"넷플 멤버십" 뜬금없는 이메일…버려진 고객정보 최후

<앵커>

작년에 폐업한 한 쇼핑몰 명의로 3만 건 넘는 피싱 메일이 발송됐습니다. 알고 보니 해커가 보낸 메일이었습니다. 폐업 후에도 그대로 남아 있던 고객 정보들이 탈취된 건데 고객들에게는 안내조차 없었습니다.

최승훈 기자입니다.

<기자>

서울 도봉구에 사는 김용빈 씨는 지난달 19일 넷플릭스 멤버십을 재활성화하라는 이메일을 받았습니다.

결제에 문제가 생겼다면서 멤버십을 다시 시작하려면 버튼을 누르라는 내용이었습니다.

하지만 발신 주소는 넷플릭스가 아니라 '펀샵'.

CJ ENM의 자회사가 운영하다가 지난해 3월 이미 영업을 종료한 온라인 쇼핑몰이었습니다.

[김용빈/온라인 쇼핑몰 '펀샵' 이용자 : 펀샵이 문을 닫았는데 왜 나한테 메일을 보내지? 또 다르게 영업하지 않았을까 해서 들어가 봤더니 사용자 데이터를 완전히 삭제했다는 거예요.]

CJ 측의 자체 조사 결과, 펀샵의 광고 이메일 발송을 맡았던 마케팅 대행사, 애피어의 담당자 이메일 계정이 해커에게 탈취된 것으로 파악됐습니다.

마케팅 계약이 끝난 지 2년이 지났고 담당자도 퇴사했지만, 계정에는 고객 이메일 배포 목록 2개가 남아 있었던 겁니다.

해커는 이 목록을 이용해 3만 건 넘는 피싱 이메일을 발송했습니다.

애피어는 SBS 취재진이 처음 문의할 때까지 피싱메일 발송을 탐지하지 못했고, 수신 고객들에게 위험성도 알리지 않았습니다.

[애피어 한국지사 직원 : 담당자가 재택근무로 일해서 자리에 안 계세요. (그럼, 윗분들은요?) 본사에 있어요. (본사는 어디예요?) 타이완이요.]

애피어는 해커가 고객정보를 내려받은 흔적 등은 없다며, 개인정보 유출이 아닌 침해 사고로 한국인터넷진흥원에 신고했습니다.

하지만 추가 조사에서 해커가 고객 20여 명의 이름과 이메일 주소, IP 주소를 직접 조회한 사실이 드러났고, CJ ENM은 침해 인지 나흘 만에 개인정보보호위원회에 신고했습니다.

CJ ENM은 "해당 사고의 일차적 책임은 대행사에 있다"면서도 "우리 고객의 피해인 만큼 도의적 책임을 느껴 직접 신고했다"고 설명했습니다.

개보위는 개인정보보호법상 업무 대행사는 고객정보를 안전하게 처리해야 하고, 위탁 업체에도 관리·감독할 의무가 있다며 정식 조사에 착수했습니다.

(영상취재 : 최호준·이병주, 영상편집 : 김종미, 디자인 : 강윤정)