최근 일본 3대 편의점 중 하나인 로손에서 215만건이 넘는 고객 개인정보가 유출되면서 국내 편의점 업계에도 긴장감이 감돌고 있다. 소비자들이 편의점 포인트를 쌓으려고 앱을 가입하는 상황에서 국내 편의점들도 자체 애플리케이션(앱)을 중심으로 멤버십과 예약, 픽업 등 서비스를 빠르게 확대하고 있기 때문이다.
CU와 세븐일레븐 등 주요 편의점 업체들은 2차 인증부터 인공지능(AI)을 활용한 이상징후 탐지까지 보안 체계를 강화하고 있다는 입장이지만, 국내 편의점 업체들의 방어망이 실제 공격에도 제대로 작동할 수 있을지가 관심사로 떠오르고 있다.
◆ 日 로손 개인정보 215만건 유출…앱 보안 기능 노렸다
16일 유통업계에 따르면 최근 일본 편의점 로손은 최근 고객 계정 서비스 '로손ID'에서 215만5,345건의 개인정보가 유출됐다고 발표했다. 유출된 정보에는 고객의 이름과 이메일 주소가 포함됐으며 일부 고객의 전화번호와 주소, 성별 등도 포함됐다.
별도 앱 예약 서비스에서도 26건의 개인정보가 유출됐다. 여기에는 신용카드 번호 일부도 포함된 것으로 파악됐다.
로손에 따르면 지난달 12~14일과 17일 외부의 부정 접근이 발생했고, 이달 7일 조사 과정에서 정보 유출 사실이 확인됐다.
주목할 부분은 공격 대상이다. 단순히 이용자의 아이디와 비밀번호를 탈취해 로그인한 것이 아니라 이용자 본인에게 개인정보를 표시하기 위해 사용하는 앱 관련 보안 기능이 공격받은 것으로 파악됐다.
로손은 이후 의심스러운 접근을 차단하고 일부 예약 기능을 중단하는 한편 보안 시스템과 감시 체계를 강화했다. 여기에 현재까지 유출된 개인정보의 부정 이용이나 2차 피해는 확인되지 않았다는 게 로손 측 설명이다.
◆ "편의점이 왜 해커 표적?"…'앱 전쟁'에 개인정보 접점도 확대
일본에서 발생한 사고지만 국내 편의점 업계도 안심할 수 없다는 지적이 나온다. 편의점 산업 자체가 빠르게 디지털화되고 있기 때문이다.
과거 편의점 고객정보가 단순 멤버십 가입과 포인트 적립 등에 집중됐다면 최근에는 자체 앱을 통한 상품 검색과 예약, 픽업, 할인쿠폰 제공 등으로 서비스 범위가 확대됐다. 고객이 앱을 사용하는 과정에서 계정과 연락처 등 다양한 개인정보가 시스템에서 처리된다.
편의점 업체 입장에서는 앱 이용자가 늘어날수록 충성 고객을 확보하고 마케팅 효율을 높일 수 있지만, 보호해야 하는 개인정보와 시스템의 접점 역시 늘어나는 셈이다. 특히 로손 사고처럼 정상적인 앱 기능의 취약점을 공격할 경우 비밀번호 관리 등 이용자 차원의 보안만으로는 대응에 한계가 있을 수 있다.
결국 앱뿐 아니라 서버와 개인정보 조회 기능, 외부 서비스와 연결되는 접점까지 전체 시스템의 취약점을 관리해야 한다는 설명이다.
◆ CU·세븐일레븐, 보안 강화…"그래도 안심 못해"
일본 로손에서 대규모 고객 개인정보가 유출되면서 국내 편의점 업체들은 방어막을 높이고 있다. 이 가운데 CU를 운영하는 BGF리테일은 노후 보안 시스템을 교체하는 동시에 개인정보 관리를 위한 서버 개인정보관리 솔루션을 도입하고 있다고 밝혔다.
특히 '크리덴셜 스터핑' 공격 방어에 공을 들이고 있다. '크리덴셜 스터핑'은 다른 사이트에서 유출된 아이디와 비밀번호를 이용해 이용자의 다른 계정에 접속을 시도하는 공격 방식이다.
