네이버, ‘공개 정보’라지만…73만명 판매자 정보 다크웹 유통 논란

[디지털데일리 조윤정기자] 네이버가 최근 다크웹에 유출된 73만명의 스마트스토어 판매자 정보에 대해 “개인정보 유출이나 해킹이 아닌, 법령에 따라 공개된 사업자 정보를 제3자가 수집한 것”이라는 입장을 밝혔다. 그러나 공개된 개인정보가 대규모로 수집·유통되면서 법적 공백 속 책임 논란이 커지고 있다.

18일 정보기술(IT) 업계에 따르면 지난 17일 한 언론은 네이버 스마트스토어 판매자 73만명의 상호명, 업종, 이메일, 생년월일, 연락처, 이름 등 개인정보가 다크웹에서 파일 형태로 거래되고 있다고 전했다. 이 가운데 일부는 이미 스마트스토어 운영을 종료한 판매자의 정보인 것으로 알려졌다.

이에 대해 네이버는 공식 입장문을 통해 “자체 점검 결과 당사 시스템 내 이용자 개인정보 데이터베이스(DB) 침해 정황이나 해킹 흔적은 없었으며, 웹페이지에 공개된 정보를 제3자가 수집한 것”이라고 설명했다.

네이버는 “통신판매중개업자로서 현행법상 스마트스토어 판매자의 사업자 정보를 소비자에게 제공할 법적 의무가 있다”며, 해당 정보가 법적으로 공개 대상임을 강조했다. 판매자 정보는 로그인 없이 누구나 접근 가능한 웹페이지에 공개돼 있었으며, 이 상태에서 크롤링(자동 수집)이 이뤄져 해킹이나 유출이 아닌 ‘수집’돼 다크웹에 유통된 것이라는 설명이다.

‘크롤링’은 자동화 프로그램이 웹페이지에 반복적으로 접근해 대량의 정보를 긁어가는 방식이다. 이번 사례는 네이버가 기술적 보호 조치를 시행했음에도 불구하고 발생했다. 고도화된 자동화 수단을 통한 정보 수집을 완전히 막기에는 한계가 있었던 것으로 풀이된다.

홍준호 성신여대 융합보안공학과 교수는 “최근 생성형 AI 확산과 함께 불법 웹 크롤링 기술이 고도화되면서, 새로운 범죄 기법에 맞춘 기술적 대응이 필요하다”며 “네이버에서 취득한 판매자의 개인정보가 유출된 경우, 보이스피싱이나 이메일 무역사기같은 기업 피싱 등 2차 범죄에 악용될 가능성이 있다”고 경고했다.

이원상 조선대 법학과 교수는 “비공개이거나 수집 목적이 종료된 개인정보까지 크롤링했다면 개인정보보호법상 책임이 발생할 수 있으나, 실제 법적 책임을 입증하는 데는 한계가 있다”며 “이 경우 개인정보보호위원회 등 공적 기관의 면밀한 조사가 필요하다”고 말했다.

이어 이 교수는 “현재 크롤링은 AI나 빅데이터 산업에서 필수적인 기술이지만, 법적으로는 회색지대에 놓여 있다”며 “입법만으로는 사각지대를 완전히 해소하기 어렵기 때문에, 기술적 보완은 물론 피해 알림 및 신속 삭제 등의 사회적 안전망까지 함께 마련해야 한다”고 강조했다.

한편 네이버는 “그동안 자동 크롤링 방지를 위해 자동입력 방지(CAPTCHA) 적용, 웹페이지 주소(URL)에 무작위 문자열 삽입 등 기술적 조치를 시행해왔으며, 앞으로도 보안 강화를 위한 추가 조치를 확대할 계획”이라고 밝혔다. 이어 “현재까지 해당 정보 유통으로 인한 피해는 접수된 바 없으나, 개인정보보호위원회 및 한국인터넷진흥원과 긴밀히 협조해 피해 발생을 막기 위해 최선을 다하겠다”고 밝혔다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -