쿠팡 '속도 전쟁'은 끝났다, 이커머스 'AI 보안관' 싸움 [트랜D]

한국 이커머스(전자상거래) 시장은 오랫동안 ‘속도’의 경쟁이었습니다. 더 빠른 배송, 더 간편한 결제, 더 많은 상품을 얼마나 빨리 보여줄 수 있는지가 승부를 갈랐죠. 쿠팡의 로켓배송은 이 경쟁의 정점이었고, 한국 소비자의 기대치를 한 단계 끌어올린 상징적인 서비스였습니다.

그러나 최근 불거진 쿠팡의 대규모 개인정보 유출 사태는 이커머스 경쟁의 전제를 근본적으로 흔들고 있어요. 이제 소비자는 ‘얼마나 빨리 오느냐’보다 ‘내 정보가 안전한가’를 먼저 묻기 시작했습니다.

이커머스보안. 사진 Freepik

━

양강 체제 속에서 다시 짜이는 경쟁 구도

최근 몇 년간 한국 온라인 쇼핑 시장은 쿠팡과 네이버의 사실상 양강 체제로 수렴해 왔어요. 2024년 기준 쿠팡의 온라인 쇼핑 거래액은 약 55조원, 시장 점유율은 22% 수준으로 평가되며, 네이버 역시 검색과 쇼핑, 스마트스토어를 묶어 이커머스 트래픽의 상당 부분을 장악하고 있습니다.

그런데 이 두 회사의 전략은 구조적으로 다릅니다. 쿠팡은 물류 인프라와 로켓배송이라는 ‘닫힌 생태계’ 위에 자신만의 검색, 앱 트래픽을 쌓아 올리는 통합형 모델이에요. 자체 시스템으로 수천만 개 상품의 수요를 예측하고, 포장과 배송 등 이커머스 전 과정을 데이터로 최적화해 ‘당일, 익일 배송’을 일상으로 만든 회사입니다.

반면 네이버는 컬리, 롯데, 세븐일레븐 등 유통과 리테일 플레이어들과 전략적 제휴를 맺고 검색, 쇼핑, 네이버페이, 멤버십을 하나의 흐름으로 묶는 ‘플랫폼 연합’ 전략을 취해 왔어요. 마켓컬리처럼 신선식품에 특화된 파트너와 연결되고, 오프라인 편의점, 대형마트와 연계해 ‘검색은 네이버, 결제도 네이버, 픽업은 오프라인’이라는 옴니채널 경험을 설계한 것이 특징입니다.

이번 쿠팡 개인정보 유출 사태는 이러한 양강 체제에 중요한 균열선을 만들고 있습니다. 네이버를 포함한 다른 플레이어들의 전략적 선택지가 분명해지는 거죠. 첫째, ‘쿠팡보다 싸고 빠른’을 따라가는 경쟁은 의미가 급격히 떨어집니다. 둘째, 지금 필요한 것은 ‘쿠팡보다 더 안전한’ 이미지를 조기에 확보하는 것입니다. 단순한 보안 인증 마크가 아니라, 어떤 데이터가 어떻게 암호화되고 보관되는지, 퇴사자와 외주 인력의 접근 권한을 어떻게 관리하는지, 침해 사고 발생 시 어떻게 공지와 후속조치를 하는지 구체적으로 설명하는 기업이 고객의 신뢰를 얻을 수 있어요.

이커머스 시장을 양분하는 쿠팡과 네이버. 사진 구글 제미나이

━

AI로 무장한 이커머스, 이제 ‘보안이 곧 서비스’

한국 이커머스 기업들은 AI를 서비스의 핵심 엔진으로 활용하고 있습니다. 쿠팡은 추천 시스템과 검색, 광고, 로켓배송 전 과정에 AI 모델을 적용해 사용자 전환율과 물류 효율을 동시에 끌어올렸어요. 사용자의 이력을 학습한 추천 모델은 앱 첫 화면과 검색 결과, 광고 노출 순서를 개인별로 최적화하고, 물류센터에서는 입고와 적재 등 동선을 AI가 계산해 작업자의 이동 시간을 줄이고 있죠.

네이버 역시 AI 쇼핑 앱을 통해 방대한 상품 데이터를 분석하고, 이용자의 선호를 학습해 자연어 기반 검색과 큐레이션을 고도화하고 있습니다. G마켓, 11번가, SSG닷컴 등도 검색 품질 개선과 개인화 추천, 재고 및 가격 최적화에 AI를 이미 도입한 상태에요.

