투데이e코노믹 = 우혜정 기자 | 무신사가 운영하는 패션·라이프스타일 플랫폼 29CM의 개인정보 유출 규모가 당초 알려진 16만여건보다 큰 것으로 나타났다. 추가 조사를 통해 주문·배송·교환·반품 정보 등 3만6000여건이 더 확인되면서 고객 개인정보 유출 규모는 19만6000여건으로 늘었다.

최근 국회와 개인정보보호위원회 등에 따르면 무신사는 지난달 28일 29CM 해킹에 따른 개인정보 유출을 최초 신고한 뒤 이달 3일과 16일 두 차례에 걸쳐 추가 유출 사실을 신고했다.

무신사가 처음 신고한 고객 개인정보 유출은 총 15만9852건이다. 이름만 유출된 사례가 13만8841건, 이름과 이메일 주소, 휴대전화번호, 배송정보 등이 함께 유출된 사례가 2만1011건이었다.

그러나 이후 조사 과정에서 고객의 주문정보와 리뷰정보가 추가로 유출된 사실이 확인됐다.

지난 16일 추가 신고된 주문정보는 총 3만2262건이다. 이 가운데 3만2159건에는 이름과 이메일 주소, 휴대전화번호, 주소뿐 아니라 배송메모와 운송장 정보, 주문번호, 주문 상세내역, 상품정보, 교환·반품정보 등이 포함됐다. 나머지 103건에는 이름과 주문정보가 담겼다.

소비자가 작성한 리뷰정보 3999건도 추가 유출됐다. 주문번호와 비공개 처리된 이메일 주소, 작성자명, 리뷰 이미지 주소(URL), 리뷰 등록·수정 일시 등이 유출 대상에 포함됐다.

이에 따라 지금까지 확인된 고객 개인정보 유출은 총 19만6113건으로 늘었다. 최초 알려진 15만9852건에서 3만6261건이 추가된 것이다.

고객뿐 아니라 무신사와 입점 파트너사 관계자의 개인정보도 유출됐다. 파트너사 임직원의 이름과 이메일 주소, 휴대전화번호, 부서, 직책, 추가 연락처 등 3만5955건이 빠져나간 것으로 신고됐다. 여기에 창고·매장 담당자의 이름과 휴대전화번호 11건도 추가로 확인됐다.

주문 배송 가장한 피싱, 스미싱 악용 우려

이번 사고에서 특히 우려되는 대목은 단순한 이름이나 연락처를 넘어 실제 구매 활동과 관련된 정보가 대거 포함됐다는 점이다. 주소와 배송메모, 운송장, 주문 상품, 교환·반품 정보 등을 다른 개인정보와 결합할 경우 실제 주문이나 배송을 가장한 피싱·스미싱 등에 악용될 가능성이 있다.

무신사는 해커가 회원 주문정보를 처리하는 응용프로그램 인터페이스(API)의 취약점과 파트너 시스템의 일회용 비밀번호(OTP) 인증 로그인 취약점을 이용해 일부 회원과 파트너사 임직원 정보를 조회한 것으로 파악해 당국에 신고했다.

개인정보보호위원회는 지난 8일 조사에 착수해 자료 제출 요구와 현장조사 등을 진행하고 있다. 무신사에는 회원 주문정보 관련 API와 OTP 인증 취약점을 개선하고 피해구제 접수창구를 운영하도록 조치했다.

또 이용자들에게는 무신사나 다른 기업·공공기관을 사칭한 스팸과 피싱 등에 주의하도록 안내할 것을 요구했다. 배송 요청사항에 개인 연락처 등 추가 개인정보를 기재한 이용자 역시 관련 정보를 변경할 필요가 있다는 안내가 이뤄졌다.

현재까지 파악된 유출 규모는 조사 과정에서 추가로 달라질 가능성이 있다. 개보위는 정확한 사고 원인과 최종 유출 범위, 피해 규모 등을 조사하고 있다.