11월29일 쿠팡이 고객에게 전달한 개인정보 노출 통지 문자. [사진=독자 제공]

[IT전문 미디어블로그=딜라이트닷넷] 쿠팡 정보유출 사건을 둘러싸고 이를 악용한 스미싱·보이스피싱 시도가 잇따를 가능성이 제기되고 있다. 이커머스 플랫폼을 사칭해 '피해보상', '환불', '피해사실 조회' 등을 내세운 공격이 유포될 것으로 예상되면서 추가 개인정보 탈취나 금전 피해를 막기 위한 이용자 주의가 요구된다.

2일 보안업계와 한국인터넷진흥원(KISA)에 따르면 해킹 사고 직후에는 피해기업을 사칭한 스미싱이 대량으로 유포되는 경우가 많다. 공격자는 "긴급 앱 업데이트", "피해보상 신청", "환불 안내" 등 그럴듯한 문구를 담은 문자 메시지를 보내 악성 인터넷주소(URL) 클릭을 유도한다. 주소를 누를 경우 피싱사이트로 연결되거나 악성 앱 설치를 요구받을 수 있다.

또 '피해사실 조회' 등 키워드를 악용해 포털 검색 결과 상단에 피싱사이트가 노출되는 방식도 우려된다. 사용자가 검색 과정에서 잘못된 링크를 클릭하면 정상 페이지로 착각하고 개인정보를 입력하도록 유도당하기 쉽다. 전화로 피해보상 절차를 안내하는 것처럼 접근해 원격제어 앱 설치나 피싱사이트 접속을 요구하는 보이스피싱 사례도 증가할 것으로 보인다.

전문가들은 스미싱 피해를 방지하기 위해 무엇보다 의심스러운 링크를 누르지 않는 기본적인 보안 습관이 필요하다고 강조한다. 발신번호와 메시지 내용이 조금이라도 낯설다면 즉시 삭제하고, URL이 포함된 문자라면 출처를 반드시 확인해야 한다. 특히 휴대전화 번호, 아이디, 비밀번호, 인증번호는 신뢰할 수 있는 공식 사이트에서만 입력해야 하며 정부기관이나 금융기관은 전화나 문자로 원격제어 앱 설치를 요구하지 않는다는 점을 기억할 필요가 있다.

이미 악성 앱 설치나 개인정보 입력이 이뤄졌다고 의심된다면 '번호도용문자차단서비스'를 통해 자신의 번호가 스미싱 문자 발송에 재사용되는 피해를 예방할 수 있다. 이동통신사 부가서비스에서 무료로 신청 가능하다. 또한 모바일 결제 피해 여부를 통신사 고객센터를 통해 확인하고, 피해가 확인될 경우 스미싱 문자 캡처 후 경찰서 사이버수사대를 방문해 사건사고 사실확인서를 발급받아 보상을 요청하는 절차를 밟아야 한다.

악성 앱에 감염됐다면 모바일 백신을 활용해 즉시 삭제하거나, 설정 메뉴에서 수동 삭제를 시도해야 한다. 감염된 스마트폰으로 금융서비스를 이용했다면 공인인증서와 보안카드 정보를 폐기하고 재발급 받는 것이 안전하다. 악성 앱은 주소록을 조회해 지인에게 유사 스미싱을 발송하는 경우도 있어, 주변에 피해 가능성을 알리는 것이 2차 피해 방지에 도움이 된다.

스미싱·피싱사이트의 의심 여부는 보호나라 카카오톡 채널의 '스미싱·피싱 확인서비스'에서 직접 확인할 수 있으며, 스미싱 문자는 스마트폰 내 '스팸으로 신고'를 통해 즉시 차단할 수 있다. 관련 문의는 한국인터넷진흥원 인터넷침해대응센터에서 24시간 상담할 수 있다.

한편 쿠팡은 이날 국회 과학기술정보방송통신위원회 현안 질의에서 현재까지 2차 피해가 없었다고 선을 그었다. 박대준 쿠팡 대표는 관련 질의에 "아직 2차 피해는 없는 것으로 안다"고 말했다. 일각에서는 쿠팡이 정보 '유출'이 아닌 '노출'이라는 표현을 고집하고 있다는 점을 지적했다. 박 대표는 이번 사고가 어떤 형태냐는 질문에 "유출이다"라고 답하기도 했다.

브랫 매티스 쿠팡 정보보호최고책임자(CISO)는 정보유출 사고가 해킹이 아닌 직원에 의한 소행으로 발생했다는 지적에 대해 세부 조사를 진행 중이라 답했다. 매티스 CISO는 "현재 조사 중이고 계속 증거를 찾고 있는 상황"이라며 "아직 (별도 API 등) 다른 시스템과 정보에 접근한 증거는 찾지 못했다"고 말했다.