BGF리테일은 이에 대응하기 위해 고객이 자신의 개인정보를 확인할 수 있는 메뉴에 2차 인증을 전체 적용했다. 해커가 아이디와 비밀번호를 확보하더라도 개인정보에 접근하기 위해서는 추가 인증 단계를 거쳐야 하는 구조다. 취약한 버전의 소프트웨어와 운영체제(OS)에 대해서는 제품 패치를 진행하고 인프라 자산에 대한 취약점 진단도 실시하고 있다.
BGF리테일 관계자는 "노후 보안 시스템 교체와 개인정보관리 솔루션 도입, 2차 인증 적용 등 보안 투자를 진행하고 있다"며 "인프라 취약점 진단과 사이버 위기 대응 모의훈련 등도 지속적으로 실시하고 있다"고 말했다.
세븐일레븐은 외부에서 본사와 가맹점 시스템으로 직접 접근하는 경로를 차단하는 데 초점을 맞추고 있다. 고객정보 접근은 전문 보안 솔루션을 통해 관리하고 있으며, AI 기반 이상징후 탐지를 포함한 보안 관제를 상시 운영하고 있다. 평소와 다른 방식으로 시스템에 접근하거나 비정상적인 움직임이 발생할 경우 이를 탐지해 대응한다는 설명이다.
세븐일레븐 관계자는 "고객정보 접근은 전문 보안 솔루션으로 관리하고 AI 기반 이상 징후 탐지를 포함한 보안 관제를 상시 운영해 위협에 대응하고 있다"며 "앞으로도 보안 투자를 확대하고 정보보호 체계를 강화해 나갈 계획"이라고 말했다.
이처럼 국내 편의점 업체들이 보안을 강화하고 나섰지만 해킹 수법이 갈수록 지능화하고 외부 협력업체를 통한 정보유출 가능성도 커지면서 기존 보안 시스템만으로는 한계가 있다는 지적이다. 모바일 앱과 멤버십을 통해 축적되는 방대한 고객정보가 새로운 보안 취약점으로 작용할 수 있다는 우려도 제기된다.
특히 계정 로그인 단계뿐 아니라 앱이 개인정보를 불러오고 표시하는 과정에서 취약점이 발생할 수 있다는 지적이다.
결국 2차 인증이나 AI 관제 하나만으로 안전을 장담하기보다는 공격자가 개인정보에 접근할 수 있는 모든 경로를 지속적으로 찾아 차단하는 노력이 필요하다는 설명이다.
◆ "개인정보 유출은 곧 고객 이탈"…보안이 기업 생존 좌우
전문가들은 개인정보 보호가 단순한 비용 문제가 아닌 기업의 생존을 좌우하는 핵심 경쟁력으로 자리 잡았다고 지적한다.
이 가운데서도 편의점은 소비자들의 이용 빈도가 높고 생활과 밀접하게 연결된 업종인 만큼 한 번의 정보유출 사고가 고객 신뢰 추락과 브랜드 이미지 훼손, 매출 감소로 이어질 수 있기 때문이다.
여기에 국내 편의점의 앱 경쟁이 치열해지는 만큼 보안 투자는 더 이상의 비용의 문제가 아닌 고객을 지키기 위한 생존의 문제라는 지적이다.
사후 대응 중심의 보안 관리에서 벗어나 선제적인 보안 투자와 취약점 점검, 외부 협력업체 관리 강화 등 보다 적극적인 대응에 나서야 한다는 목소리가 커지는 배경이다.
이정환 한양대 경제금융학부 교수는 "일본 로손의 사례처럼 국내 편의점들도 앱을 통한 멤버십, 결제, 배송 서비스 경쟁이 치열해지면서 고객정보 유출 위험이 커지고 있다"며 "이와 관련된 선제적인 보안 투자를 확대해야 한다"고 말했다.
이 교수는 이어 "특히 보안 투자를 단순한 비용이 아니라 고객 신뢰와 기업 경쟁력을 지키기 위한 필수 투자로 인식할 필요가 있다"고 덧붙였다.