모바일 상품권 ‘기프티콘’을 운영하는 SK플래닛(대표 유재욱)에서 고객 이름과 전화번호, 환불용 계좌번호 등 개인정보가 외부로 빠져나간 정황이 드러났다. 롯데 계열 모바일 교환권 ‘기프티엘’이 해킹당한 지 일주일 만에 같은 업계에서 비슷한 사고가 또 났다.

29일 SK플래닛이 고객들에게 보낸 ‘개인정보 유출 사실 및 조치 안내’ 문자에 따르면 회사는 지난 28일 오후 6시 40분께 외부의 비정상적인 접근 정황을 확인하고 이를 차단했다.

회사가 밝힌 유출 추정 항목은 이름, 전화번호, 이메일, 구매쿠폰 일련번호, 환급계좌 등이다. 쿠폰 일련번호는 기프티콘을 실제 매장에서 쓸 수 있게 하는 번호이고, 환급계좌는 쿠폰을 환불받을 때 고객이 등록해 둔 은행 계좌다.

피해 규모는 아직 나오지 않았다. SK플래닛은 문자에서 “현재 구체적인 유출 여부 및 대상 고객을 확정하기 위한 정밀 조사를 진행하고 있다”고 밝혔다. 조사가 끝나면 상세 내용과 피해 여부 조회 방법을 개별 문자와 홈페이지 공지로 알리겠다고 했다.

회사는 고객에게 실질적인 피해가 생기면 전액 보상하겠다고 했다. 유출이 확인된 기프티콘은 모두 폐기한 뒤 다시 보내주겠다는 계획도 내놨다. 전담 대응 대표번호(1800-0133)는 평일 오전 10시부터 오후 5시까지만 운영한다.

이름·전화번호와 계좌번호가 한꺼번에 새면 회사나 금융기관을 사칭하는 문자사기(스미싱)와 전화금융사기(보이스피싱)에 악용될 수 있다. SK플래닛도 출처가 불분명한 링크를 누르거나 개인정보·금융정보를 요구하는 연락에 응하지 말라고 당부했다.

■ 11번가에서 100억원에 넘겨받은 지 11개월 만

기프티콘은 SK플래닛이 지난해 12월 계열사 11번가에서 넘겨받은 사업이다. SK플래닛이 공정거래법에 따라 지난해 10월 29일 낸 대규모내부거래 공시를 보면 회사는 11번가의 기프티콘 사업을 100억원에 사들이기로 하고 양수일을 12월 1일로 정했다. 내세운 목적은 ‘마케팅 플랫폼의 경쟁력 강화’였다.

사업을 직접 운영한 지 11개월 만에 고객 정보가 새는 사고가 난 셈이다. 지난해 SK플래닛의 매출(영업수익)은 2566억원으로 전년보다 160억원 줄었다.

같은 업계에서는 일주일 전 비슷한 사고가 있었다. 기프티엘 운영사 스푼은 지난 22일 해킹을 확인했고, 25일 홈페이지 공지를 통해 고객 1만8359명의 이름·휴대폰번호·이메일·환불계좌가 유출됐다고 밝혔다. 빠져나간 항목이 이번 SK플래닛 안내와 거의 겹친다. 이 사고로 롯데시네마·롯데리아 등 150여개 브랜드의 쿠폰 사용이 멈췄다.

SK그룹 계열사에서는 지난해 SK텔레콤 유심(USIM) 해킹 사고도 있었다. 개인정보보호위원회는 지난해 8월 SK텔레콤에 과징금 1347억9100만원을 부과했다. 개인정보 유출 사고로는 역대 최대 규모였다.

SK플래닛은 SK스퀘어가 지분 99.45%를 가진 회사다. 지난해 말 기준이며 나머지 0.55%는 자기주식이다. SK스퀘어의 최대주주는 지분 32.17%(올해 6월 말 기준)를 가진 SK㈜이고, SK㈜의 최대주주는 지분 17.90%를 가진 최태원 SK그룹 회장이다.

개인정보 보호법은 유출 사실을 안 기업이 피해 고객에게 지체 없이 알리고, 1000명 이상이 유출되면 개인정보보호위원회나 한국인터넷진흥원(KISA)에 신고하도록 정하고 있다.

피해 고객은 개인정보분쟁조정위원회에 분쟁조정을 신청하거나, KISA 개인정보침해신고센터를 통해 피해 구제를 청구할 수 있다. 회사를 상대로 손해배상 소송을 내는 것도 가능하다.