중소기업 PII 노출 99% 위험합니다

대표님, 혹시 한국 가족들한테서 이런 얘기 들으셨나요? “쿠팡에서 미안하다고 5만원 상품권 줬어.” 맞습니다. 작년에 터진 쿠팡 개인정보 (PII) 유출 사태 보상입니다. 무려 3,370만 명, 사실상 한국의 경제활동 인구 전체가 이름, 전화번호, 집 주소, 주문 내역까지 털렸거든요. 그리고 지난 6월 11일, 한국 개인정보보호위원회가 쿠팡에 역대 최대인 6,249억원, 약 4억 달러 벌금을 때렸습니다.

그런데 이 사건에서 제일 무서운 건 벌금 액수가 아닙니다. 범인이 외부 해커 집단이 아니었다는 거예요. 쿠팡의 인증 시스템을 직접 만들었던 전직 직원 한 명이, 퇴사하면서 시스템 열쇠(signing key)를 그대로 들고 나간 겁니다. 회사는 그 열쇠가 밖에 나가 있는지도 몰랐구요.

혹시 이런 적 있으신가요? 몇 달 전에 그만둔 직원이 아직도 POS 비밀번호를 알고 있고, 가게 Wi-Fi 비밀번호도 그대로고, 보안 카메라 앱 계정도 안 바꾼 상태. 사실 이건 쿠팡이랑 똑같은 상황이거든요. 규모만 다를 뿐입니다. 오늘은 이 4억 달러짜리 사건에서 대표님 가게가 공짜로 배울 수 있는 교훈 3가지를 정리해 드릴게요.

쿠팡 개인정보 (PII) 유출, 정확히 무슨 일이 있었나요?

간단히 정리해 드리면 이렇습니다. 2025년 6월부터 전직 직원이 몰래 시스템에 접속하기 시작했고, 회사가 이걸 발견해서 공개한 건 그해 11월이었습니다. 다섯 달 동안 아무도 몰랐다는 거죠. 그 사이 3,370만 계정의 개인정보가 빠져나갔습니다.

결과는요? 벌금 4억 달러에, 피해자 전원에게 5만원씩 보상 상품권을 뿌리느라 총 11억 7천만 달러가 나갔습니다. 지난주 7월 2일에는 미국 하원 법사위원회까지 이 사건 관련 보고서를 내면서 미국 뉴스에도 올랐구요. 한 사람이 들고 나간 열쇠 하나의 값이 이렇게 큽니다.

대표님 입장에서 기억하실 핵심은 딱 하나입니다. 보안 사고의 상당수는 밖에서 뚫고 들어오는 게 아니라, 안에서 이미 열쇠를 가진 사람한테서 시작된다는 것. 실제로 IT 책임자들의 53%가 퇴사자 계정 관리를 보안에서 제일 무서운 구멍으로 꼽습니다.

대표님 사업체가 쿠팡보다 더 위험한 이유

“에이, 우리 가게는 작아서 노릴 것도 없어요.” 이런 말씀 많이 하시는데요, 사실 이건 반대거든요. 쿠팡은 4억 달러를 맞고도 살아남습니다. 하지만 스몰비즈니스는 그게 안 됩니다. 2025년 VikingCloud 조사를 보면, 소상공인 10명 중 4명이 10만 달러짜리 사이버 사고 한 번이면 폐업이라고 답했습니다.

그리고 미국에도 비슷한 사건이 이미 있었습니다. Cash App을 만든 Block에서 퇴사한 직원이 계정이 살아있는 틈에 고객 800만 명 데이터를 내려받은 사건인데요. 대기업도 퇴사 처리 하나를 제대로 못 해서 이렇게 됩니다. 직원이 서너 명인 가게에서 “퇴사자 계정 정리”라는 절차 자체가 없는 경우, 사실 문은 계속 열려 있는 거예요.

식당이나 리테일 가게에서 제가 실제로 자주 보는 장면이 있습니다. POS 관리자 비밀번호가 1234이고, 전 직원이 같은 코드로 로그인하고, 그만둔 매니저가 아직 보안 카메라 앱에 로그인이 되어 있는 상태. 이러면 누가 언제 뭘 했는지 기록도 안 남고, 문제가 생겨도 원인을 못 찾습니다.

교훈 1: 퇴사하는 날, 계정도 같이 퇴사시키세요

첫 번째 교훈은 제일 간단하면서 제일 많이 놓치는 겁니다. 직원이 마지막 근무를 마치는 날, 그 직원의 모든 접근 권한도 같이 끝나야 합니다. 쿠팡도 이거 하나를 안 해서 4억 달러를 냈거든요.

