최근 3370만 명에 달하는 역대 최대 규모의 개인정보 유출 사고를 겪은 쿠팡의 한국인 계정이 중국 현지 온라인 쇼핑몰과 전문 거래 사이트에서 조직적으로 유통되고 있는 것으로 확인되면서 파장이 커지고 있다. 중국 최대 전자상거래 플랫폼인 타오바오(Taobao)에서는 한국인 명의의 쿠팡 계정이 최소 23위안에서 최대 188위안(한화 약 4700원~3만 9천원)에 거래되는 실태가 포착되었다. 계정 판매자들은 로그인 성공 여부를 보증하며 즉시 거래가 가능하다고 호객 행위를 하는 상황이다. 이는 쿠팡 측이 "이름, 주소, 배송 정보 등만 유출되었을 뿐, 비밀번호와 같은 직접적인 로그인 정보는 유출되지 않았다"고 주장한 공식 입장과 정면으로 배치되는 정황으로, 정보 유출의 심각성에 대한 재평가와 함께 2차 피해에 대한 우려가 확산되고 있다.

쿠팡 측은 이러한 계정 판매 현상에 대해 "이번 사건과는 무관하며 다크웹 등을 통해 다른 경로로 탈취된 계정일 가능성이 있다"며 유출 계정과의 연관성에 대해 선을 긋고 있다. 그러나 국회 과학기술정보방송통신위원회 긴급 현안 질의에 참석한 김승주 고려대 정보보호대학원 교수는 이같은 쿠팡의 해명에 대해 기술적으로 충분히 반박될 수 있는 시나리오가 존재함을 지적했다. 김 교수는 쿠팡 주장대로 단순히 API 토큰만 유출되었다면 계정 거래가 현실적으로 어렵겠지만, "내부자 관리가 느슨해 아이디와 비밀번호가 함께 유출되었다면 (판매되는 계정이 유출본일) 시나리오도 충분히 가능하다"고 설명하며 내부 유출 경로의 위험성을 강조했다. 실제로 이번 쿠팡 정보 유출 사고는 전직 중국인 개발자가 재직 당시 부여받은 권한을 악용해 저지른 내부자 소행으로 파악되고 있어, 기업의 내부 접근 통제 및 관리 시스템에 대한 근본적인 책임론이 더욱 부상하고 있다.

문제는 쿠팡에 국한되지 않고 네이버, 다음(Daum) 등 국내 주요 포털 계정 역시 중국 내 계정 거래 전문 사이트에서 조직적으로 유통되고 있다는 점이다. '77GAME' 등 전문 거래 사이트에서는 네이버 계정이 개당 29.99위안(한화 약 6200원)에 판매되고 있었으며, 다음·카카오 계정 역시 동일 가격대로 재고를 확보하고 있는 것으로 확인되었다. 해당 사이트는 구매자에게 계정의 "생존율"을 높이기 위한 치밀한 행동 강령까지 제시하는 등 전문적인 범죄 시스템을 구축하고 있었다. 이들이 제시한 행동 강령에는 "오염된 IP(污染IP)"로 로그인하지 말 것, 네이버 보안 문자를 우회하는 기술적 지침, 구매 즉시 비밀번호와 복구용 이메일을 변경할 것 등의 내용이 구체적으로 명시되어 있다. 여기서 "오염된 IP"는 여러 사용자나 매크로 운영자들이 반복 로그인에 사용해 플랫폼 보안 시스템에 위험 IP로 등록된 주소를 뜻하는 온라인 은어이다.

이들 거래 사이트에서는 출처가 불분명하거나 "훔친 계정(흑화호, 黑货号)"을 의미하는 은어를 사용하며 계정을 대량 거래하고 있어, 해당 계정들이 범죄에 악용될 가능성이 매우 높은 것으로 분석된다. 판매자가 구매자에게 "대량 구매 시 서로 다른 기기에서 분산 로그인하라"고 지시하는 행태는 해당 계정들이 스팸 발송, 여론 조작을 위한 "대포 계정" 혹은 매크로 운영에 사용될 가능성을 시사한다. 더 큰 문제는 유료 결제 기능이 연동될 수 있는 'API 키'가 포함된 챗GPT 등 생성형 인공지능(AI) 계정까지 거래되고 있다는 점이다. 이는 단순한 계정 도용을 넘어 금융 정보 탈취 및 금전적 피해로 직결될 수 있는 통로가 될 수 있다는 점에서 이용자들의 각별한 주의가 필요하다. 정부와 기업들은 이같은 불법 계정 거래 실태를 파악하고, 유출된 정보의 2차 확산 및 악용을 막기 위한 국제 공조를 포함한 신속하고 강력한 대응책을 마련해야 할 시점이다.