이름부터 전화번호·주소 카드정보까지 털리는데 기업들은 왜 맨날 사과만 할까요

요즘 개인정보 유출 기사 볼 때마다 진짜 한숨부터 나옵니다. 이번에는 GS리테일에서 또 대규모 개인정보 유출 사고가 발생했고, GS샵에서 약 158만명, GS25에서 약 8만명의 개인정보가 빠져나갔다고 합니다. 이름이나 연락처 정도만 나온 것도 아니고 생년월일, 주소, 이메일까지 유출됐다고 하니 이용자 입장에서는 정말 황당할 것 같습니다.

그런데 더 어이없는 건 이런 사고가 GS리테일 하나만의 문제가 아니라는 거죠. 같은 날 29CM에서도 약 16만건의 개인정보가 유출됐다는 소식이 나왔습니다. 거기에 개인정보보호위원회에서는 올해 개인정보 유출 신고가 상반기에만 432건이나 접수됐다고 밝혔습니다. 지난해 1년 동안 447건이었는데 올해는 반년 만에 거의 따라잡았다는 겁니다.

 

 

이 정도면 개인정보 유출이 그냥 일상이 되어버린 것 아닌가 싶습니다.

기사 볼 때마다 기업 입장은 거의 비슷합니다. "진심으로 사과드린다", "보안 시스템을 강화하겠다", "재발 방지에 최선을 다하겠다."

물론 사과는 해야죠. 그런데 소비자 입장에서는 이제 그 말도 솔직히 너무 익숙합니다. 개인정보 털리고 → 사과하고 → 보안 강화하겠다고 하고 → 또 다른 곳에서 개인정보 털리고. 이게 계속 반복되고 있으니까요.

특히 화가 나는 건 유출된 개인정보를 우리가 다시 주워 담을 방법이 없다는 것입니다.

비밀번호야 바꾸면 된다고 하지만 이름을 바꿀 수도 없고, 전화번호도 마음대로 새 번호로 바꿀 수 있는 게 아니고, 생년월일이나 주소 같은 정보도 유출됐다고 없던 일이 되는 게 아니잖아요. 한번 인터넷으로 퍼져버린 개인정보는 사실상 완전히 회수하는 것도 불가능하고요.

기업 입장에서는 "결제 정보와 비밀번호는 유출되지 않았다"고 설명할 수도 있겠지만, 소비자 입장에서는 이름과 전화번호, 이메일, 주소만으로도 충분히 불안합니다. 이런 정보가 다른 정보들과 결합되면 보이스피싱이나 스미싱 같은 2차 피해로 이어질 수도 있으니까요.

이번 GS리테일 사고에서 특히 답답했던 건 이상 징후를 제대로 잡아내지 못했다는 점입니다. 대규모 로그인 시도가 계속되고 로그인 실패율도 급격하게 올라갔다는데 이런 걸 장기간 파악하지 못했다는 게 이해가 잘 안 됩니다.

 

더구나 GS25에서 개인정보 유출 사실을 처음 인지한 뒤에도 GS샵에서 같은 공격이 이어지고 있었다는 사실을 한 달이나 지나서야 추가로 확인했다고 합니다. 이미 한쪽에서 사고가 발생했다면 다른 서비스에서도 같은 문제가 있는지 바로 점검하는 게 당연한 것 아닌가요?

이용자 입장에서는 정말 답답할 수밖에 없습니다.

기업들은 고객 개인정보를 수십만, 수백만 건씩 가지고 있으면서 대체 얼마나 제대로 관리하고 있는 건지 모르겠습니다.

우리는 서비스를 이용하려면 개인정보를 제공할 수밖에 없습니다. 배송받으려면 주소를 입력해야 하고, 회원가입하려면 이름과 전화번호를 넣어야 하고, 각종 서비스를 이용하려면 이메일이나 생년월일을 요구하는 경우도 많습니다.

그렇게 어쩔 수 없이 맡긴 개인정보가 기업의 관리 부실 때문에 유출됐는데, 결국 돌아오는 건 "주의해 주세요", "비밀번호를 변경해 주세요", "피싱 문자에 유의해 주세요" 같은 안내입니다.

물론 이용자도 조심해야겠죠. 그런데 왜 개인정보를 맡긴 사람이 계속 뒷수습까지 해야 하는 건지 모르겠습니다.

 

개인정보를 가지고 있는 기업이 훨씬 더 철저하게 관리해야 하는 것 아닌가요?

더 화나는 건 개인정보 유출이 발생할 때마다 피해 가능성은 소비자가 떠안고, 기업은 사과문 하나 발표한 뒤 시스템을 개선하겠다고 하는 식으로 끝나는 경우가 많다는 겁니다. 물론 이번 GS리테일처럼 과징금이 부과되는 사례도 있지만, 기업들이 "개인정보 보호를 제대로 하지 않으면 정말 큰 책임을 진다"는 생각을 할 정도로 강력한 제재가 필요하다고 봅니다.

개인정보보호위원회가 앞으로 사후 제재보다 예방 중심으로 정책을 바꾸겠다고 한 것도 그래서 중요하다고 생각합니다. 사고가 터지고 나서 조사하고 과징금 부과하는 것도 필요하지만, 애초에 사고가 터지기 전에 기업이 보안에 돈과 인력을 충분히 쓰게 만드는 게 더 중요하니까요.

특히 개인정보를 많이 가지고 있는 대기업이나 플랫폼이라면 더 엄격하게 관리했으면 좋겠습니다. 고객 수백만 명의 정보를 가지고 사업을 한다면 그만큼 책임도 커야 하는 게 당연하다고 생각합니다.

"다음부터 잘하겠습니다"라는 말만 계속 듣는 것도 이제는 지칩니다.

SK텔레콤, 쿠팡 같은 대규모 개인정보 유출 사고가 있었고 또 GS리테일, 29CM 같은 사고가 이어지고 있습니다. 앞으로 AI와 디지털 서비스가 더 확대되면 개인정보가 활용되는 곳도 훨씬 많아질 텐데 지금처럼 사고가 반복된다면 소비자들이 어떻게 기업을 믿을 수 있을까요.

개인정보는 기업의 소유물이 아니라 고객이 잠시 맡긴 아주 중요한 정보라고 생각합니다. 그걸 맡아서 관리하는 기업이라면 최소한 "사고가 나지 않도록 최선을 다했다"는 말이 아니라 실제로 사고가 나기 어렵게 시스템을 만들어 놓는 것이 먼저여야 하지 않을까요.

이제는 개인정보 유출이 터질 때마다 이용자들에게 조심하라고만 할 게 아니라, 기업들이 처음부터 개인정보를 제대로 지키도록 훨씬 강하게 책임을 물었으면 좋겠습니다.

솔직히 요즘은 어디 가입할 때마다 "여기 개인정보 또 털리는 것 아닌가" 하는 생각부터 들 정도입니다. 내 개인정보를 어디에 맡겼는지조차 불안해야 하는 상황은 정말 정상적인 상황이 아니라고 생각합니다.