발란, 해킹 한 번 당한 게 아녔다...'꼼수 고지' 논란

이용자 개인정보 유출 논란과, 할인행사 전 ‘가격인상 꼼수’ 의혹으로 홍역을 앓은 명품 플랫폼 발란이 또 한 번 구설수에 올랐다.

이번 역시 개인정보 유출 관련 내용인데, 발란의 해킹 피해 사고가 알고 보니 한 차례가 아닌 두 차례 발생했다는 내용이다.

회사 측은 두 건의 해킹 피해 사고가 사실은 동일한 건으로 보안당국의 조사를 받고 있다는 입장인데, 확인 결과 개별 해킹 건으로 나뉘어 조사가 진행 중인 것으로 확인됐다. 정리하면 발란은 1차 해킹 피해 약 한 달 만에 두 번째 해킹 공격을 받았고, 이로 인해 개인정보 유출 의심 사례가 두 차례 있었다는 것이다.

그럼에도 회사가 각각의 피해 사실을 이용자들에게 명확하게 고지하지 않았다는 비판이 나온다.

11일 개인정보보호위원회에 따르면 발란은 지난 3월과 4월 두 차례 KISA에 개인정보유출 사실을 자진 신고했다. 3월 1차 피해 당시 발란은 “허가받지 않은 외부 접속자가 회원 정보에 비정상적인 방식(의도된 해킹)으로 접근한 정황을 발견하고, 즉각 모든 서비스에 대한 유출 의심 경로를 차단, 웹사이트 취약점 점검을 포함한 보안점검과 보완조치를 완료했다”고 공지했다. 또 “침입 방지 시스템을 추가 도입하고 유출 시 2차 피해 최소화를 위해 24시간 모니터링을 진행하고 있다”고 덧붙였다. 이와 함께 구매내역이나 결제정보 일체는 유출되지 않았고, 비밀번호는 암호화 돼 있으며, 주민등록번호는 수집되지 않아 유출될 수 없다고도 알렸다.

이번에 논란이 된 이슈는 4월에 발생된 2차 해킹 사고다.

지난 달 발란은 ‘개인정보의 안전한 관리를 위한 추가 조치 안내’라는 제목의 안내문을 메일과 공지문에 띄웠다. 내용에는 지난 3월16일 해킹 시도 가능성으로 개인정보 유출이 됐을 수 있으니 2차 피해 예방을 위해 비밀번호 변경을 권유한다는 내용이 핵심이었다.

1차 해킹 피해에 따른 이용자들의 보안 조치를 독려하는 것으로 해석될 뿐, 어디에도 2차 해킹 피해가 발생했다는 내용은 찾아볼 수 없다. 추가 해킹으로 더 많은 피해자가 발생했을 가능성이 있었지만, 이용자들이 이를 인식하기에는 부족한 안내였던 셈이다.

이에 발란 측은 두 해킹 신고 건이 동일 건으로 보안당국에서 조사를 받고 있다는 입장이다. 두 번의 해킹 의심 신고를 했지만, 사실은 하나의 해킹 사고였다는 주장이다. 회사 관계자는 “해킹 피해가 의심돼 1차 신고를 했고, 뒤이어 피해 부분이 추가로 발견돼 선제적 조치 차원에서 2차 신고를 했던 것”이라며 “보안당국에서 두 신고 건을 같은 건으로 조사하는 것으로 알고 있다”고 밝혔다.

그러나 관련 조사를 맡은 개인정보보호위원회 조사3팀의 설명은 달랐다. 담당 조사 팀장은 발란으로부터 2건의 해킹 신고가 접수됐으며, 개별 조사가 이뤄지고 있다고 답했다. 하나의 해킹 사고로 볼 수 없다는 입장이다.

개인정보보호위원회 김혜숙 조사3팀 총괄은 “발란 해킹 사고 접수는 처음 개인정보 유출이 이뤄져 신고가 들어왔고, 불확실하지만 또 한 번 개인정보유출 의심 정황이 있어 한 번 더 신고가 들어왔었다”며 “동일 건으로 묶이지 않고 개별 해킹 건으로 조사가 진행 중”이라고 설명했다. 이어 “어떻게 개인정보가 유출됐는지 예단하기에는 아직 이른 상황이다. 보통 신고가 접수된 날로부터 6개월 정도의 조사 기간이 소요된다”고 설명했다.