한국소비자연맹 등이 지난 3일 서울 송파구 쿠팡 본사 앞에서 연 ‘쿠팡 개인정보 유출 집단분쟁조정 신청 돌입 기자회견’에서 사과와 책임을 촉구하는 퍼포먼스를 하고 있다. 연합뉴스

‘쿠팡 사태’로 3370만명의 개인정보가 유출되고 소비자들의 2차 피해 우려가 커지는 와중에 기업들의 정보 보안 사고가 잇따르고 있다. 기업들의 정보보호 불감증과 정부 인증제도 운영의 허술함이 묵과할 수 없는 상황이다. 이토록 디지털 보안이 허술해서야 ‘AI 강국’을 꿈꿀 수 있겠는가.

국내 1위 가상자산거래소 업비트가 지난달 27일 오전 4시42분부터 54분간 해킹에 뚫렸다고 당국에 신고했다. 이로 인해 외부로 빠져나간 코인은 1040억여개, 피해액은 445억원에 달했다. 이번에도 ‘늑장 신고’가 도마에 올랐다. 최초 신고 시점은 사고 발생 6시간 뒤인 오전 10시58분이었다. 이날 열린 업비트 운영사인 두나무와 네이버파이낸셜 합병 행사까지 신고를 미룬 게 아니냐는 의혹이 나온다. 또 지난 2일엔 LG유플러스의 인공지능(AI) 서비스 ‘익시오’에서 고객 통화 내용이 다른 고객에게 유출되는 사고가 났다. 약 14시간 이어진 사고에도 회사는 이를 몰랐다가 고객 신고가 있고서야 조치에 나섰다고 한다.

쿠팡, SK텔레콤, KT, 롯데카드, 예스24 등 내로라하는 기업들의 잇단 해킹 및 정보 유출 사고로 기업에 대한 소비자 불신이 위험수위를 넘어선 지 오래다. 지난 4월 SK텔레콤 ‘유심 해킹’ 사고로 2324만명의 개인정보가 유출돼 이용자들은 유심을 교체하느라 이른 아침 대리점 앞에 줄을 서야 했다. 그런데 쿠팡은 이를 넘어선 고객 정보를 유출하고서도 김범석 의장의 사과는커녕 구체적인 배상 방안을 지금껏 밝히지 않고 있다. 언제까지 기업의 개인정보 유출 사고에 소비자와 시민들이 시달려야 하는가.

대규모 정보 유출 사고의 일차적 책임은 정보 보안 투자를 게을리한 기업에 있다. 하지만 정부의 책임도 가볍지 않다. 쿠팡이 정부의 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)을 이미 두 번이나 취득하고서도 또 사고를 낸 건 정부 인증의 허술한 운영 때문이다. 도리어 이것이 인증 기업에 과징금을 50% 감면해주면서 ‘솜방망이 처벌’의 방패로 활용되는 건 아닌지 점검해야 한다. 전자금융거래법상 가상자산 사업자에게는 해킹 사고에 대한 제재나 배상토록 할 법적 근거가 없는 점도 개선해야 할 대목이다.

정부가 AI 강국 도약을 위해 투자와 제도 개선에 나섰지만 개인정보 관리와 보안이 허술하다면 사상누각에 불과하다. 정부는 사고를 낸 기업을 일벌백계하고, 정보 인증제도 개선에 속도를 내야 한다.