전화번호-생년월일 입력하면 주소 알려줘…홈쇼핑 ‘ARS 주문’ 범죄 악용소지 논란

전화 주문후 무통장 입금때 발생
CJ온스타일 “고객 편의 차원” 해명
전문가들 “개인정보 보호 강화해야”

‘CJ온스타일’ 등 일부 홈쇼핑 업체들이 자동응답시스템(ARS)에 타인의 전화번호와 생년월일을 입력하면 그 사람의 주소를 알려주는 것으로 드러났다. 업체 측은 ‘고객 편의 차원’이라고 설명했지만 범죄 악용 소지가 있어 개선이 필요하다는 지적이 나온다.

지난달 하순 A 씨는 CJ온스타일로부터 ‘영양제가 주문됐으니 무통장 입금 방식으로 대금을 입금하라’는 안내 문자를 받았다. 주문을 한 적 없었던 A 씨가 확인해 보니 이 홈쇼핑은 ARS 주문 시 ‘무통장 입금 결제’를 선택하고 전화번호와 생년월일을 입력하면 집 주소를 알려주고 있었다. A 씨는 지난달 29일 소셜네트워크서비스(SNS)를 통해 “주소가 너무 간단하게 유출됐다”며 분통을 터뜨렸다.

31일 기자가 CJ온스타일 ARS 주문을 시도하며 지인의 생년월일과 휴대전화 번호를 입력하자 3분도 안 돼 지인의 이름과 집 주소가 나왔다. 주소는 ‘보이는 ARS’를 통해 휴대전화 화면에도 떴다.

국내 주요 홈쇼핑 업체 가운데 CJ온스타일 외에 GS홈쇼핑, 공공기관인 공영홈쇼핑에서도 유사한 문제가 확인됐다. 다른 업체들은 같은 방식으로 ARS 주문을 했을 때 주소지 입력 링크를 보내 배송지를 직접 입력하게 하거나(현대홈쇼핑), 전화를 건 사람이 주소지를 말하게 하고 녹음해(롯데홈쇼핑) 제3자가 주소를 쉽게 알아낼 수 없게 했다.

이 같은 지적에 CJ온스타일 측은 “고객 편의 차원에서 생년월일과 전화번호만으로 본인 확인을 진행하고 있다”며 “ARS 주문의 경우 중장년층이 많이 사용해 인증 절차를 더 간단하게 했다”고 설명했다.

하지만 전문가들은 개선이 필요하다고 지적한다. 개인정보보호법학회장인 최경진 가천대 법학과 교수는 “개인정보가 유출될 소지가 크고, 범죄 악용 우려도 있다”며 “단말기 인증 등 복합 인증을 통해 본인 확인 절차를 강화해야 한다”고 조언했다. 개인정보보호위원회 관계자 역시 “정보가 유출되지 않게 안전성을 확보해야 한다는 법 조항에 저촉될 소지가 있다고 판단된다”고 했다. CJ온스타일 관계자는 “7일부터 주소지 입력 링크를 주문자에게 보내는 방식으로 변경할 예정”이라고 밝혔다.


전혜진 기자 sunrise@donga.com