)
쿠팡 사태로 사이버 침해사고 전반에 대한 경각심이 높아진 가운데, 알리익스프레스코리아를 둘러싼 보안 논란이 다시 수면 위로 떠올랐다.
사건은 단순한 시스템 장애가 아니었다. 22일 본지 취재 결과, 작년 10월 알리익스프레스에 입점한 일부 판매자(셀러)의 계정이 해킹됐고 이 과정에서 정산금 계좌가 변경돼 금전 피해가 발생한 사실을 확인했다. 알리는 작년 10월16일 피해 사실을 인지했고, 23일 최종 확인을 거쳐 24일 신고를 접수했다고 밝혔다. 해킹으로 정산금이 탈취된 사건 자체는 명백한 사실이다.
앞서 20일 조국혁신당 이해민 의원은 한국인터넷진흥원으로부터 침해사고 신고서를 입수했다. 작년 10월 셀러 계정이 해킹되면서 판매자에게 돌아가야 할 정산금이 외부로 빠져나가는 침해사고를 겪었고, 이를 당국에 신고한 사실이 확인됐다.
그럼에도 알리의 태도는 논란을 키웠다. 본지가 접촉한 알리 측은 “사이버 정보 침해와 관련해 필요한 조치를 모두 했고 실질적인 피해가 없으니 문제 될 것이 없다”는 입장을 재차 강조했다. 개인정보 유출 가능성에 대한 질문에도 “그런 적 없다”는 답변을 고수했다.
알리는 “침해사고 최종 확인 24시간 이내에 신고를 마쳤고, 셀러 피해는 보상으로 모두 처리했다. 고객 개인정보 유출도 없었다”며 이미 몇 달 전에 종결된 사안이라는 입장을 강조했다. 정산금은 전액 지급했고, 정산 지연에 따른 이자 손실도 이자율의 두 배로 보전했으며 전체 셀러를 대상으로 보안 강화 안내를 했다는 설명이다.
그러나 현장의 반응은 달랐다. 알리에 입점한 한 셀러는 “나는 정산금이 안 들어온 적은 없었지만, 뒤늦게 계정 유출 사실을 알고 나니 찝찝했다”며 “이번에 넘어갔다고 해서 다음에도 이런 일이 없으란 법은 없지 않느냐”고 말했다.
한 보안업계 관계자는 “셀러 계정은 사업자 정보와 금융 정보가 결합된 민감한 계정”이라며 “이를 두고 개인정보 유출은 없었다고 단정하는 알리의 인식 자체가 지나치게 안이하다”고 지적했다.
알리는 이번 사안과 별개로, 과거에도 개인정보 문제로 논란의 중심에 섰다. 2024년 7월 개인정보보호위원회는 알리익스프레스에 대해 약 19억 원대 과징금과 과태료, 시정명령 및 개선 권고를 의결했다. 이를 두고 일각에서는 “중국으로 개인정보가 유출됐다”는 표현까지 등장하며 여론이 악화됐다.
다만 이 부분은 사실관계를 정확히 구분할 필요가 있다. 본지가 개인정보보호위원회에 확인한 결과, 온라인 판매 구조상 판매자나 배송업체에 이용자 정보가 제공되는 것 자체가 불법은 아니라고 답변했다. 다만 구매고객의 개인정보를 어느 법인, 어느 업체에 제공하는지 약관에서 명확히 동의 절차를 밟지 않은 채 서비스를 운영했다는 점이 문제가 됐다고 말했다. 즉 ‘유출’이 아니라 통상적인 ‘제공’이었다. 개인정보위 제재는 정보를 제공받을 주체와 범위를 불투명하게 관리한 책임을 묻는 것이었다.
알리는 이 사안에 대해서도 “개인정보 유출은 없었다”는 문장만을 반복했다.
문제는 법적 판단의 유불리를 떠나, 반복되는 논란 앞에서 기업이 어떤 태도를 보이느냐다. 해킹으로 셀러 계정이 뚫리고 정산금이 탈취된 사실이 확인됐음에도, 알리는 ‘보상했으니 끝난 일’이라는 식의 대응에 머물렀다. 개인정보 논란 역시 제재의 취지를 성찰하기보다 ‘유출은 아니다’라는 방어적 문장으로만 정리했다.
그러나 대중의 시선은 곱지 않다. 아울러 쿠팡 사태를 계기로 국회 청문회 추진, 영업정지 가능성 언급 등 강도 높은 대응이 이어지는 것과 달리, 알리익스프레스의 셀러 계정 침해사고는 “실질 피해가 없다”는 해명 속에 비교적 조용히 지나갔다는 지적도 나온다.
개인정보보호 분야의 한 교수는 “계정 자체가 개인을 식별하고 거래를 가능하게 하는 인증수단인 만큼, 계정이 탈취돼 정산금 계좌 변경까지 이어졌다면 개인정보 침해와 분리해 보기 어렵다”며 “정보가 밖으로 ‘다운로드’됐는지만 따질 게 아니라, 권한 탈취와 오·남용이 발생했는지까지 포함해 침해로 평가해야 한다”고 말했다.
보안업계 관계자도 “셀러 계정에는 연락처 같은 기본 정보뿐 아니라 정산 계좌 등 민감정보가 결합되는 경우가 많아 사고의 성격을 ‘개인정보와 무관’으로 단정하기 어렵다”며 “정산금 계좌 변경이 발생했다면 사이버 침해사고로 보고 재발 방지 조치를 투명하게 설명하는 게 통상적인 대응”이라고 말했다.
후원하기
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요0
감동이에요0
화나요0
슬퍼요0
기사제보 
