"AI 반복 공격" 식품사 자사몰도 해킹 표적…보안 투자는 '쥐꼬리'

자사 온라인몰 회원 확장 추세
해커 먹잇감 우려 확산
정보보호 투자액 업종 평균 미달 기업 상당수
내부 취약점 점검…정보보안 조직 신설 등 대응

은행과 보험, 금융투자 등 금융권을 겨냥한 연쇄 사이버 공격에 이어 국민 일상과 밀접한 먹거리 분야도 개인정보 유출 사고에 대한 불안감이 커지고 있다. 최근 수년간 식품기업들은 자사몰을 통해 판로를 확대한 만큼 정보보호를 위한 투자를 늘리고 관련 조직을 신설하는 등 대응책 마련을 위해 내부 시스템을 재점검하고 있다.

4일 관련 업계에 따르면 더본코리아는 지난 2일부터 외부 수탁업체 더존비즈온을 통해 관리, 운영하는 백업 서버에서 외부의 비인가 불법 접근이 발생해 개인정보가 유출됐을 가능성이 있다고 공식 홈페이지에 안내했다. 유출 가능성이 있는 정보는 거래처의 이메일과 전화번호, 은행명, 계좌번호, 예금주 등을 비롯해 전·현직 임직원의 이름과 주민등록번호, 주소, 연락처, 계좌번호 등이다.

고객상담 관련 정보로는 이름과 휴대전화 번호, 이메일, 문의 내용, 매장 주소 등이 해당한다고 더본코리아 측은 설명했다. 지난달 16일에는 커피전문점 할리스가 멤버십 시스템에 외부 비인가 접근이 발생해 고객정보가 유출된 사실을 확인하고, 사흘 뒤 약 276만건의 유출 피해를 발표했다. 유출 항목은 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI) 등 9개다.

지난해 쿠팡에서 3300만건이 넘는 대규모 개인정보 유출 사태가 발생한 뒤 산업 전반에 침해 사고에 대한 경각심이 높아졌으나 유통가 곳곳에서 이와 같은 피해 사례가 끊이지 않고 있다. 최근 G마켓에서 외부 서비스 응용프로그램 인터페이스(API)의 취약점을 악용한 무단 접근으로 고객 이름과 연락처, 주소, e쿠폰 핀번호 등이 유출되는 사고가 발생했고, 롯데그룹 계열 브랜드의 모바일 교환권을 발행·판매하는 기프티엘도 해킹으로 이름과 휴대전화번호, e메일, 환불 계좌번호 등이 노출됐다. 이보다 앞서 무신사가 운영하는 29CM와 BGF리테일 이 운영하는 편의점 CU의 택배 운영사 BGF네트웍스에서도 고객 정보가 유출됐다.

온라인 쇼핑이 보편화되면서 오픈마켓뿐 아니라 식품과 패션·뷰티 등 제조사에서도 자사몰을 강화하고 가입 고객을 확대하기 위해 집중하는 가운데, 이 때문에 불순한 의도로 개인정보를 탈취하려는 세력들의 먹잇감이 되기 쉽다는 지적이 나온다. 업계 관계자는 "기업 입장에서는 가입 고객이 늘어날수록 이들이 검색하고 구매하는 소비 패턴을 데이터로 축적할 수 있고, 맞춤형 광고나 정보를 제공해 구매율을 높이는 등 '고객 정보가 곧 돈이 되는 사업'"이라며 "할인 쿠폰이나 포인트 적립 등 비교적 저렴한 방법으로 마케팅 효과를 높일 수 있고, 소비자는 조금이라고 싼 가격에 제품을 구매할 수 있다는 점에서 개인정보를 취득하고 제공하는데 관대한 측면이 있다"고 짚었다.

관련 업계에서는 진화하는 침해사고에 대응하기 위해 정보보호를 위한 투자를 강화하고 있으나 기업별로 편차가 크고, 투자액이나 담당 인력이 업종 평균에 못 미치는 기업들이 상당수인 것으로 파악됐다. 한국인터넷진흥원(KISA) 정보보호 공시 종합 포털에 따르면 식품업계에서 정보보호 투자액이 가장 많은 기업은 CJ제일제당 으로 올해 현재 관련 투자액은 지난해보다 21.8% 증가한 69억원으로 집계됐다. 이어 스타벅스 운영사인 SCK컴퍼니가 50억원, 롯데웰푸드 35억원, 롯데칠성 음료가 33억원을 기록했다.

과학기술정보통신부의 2025년 정보보호 공시 현황 보고서에 따르면 주요 식품 제조사들이 포함된 '제조업' 분야의 정보보호 평균 투자액은 25억원, 커피전문점이 포함된 '기타' 업종은 평균 10억원으로 이들 업체는 평균치를 상회했다. 반면 대상 (22억원), 오뚜기 (12억원), 농심 (10억원), 신세계푸드(10억원), 오리온 (4억원), 삼립 (4억원), 더본코리아(3억원) 등 공시 의무대상 기업 상당수는 업계 평균보다 투자액이 적었다. 정보보호 전담인력도 제조업과 기타 업종의 평균치는 지난해 기준 각각 8.3명과 3.9명이었는데 CJ제일제당(41.6명)과 SCK컴퍼니(17.4명)만 이를 웃돌았다.

유통가에서는 최근 잇따른 해킹 사태를 계기로 보안 취약점에 대한 점검을 강화하는 분위기다. 대표적으로 CJ제일제당은 "최근 자사몰 CJ더마켓에서 인공지능(AI)을 활용한 자동화된 취약점 탐색, 대량 로그인 시도 등 반복적인 공격이 늘고 있다"며 "비정상적인 접속 패턴과 반복 요청을 탐지·차단하는 기능을 강화하고, 봇 기반 로그인 공격 차단 기능을 운영 중"이라고 밝혔다. SCK컴퍼니는 지난달 신세계그룹의 2027년 정기 임원인사와 조직 개편안에 맞춰 디지털담당과 정보보안센터 조직을 신설했다. 그룹 측은 "IT 기능의 통합 관리 체계 구축을 통한 전문성 강화와 개인정보 보호·정보보안 역량 강화를 위한 조치"라고 설명했다.

이 밖에 농심은 다음 달부터 공식 홈페이지와 브랜드관, 누들푸들, 코코이찌방야 등에 적용했던 ID 기반의 통합회원 제도를 폐지하고, 별도 회원가입이나 로그인 절차를 없애기로 했다. 농심 관계자는 "최근 강화되는 개인정보 보호 흐름에 발맞춰 고객의 소중한 개인정보를 더욱 안전하게 보호하기 위한 조치"라며 "기존 보유 중인 고객 정보는 관련 법령과 방침에 따라 안전하게 파기할 예정"이라고 말했다.

김흥순 기자 sport@asiae.co.kr