그러나 이번 쿠팡 개인정보 유출 사태는 고도화된 해킹이 아니라, 퇴직자의 접근 권한과 인증 정보가 제대로 회수, 관리되지 않았다는 점에 있습니다. 이는 기술 부족의 문제가 아니라, 권한 관리와 보안 운영이 서비스 성장 속도를 따라가지 못한 구조적 문제에 가까워요. 디지털 시스템 전체가 안전하게 설계되지 않으면 하나의 인증키, 하나의 계정이 수천만 명의 개인정보로 연결되는 단일 실패 지점이 될 수 있다는 사실이 분명해졌어요.

이 문제를 방지하기 위해 가장 먼저 필요한 것은 AI 기반 권한 관리의 자동화입니다. 이커머스 기업들은 개발자, 운영자, 외주 인력, 파트너사 계정이 수시로 생성 및 변경, 종료되는 환경에 놓여 있어요. 이 과정에서 퇴사나 직무 이동 시 권한을 사람이 수동으로 회수하는 방식은 이미 한계에 도달했죠. AI는 인사 시스템과 연동돼 계정 관리를 자동으로 처리하고, 퇴직 신호가 발생하는 순간 모든 접근 권한과 인증 키를 즉시 차단하는 역할을 수행할 수 있어요. 이를 통해 ‘퇴직자 계정이 살아 있는 상태’라는 가장 기본적인 보안 사고를 구조적으로 차단할 수 있습니다.

이커머스 보안. 사진 구글 제미나이

AI의 역할은 여기서 끝나지 않아요. 단순히 권한을 회수하는 것을 넘어 누가 평소와 다른 방식으로 시스템에 접근하고 있는지를 실시간으로 감지하는 데에도 활용될 수 있어요. 로그인 시간대, 접속 위치, 접근하는 데이터 범위, 호출하는 API 패턴을 AI가 학습하면 정상적인 내부 직원과 비정상적인 접근을 구분할 수 있는 거죠.

예를 들어 퇴직자가 사용하던 계정이 새벽 시간대에 대량의 데이터를 조회하거나, 기존 업무 범위를 벗어난 시스템에 접근할 경우 AI는 즉시 이상 징후로 판단하고 접근을 차단하거나 추가 인증을 요구할 수 있어요. 이는 외부 해킹뿐 아니라 내부자 유출, 권한 오남용까지 포함한 보안 범위를 크게 확장시킵니다.

아마존은 지난 11월 AI를 활용한 사이버보안 시스템인 ATA(Autonomous Threat Analysis)를 도입했다고 밝혔어요. 이 시스템은 AI를 통해 여러 해킹 시나리오를 자동으로 분석하고 대응책을 제안하는 기능을 갖추고 있어 수작업으로 확인하기 어려운 보안 리스크를 찾아내요. AI가 사전 탐지는 물론 자율적으로 대응할 수 있는 장점을 갖고 있습니다.

클라우드 보안. 사진 AWS

━

보이지 않는 기술에서 보이는 신뢰로

이커머스 전반에서 보안은 물론 사기 방지 등 AI가 적용될 수 있는 영역은 훨씬 넓습니다. AI는 계정 탈취로 인한 비정상 구매 패턴, 자동화된 봇을 통한 재고 사재기, 가짜 계정 생성과 리뷰 조작, 결제 단계에서의 이상 거래를 사전에 탐지하는 데에도 활용될 수 있죠.

글로벌 이커머스 플랫폼인 쇼피파이에는 AI 기반 사기 탐지 시스템이 존재해요. 쇼피파이는 결제 데이터, 주문 패턴, IP/기기 정보 등을 분석해 실시간으로 부정 주문 또는 위험 거래를 식별하고, 해당 주문에 대해 자동으로 위험 표시를 하거나 차단하는 기능을 제공합니다.

기존 보안 시스템이 ‘이런 경우는 차단한다’는 사후 대응에 머물렀다면 AI는 ‘이 행동은 과거와 다르다’는 맥락 자체를 이해하고 선제적으로 대응해요. 이는 대규모 트래픽과 거래가 동시에 발생하는 이커머스 환경에 특히 적합한 방식입니다.

AI 기반 이상 로그인 알림, 낯선 기기나 위치에서의 접근 시 추가 인증, 계정 접근 이력 확인 기능은 소비자에게 이 플랫폼이 자신의 정보를 적극적으로 보호하고 있다는 신호를 제공해요. 금융 서비스가 보안 수준을 핵심 경쟁력으로 내세우듯, 이커머스 역시 보안을 ‘보이지 않는 기술’이 아니라 ‘보이는 신뢰’로 설계해야 하는 단계에 진입하고 있습니다.

윤준탁 IT 칼럼니스트

▶ 중앙일보 / '페이스북' 친구추가

▶ 넌 뉴스를 찾아봐? 난 뉴스가 찾아와!

ⓒ중앙일보(https://www.joongang.co.kr), 무단 전재 및 재배포 금지