[단독]“인증번호는 XXXX”… 中 판매 쿠팡계정, 로그인 보안인증 뚫려

구매 문의하자 “1개당 6만5000원”
입금뒤 ID-비번-주민번호 등 보내
차명거래에 범죄 등 악용 우려
네이버-카카오 계정도 中서 거래… “특사경 도입 등 제도 정비를” 지적

“계정 구매 시 ID와 비밀번호, 성명과 전화번호 등을 전달드립니다.”

중국에 거주하는 한국인 A 씨는 최근 중국 최대 온라인 쇼핑몰 ‘타오바오’에서 쿠팡 계정을 판매한다는 글을 접했다. 호기심이 생겨 판매자를 접촉하자 곧장 “ID 1개당 320위안(약 6만5000원)”이라는 답이 왔다. A 씨가 입금하자마자 판매자는 쿠팡 ID와 비밀번호는 물론 이 계정을 소유한 사람의 성명과 전화번호, 주민등록번호 등 개인정보를 보내왔다. A 씨가 접속을 시도해 보니 실제 로그인이 가능했다.

쿠팡의 대규모 개인정보 유출 사태 이후 타오바오 등 중국 온라인몰에서 거래되는 쿠팡의 일부 한국인 계정은 실제 로그인까지 가능한 것으로 나타났다. 보안 전문가들은 “차명 거래나 범죄 등에 악용될 수 있다”며 대책 마련이 시급하다고 입을 모았다.

● 쿠팡 계정 팔아 ‘2차 인증’까지 유도

15일 국회 과학기술정보방송통신위원회 소속 국민의힘 김장겸 의원실에 따르면 A 씨는 타오바오에 등록된 중국인 판매자로부터 한국인 명의의 쿠팡 계정을 구매해 2차 인증까지 통과하는 방식으로 로그인에 성공했다. 김 의원실 관계자는 “한국 정부 등의 단속을 피하기 위해 계정 대신 ‘걔정’ ‘개정’ 등으로 검색어를 바꿔 판매 중이었다”고 설명했다.

이들은 계정 판매와 함께 계정주의 실명과 전화번호, 통신사 휴대전화 번호, 주민등록번호 앞자리까지 안내하면서 2차 보안 인증까지 대신 해주고 있는 것으로 파악됐다. A 씨 역시 안내받은 ID와 비밀번호를 입력한 뒤 판매자로부터 전달받은 휴대전화 번호를 입력했고, 이후 판매자가 보내준 ‘인증번호’를 입력해 로그인할 수 있었다.

쿠팡은 지난달 3370만 명 규모의 개인정보 유출과 관련해 계정 비밀번호와 거래 내역 등은 유출되지 않았다고 해명해 왔다. 그러나 전문가들은 실제 로그인이 가능한 쿠팡 계정이 중국 온라인몰에서 거래되는 사실이 확인된 만큼, ‘스미싱(문자메시지를 이용한 사기)’을 통한 개인정보 유출 가능성을 점검해 봐야 한다고 지적한다. 황석진 동국대 정보보호대학원 석좌교수는 “사용자들이 동일한 ID와 비밀번호를 여러 곳에서 재사용하는 점을 악용해 비밀번호 정보를 알아내는 ‘크리덴셜 스터핑’ 수법이 쓰인 것으로 보인다”며 “이후 개인정보를 탈취당한 사람에게 가상으로 본인 인증 문자를 보내는 등 ‘스미싱’을 해 인증번호를 알아냈을 가능성이 높다”고 했다. 이어 “쿠팡을 사칭해 오는 메시지의 경우 어떤 링크도 클릭하지 말아야 한다”고 지적했다.

경찰청에 따르면 지난달 30일∼이달 9일 쿠팡 관련 피싱 사건은 229건 접수됐다. 쿠팡을 사칭해 피해 보상을 해준다며 링크 접속을 유도하거나, 물품 배송을 사칭하는 경우가 많았다.

● 네이버·카카오 계정도 거래

네이버 개인 계정이 중국 온라인 쇼핑몰 타오바오에서 판매되고 있는 모습. 쿠팡 개인정보 유출 사태 이후 타오바오 등 중국 온라인몰에서 쿠팡과 네이버, 카카오 등의 한국인 계정이 실제 거래되고 있는 것으로 나타났다. 뉴스1

중국 온라인 쇼핑몰에는 쿠팡뿐만 아니라 네이버, 카카오 등의 계정도 수백 건 거래되고 있는 것으로 나타났다. 김 의원이 한국인터넷진흥원(KISA)으로부터 받은 자료에 따르면 최근 1년간 중국 온라인 쇼핑몰 등에서 탐지된 한국인 계정 거래 관련 게시물은 총 505건. 네이버 계정이 363건으로 제일 많았고, 카카오 97건, 쿠팡 45건 등의 순이었다.

KISA는 개인정보 불법 유통 게시물 탐지 업무 등을 담당하고 있지만, 단속 및 제재 권한이 없어 대응이 어려운 상황이다. 김 의원은 “현재의 대응으로는 개인정보 불법 유통과 관련 범죄를 차단하기 어렵다”면서 “신속한 범죄 추적이 가능하도록 특사경(특별사법경찰관) 도입 등 제도 정비가 시급하다”고 강조했다.

한편 국회 정무위원회 법안심사1소위원회는 15일 중대한 개인정보 유출 사고를 낸 기업에 전체 매출액의 최대 10%의 과징금을 부과할 수 있도록 하는 개인정보보호법 개정안을 처리했다.