"주문하신 ㅇㅇ 도착했습니다"...쿠팡 사칭 스미싱 봇물, 해킹 연관성 집중

지난달 28일 쿠팡 공식 메시지로 전달된 배송안내 문자. 이후 모르는 번호로 택배가 배송 중이라는 메시지와 함께 배송조회 링크가 첨부됐다. 제보자는 해당 물품을 주문한 적이 없으며 물품 역시 배송되지 않았다. [사진=아주경제 제보]

고객 3370만명 개인정보가 유출된 쿠팡 해킹 사태와 관련해 정부 민관 합동조사단과 경찰청이 2차 피해 조사에 나선 가운데 쿠팡을 사칭한 스미싱 시도가 전국 곳곳에서 포착되고 있다.
 
특히 쿠팡 공식번호를 사칭해 주문하지 않은 상품이 배송되고 있다고 알리거나 개인정보를 요구하는 사례가 잇따라 발생하면서 이번 해킹 사태와 연관성이 있는 것으로 의심된다.
 
1일 A씨는 지난달 28일 쿠팡을 사칭한 스미싱 문자를 받았다며 아주경제에 제보했다. 제보자는 “주문한 적 없는 상품이 배송 중이라는 문자를 쿠팡 공식 번호로 받았다”며 “곧이어 모르는 번호로 또 택배 배송 중이라는 문자가 왔지만 실제로는 물건이 배달되지 않았다”고 말했다.
 

A씨는 문자에 첨부된 링크를 클릭하자 배송 조회 화면처럼 보이는 창이 나타났다고 설명했다. 주문하지 않았던 제품이라는 점을 떠올리고 피싱을 우려해 더 이상 진행하지는 않았다고 했다.

피해는 없었지만 비슷한 사례들이 대거 보고되고 있다. 수개월 전부터 각종 온라인 커뮤니티에 쿠팡을 사칭한 스미싱 문자가 왔다는 내용을 확인할 수 있었다. 
 
이주희 더불어민주당 의원실이 한국인터넷진흥원(KISA)에서 제출받은 자료를 보면 2022년 3만7000여 건에 불과했던 스미싱 탐지·차단 건수는 2025년 8월까지 이미 118만건을 훌쩍 넘어섰다. 공공기관을 사칭한 스미싱 역시 2022년 1만7000여 건에서 2025년 8월 기준 약 46만건으로 26배 이상 급증했다.
 
업계에서는 쿠팡이 해킹 사실을 5개월 이상 인지하지 못했다는 점 등을 근거로 최근 급증한 쿠팡 사칭 스미싱이 이번 개인정보 유출 사태와 연관이 있을 가능성을 제기하고 있다. 쿠팡 측은 현재까지 확인된 바로는 유출된 정보가 이름, 이메일, 전화번호, 배송지 주소, 주문 내역 등이라고 밝히고 있다.
 
쿠팡에서 개인정보가 유출된 정황은 아직 없는 것으로 알려졌다. 과학기술정보통신부 등 관계 당국은 “아직까지 쿠팡에서 유출된 개인정보가 다크웹 등에 유포된 정황은 발견되지 않았다”며 "조사 결과가 나오기 전까지 해킹 사태와 스미싱 간 직접적인 연관성을 단정하기는 이르다"고 말했다.
 
이런 상황에서 집단소송을 준비하는 네이버 카페와 카카오톡 오픈채팅방 등이 우후죽순 생겨나고 있다. 한 네이버 카페는 이미 가입자가 1800명에 육박하는 것으로 알려졌다.
 
합동조사단이 쿠팡 해킹과 스미싱 피해 간 연관성을 공식 확인한다면 실질적인 2차 피해가 거의 없었던 SK텔레콤 해킹 사태 때보다 훨씬 무거운 제재가 내려질 가능성이 크다. 대한민국 인구 중 약 65%에 해당하는 고객 개인정보가 유출됐고 2차 피해 대상 역시 광범위해 과징금 규모 역시 SKT 사례를 크게 웃돌 것이라는 전망이 지배적이다.
 
과기정통부 관계자는 “아직 조사 초기 단계라 구체적인 답변을 내놓기 어려운 상황”이라며 “일각에서 제기되는 ‘중국 소행’ 주장 등에 대해서도 신속하고 철저한 조사를 통해 국민께서 불안해 하지 않도록 필요한 대책을 마련하겠다”고 말했다.