'디지털 주민번호' CI까지 털린 CU…2차 피해 불가피

[아이뉴스24 송대성 기자] CU 편의점 택배 운영사인 BGF네트웍스에서 고객 개인정보 유출 사고가 발생하면서 유통업계의 데이터 관리 역량이 다시 도마 위에 올랐다. 택배와 멤버십, 결제 서비스를 결합하며 생활 플랫폼으로 진화한 편의점이 방대한 고객 데이터를 축적하는 가운데 보안 리스크 역시 함께 커지고 있다.

8일 업계에 따르면 BGF네트웍스는 최근 시스템에 대한 비인가 접근 사실을 확인하고 개인정보 유출 정황을 파악해 이용자 안내와 후속 조치에 착수했다. 회사 측이 공지한 유출 가능 정보는 이름, 휴대전화번호, 이메일 주소, 주소, 성별, 생년월일, 아이디(ID), 연계정보(CI) 등이다. 택배 접수 과정에서 입력되는 수하인 정보는 유출 대상에 포함되지 않은 것으로 알려졌다.

이번 유출 가능 정보 가운데 가장 민감하게 보는 항목은 CI다. CI는 본인인증 과정에서 생성되는 고유 식별값으로 서로 다른 서비스에서도 동일인을 식별할 수 있도록 하는 정보다.

주민등록번호처럼 직접적인 신원정보는 아니지만 이름과 연락처 등 다른 개인정보와 결합될 경우 특정 개인을 식별하는 데 활용될 수 있어 민감도가 높다. 보안업계에서는 스미싱과 피싱, 계정 탈취 시도 등 2차 피해에 악용될 가능성을 우려하고 있다.

한국정보보호학회장을 역임한 박영호 세종사이버대학교 교수는 "ID와 패스워드는 사이트마다 다르게 사용하는 경우가 있지만 CI는 동일인을 식별할 수 있는 정보라는 점에서 매우 중요하다"며 "사실상 온라인 개인정보의 핵심 식별정보 역할을 한다고 볼 수 있다"고 말했다.

이어 "CI에 다른 개인정보가 결합될 경우 특정 개인을 식별할 가능성이 높아진다"며 "본인확인 체계 등에서도 활용될 수 있는 민감한 정보인 만큼 기업들의 관리 책임이 더욱 중요해지고 있다"고 덧붙였다.

회사는 해당 접근을 차단하고 관계 기관 신고를 마쳤으며 정확한 유출 규모와 영향 범위는 조사 중이다.

이번 사고가 주목받는 이유는 편의점 산업의 변화와 맞물려 있기 때문이다. 과거 점포 수와 입지가 경쟁력을 좌우했다면 최근에는 멤버십과 결제, 택배·배달 서비스 등을 통해 축적한 고객 데이터가 핵심 자산으로 떠올랐다. 편의점이 생활 플랫폼으로 진화할수록 개인정보 보호의 중요성도 함께 커지고 있다는 의미다.

유통업계에서는 최근 개인정보 사고가 과거와는 다른 무게감을 갖는다고 평가한다. 단순한 정보 유출을 넘어 브랜드 신뢰와 기업 가치에 직접적인 영향을 미칠 수 있기 때문이다. 특히 생활 밀착형 플랫폼은 고객 접점이 많은 만큼 신뢰 훼손이 사업 전반에 미치는 파장도 클 수밖에 없다.

데이터는 자산 됐는데…보안 체계는 제자리

문제는 개인정보 유출 사고가 특정 기업만의 문제가 아니라는 점이다. 최근 수년간 국내 주요 플랫폼 기업과 온라인 서비스 업체들을 중심으로 개인정보 관련 사고와 논란이 반복되고 있다.

사고가 발생할 때마다 보안 투자 확대와 내부 통제 강화 필요성이 제기되지만 유사 사례는 끊이지 않고 있다. 티빙 역시 최근 개인정보 유출 사실을 공지하며 이용자들에게 비밀번호 변경을 권고한 바 있다.

업계에서는 데이터 활용 확대 속도와 보안 체계 구축 속도 간의 격차를 주요 원인으로 꼽는다. 기업들은 초개인화 마케팅과 신규 수익 모델 발굴을 위해 더 많은 고객 데이터를 확보하는 데 집중하고 있지만 서비스가 복잡해질수록 데이터를 처리하는 주체와 경로도 함께 늘어나고 있기 때문이다.

실제 유통기업들이 운영하는 서비스는 자체 플랫폼만으로 구성되지 않는다. 물류와 배송, 결제, 마케팅, 정보기술(IT) 운영 등 다양한 협력사와 외부 시스템이 연결된다. 데이터가 이동하는 접점이 많아질수록 보안 관리 범위도 넓어질 수밖에 없다.

BGF리테일 입장에서도 부담은 적지 않다. 최근 일부 가맹점과 화물연대 간 갈등에 이어 개인정보 이슈까지 불거지면서 대외 리스크 관리 부담이 한층 커졌다는 평가가 나온다.

박 교수는 "정보 유출과 보안 문제는 복합적인 원인에 의해 발생하지만 무엇보다 경영진의 인식 개선이 중요하다"며 "사내 보안 교육 강화와 전담 인력 확충이 함께 이뤄져야 한다"고 말했다.

이어 "기술적 보안 수준을 높이는 것도 중요하지만 이를 지속적으로 관리하고 운영할 전문 인력이 부족하면 유사한 사고는 반복될 수밖에 없다"고 지적했다.