 업체가 특별히 잘못해서 사고가 발생한 것으로 단정하기에는 애매한 공격이기도 해요. 한편, 소비자단체와 이용자들 사이에서는 솜방망이 처벌이 개인정보 사고를 야기하고 있다는 지적과 함께 집단소송제 도입과 손해액의 최대 3배까지로 규정돼 있는 징벌적 손해배상제를 강화해야 한다고 주장하기도 해요.

 ▹2022년 개인정보 유출사고 처벌 사례

- 온라인 명품 플랫폼의 162만 건의 고객 이름, 주소, 휴대전화번호 등 개인정보 유출
: 5억1,259만 원의 과징금과 1,440만 원의 과태료 부과

- 온라인쇼핑몰에서 알림을 보내면서 선물함 링크를 잘못 발송해 개인정보 2,583건 유출
: 3억6,497만 원의 과징금과 3,600만 원의 과태료 부과

◼ 계정정보 도용, 방지하려면!

개인정보 유출 사고가 뚜렷한 해결책 없이 끊임없이 반복되면서 이용자들의 피해가 늘어가고 있어요. 때문에 2차 피해 등을 방지하기 위해서는 주의가 필요하고요. 우선 하나의 계정과 비밀번호로 여러 웹사이트를 이용하는 경우 비밀번호를 바꾸고 웹사이트별로 다른 비밀번호를 사용할 필요가 있어요. 한 곳에서 계정과 비밀번호가 탈취되면 여러 웹사이트에서 계정을 도용돼 피해가 발생될 수 있기 때문이에요.

또한, 비밀번호 이외에 휴대폰 문자인증, 이메일 인증, 전화인증, 생체인증 등 2차 인증이 가능한 웹사이트나 앱은 2차 인증을 필수로 설정해 보안을 강화하고, 오랜 기간 방문하지 않았거나 접속이 필요 없는 웹사이트는 e프라이버시 클린서비스를 통해 회원 탈퇴를 하는 방법이 있어요.