카인드올 정보유출, 흔들린 명품 신뢰
피싱 한 통이 뚫은 중고명품 뒷문
도쿄와 오사카를 중심으로 전국 11개 도도부현에 42개 매장을 운영하는 브랜드 중고 매매 체인 카인드올이 대규모 개인정보 유출 사건을 겪었다. 모회사 트레저 팩토리가 8월 28일 밝힌 바에 따르면, 자사 EC 사이트를 운영하는 온라인 플랫폼의 직원 계정이 피싱 메일에 뚫리면서 13만 6464명의 고객 정보가 외부로 빠져나갔고, 이 중 10만 9311명은 주소 정보까지 함께 유출됐다. 명품 가방과 시계, 보석처럼 소유 이력과 신원 확인이 거래의 핵심인 업종에서, 그것도 올해 2월 도쿄 미나미아오야마 골동거리에 새 매장을 낼 만큼 확장세에 있던 브랜드에서 벌어진 사고라는 점에서, 이번 사건은 단순한 IT 보안 실패를 넘어 중고 명품 유통업이 딛고 서 있는 신뢰 구조 자체를 되짚게 만든다.
무엇이 달라졌나
유출 경로는 생각보다 정교했다. 8월 22일 제3자가 EC플랫폼 스태프 계정에 부정 접근한 뒤, 다음 날인 23일 계정에 등록된 이메일 주소를 자사에서 쓰지 않는 것으로 바꿔치기하고, 같은 날 안에 고객정보 일괄 엑스포트를 두 차례 실행했다. 카인드올 측이 이상 징후를 알아챈 것은 8월 24일, 평소처럼 주문정보를 내려받는 과정에서 계정 이메일이 낯설다는 것을 발견하면서였다. 유출된 항목은 고객ID·성명·주소·전화번호·생년월일·이메일 주소는 물론, 메일매거진 구독 여부, 총 주문 횟수와 누적 구매 금액, 플랫폼이 관리하는 고객 태그, 포인트 보유·실효·누적 이력까지 폭넓다. 다행히 신용카드 정보와 EC 사이트 로그인 비밀번호는 유출 대상에서 빠졌고, 현재까지 2차 피해도 확인되지 않았다. 그러나 구매 이력과 포인트 데이터까지 새 나갔다는 것은, 이 회사가 얼마나 세밀하게 고객의 소비 취향과 컬렉션 성향을 데이터로 축적해 왔는지를 역설적으로 보여준다. 결국 유출된 것은 개인정보이면서 동시에, 한 사람이 어떤 브랜드를 얼마나 자주 사고팔았는지를 보여주는 취향의 기록이기도 하다.
왜 지금인가
이번 사고의 원인은 화려한 해킹 기술이 아니라 가장 낡은 수법인 피싱이었다. EC플랫폼 운영사를 사칭한 이메일을 받은 직원이 링크를 클릭해 인증 정보를 입력했고, 그 직후 첫 부정 접근이 발생했다. 여기에 해당 계정에는 2단계 인증이 설정돼 있지 않았고 비밀번호 강도도 충분하지 않았다는 점이 겹치면서, 단 한 번의 클릭이 13만 명 규모의 유출로 번졌다. 중고 명품 거래는 오프라인 매장의 감정·매입 노하우 못지않게, 온라인에서 고객의 신원과 결제, 배송 정보를 다루는 백오피스 시스템의 안정성에 기대는 사업이다. 1985년 창업해 40년 가까이 매입·판매 노하우를 쌓아온 카인드올이 2016년 트레저 팩토리에 인수된 뒤 매장망을 착실히 늘려 브랜드 이미지를 끌어올리던 시점에, 정작 뒷단의 인증 관리는 기본기가 비어 있었다는 사실이 드러난 셈이다. 실물을 다루는 취향 산업일수록 매장의 큐레이션이나 감정 노하우 뒤에 가려진 디지털 인프라의 허술함이 오히려 두드러진다는 것을, 이번 사건이 보여준다.
다음에 볼 것
트레저 팩토리와 카인드올은 부정 접근이 확인된 스태프 계정을 삭제하고, 다른 모든 스태프 계정에 이상 접속이나 조작 흔적이 없는지 점검을 마쳤다. EC플랫폼의 전 스태프 계정에는 2단계 인증을 필수화했고, 일괄 엑스포트 이후 추가 조작이 있었는지는 운영사에 재조사를 의뢰한 상태다. 8월 27일에는 개인정보보호위원회에 보고를 마쳤고, 대상 고객에게는 순차적으로 개별 안내가 나갈 예정이며 전용 문의 창구도 준비 중이다. 재발 방지책으로는 권한 관리 점검, 피싱 대응 강화, 직원 대상 정보보안 교육과 모의훈련, 대량 데이터 출력을 조기에 포착하는 모니터링 체계 구축 등이 예고됐다. 그룹이 함께 쓰는 다른 시스템과 클라우드 서비스의 2단계 인증·권한 관리 상태도 다시 점검한다고 밝혔다. 연결 실적에 미치는 영향은 아직 정밀 조사 중이라 공개되지 않았다. 명품을 되팔고 다시 사는 순환 경제가 커질수록, 그 뒤편의 개인정보와 결제 인프라를 얼마나 촘촘히 지키느냐가 브랜드 신뢰를 가르는 새로운 기준이 될 것으로 보인다.