다행히 대표님이 쓰시는 POS에는 이 기능이 이미 들어 있습니다. Square는 직원마다 개인 passcode를 무료로 만들 수 있고, Team Plus(월 $35)로 올리면 권한 등급까지 세밀하게 나눌 수 있습니다. Toast나 Clover도 마찬가지로 직원별 로그인과 역할별 권한(role-based permission) 기능이 기본으로 있구요. 설정에 30분이면 됩니다. 돈이 드는 게 아니라 시간만 드는 일이에요.

포인트는 “공유 계정 금지”입니다. 전 직원이 같은 코드를 쓰면 한 명이 나갈 때마다 전체 코드를 바꿔야 하는데, 현실적으로 아무도 안 바꾸거든요. 처음부터 1인 1계정으로 가면 퇴사자 것만 끄면 끝납니다.

교훈 2: 같은 비밀번호 돌려쓰기, 이번 기회에 끊으세요

두 번째는 비밀번호입니다. 가게 이메일, 벤더 사이트, 은행, 배달 앱 계정 비밀번호가 전부 같거나, 계산대 옆 포스트잇에 적혀 있는 가게, 진짜 많습니다. 이러면 비밀번호 하나가 새는 순간 전부 뚫리는 거예요.

해결책은 password manager(비밀번호 관리 프로그램)입니다. Bitwarden Teams는 직원 1인당 월 $4, 1Password Business는 월 $7.99인데요, 직원 5명 가게 기준으로 한 달에 커피 몇 잔 값입니다. 직원한테 비밀번호 자체를 알려주지 않고 접근 권한만 주고, 퇴사하면 클릭 한 번으로 회수됩니다. 이걸 쓰면 “그만둔 직원이 우리 계정 비밀번호를 안다”는 문제 자체가 사라지는 거죠.

여기에 하나만 더 얹으면 MFA(2단계 인증)입니다. 은행이랑 이메일만이라도 꼭 켜 두세요. 무료고, 5분이면 되고, 비밀번호가 새도 계정은 지킬 수 있습니다.

교훈 3: 손님 Wi-Fi랑 가게 Wi-Fi, 분리하세요

세 번째는 네트워크입니다. 손님용 Wi-Fi, 직원 휴대폰, POS 단말기가 전부 같은 네트워크에 물려 있는 가게가 의외로 많거든요. 이건 가게 금고를 손님 대기실에 놓아두는 것과 같습니다.

요즘 라우터는 guest network(손님용 분리 네트워크) 기능이 거의 다 내장되어 있습니다. 지금 쓰시는 공유기 설정에서 켜기만 하면 무료구요. 장비를 바꾸실 거면 UniFi나 TP-Link Omada 같은 비즈니스용 라우터가 $100~200대에서 시작합니다. 원칙은 간단합니다. 결제가 지나가는 네트워크에는 POS만, 나머지는 전부 다른 망으로.

오늘 당장 하는 30분 보안 점검

거창한 것 말고, 오늘 마감하고 30분만 쓰시면 되는 체크리스트입니다.

1. 지난 1년 안에 그만둔 직원 이름을 적고, POS, 보안 카메라 앱, 이메일, 배달 앱에 그 사람 계정이 살아있는지 확인해서 전부 삭제하세요.
2. POS 관리자 비밀번호와 가게 Wi-Fi 비밀번호를 오늘 날짜로 변경하세요.
3. POS에서 직원별 개인 로그인 기능을 켜고, 공유 코드는 없애세요.
4. 은행과 이메일 계정에 MFA(2단계 인증)를 켜세요.
5. 공유기 설정에서 guest network를 켜서 손님용과 가게용 Wi-Fi를 분리하세요.

자주 묻는 질문

오늘 밤 마감하고 딱 하나만 하신다면

쿠팡은 4억 달러를 내고 이 교훈을 배웠습니다. 대표님은 오늘 밤 마감하고 30분이면 같은 교훈을 공짜로 가져가실 수 있어요. 딱 하나만 하신다면, 위 체크리스트 1번부터 하세요. 그만둔 직원 계정이 아직 살아있는지 확인하는 것. 제 경험상 열에 일곱은 하나 이상 나옵니다.

한얼닷컴에서는 앞으로도 한인 대표님들 가게에 바로 적용할 수 있는 테크 이야기를 계속 다룰 예정입니다. 대표님 가게는 어떠세요? 퇴사 직원 계정 정리, 혹시 지금 확인해보니 살아있는 계정이 나왔다면 댓글로 알려주세요. 다음 글에서 상황별 정리 방법을 더 자세히 다뤄볼게요!

Keeping the Spirit of Korea Alive in the U.S.