[디지털타임스 김아름 기자] 티몬이 또 명의도용 사태에 휩싸였다. 이번에는 아이디와 비밀번호만 알면 가입자의 이름이나 핸드폰번호를 얼마든지 바꿀 수 있는 시스템이 문제가 됐다.
16일 업계에 따르면 최근 티몬의 간편결제인 티몬페이를 사용하는 고객 중 일부가 명의 도용으로 인한 피해를 입었다.
문제는 티몬의 개인정보·결제정보 입력 시스템에 있다. 티몬페이 비밀번호를 바꿀 때는 등록된 핸드폰 번호로 인증을 받아야 하는데 추가 본인인증 없이 타인 명의의 핸드폰을 등록할 수 있다. 아이디와 비밀번호만 있으면 얼마든지 결제 비밀번호를 바꿀 수 있다는 뜻이다. 국내 소비자들의 아이디와 비밀번호가 수 차례의 대규모 해킹 사고들에 의해 사실상 '공개'돼 있다는 점을 고려하면 치명적인 문제다. 해킹범은 이를 이용해 자신의 핸드폰 번호와 아이디를 연동한 뒤 모바일 상품권을 결제한 것으로 알려졌다.
이 때문에 이번 명의도용 이슈는 외부 해킹 등에 따른 '사고'가 아닌 티몬이 결제 보안 인증의 기본을 지키지 않은 데서 온 '인재'라는 지적이 나온다.
쿠팡이나 위메프의 경우 핸드폰 번호는 바꿀 수 있지만 가입자명을 바꿀 수 없어 타인 명의의 핸드폰으로 결제 비밀번호를 바꾸는 것은 불가능하다. G마켓과 옥션, 11번가는 가입자 명의의 번호로 본인 인증을 해야만 변경이 가능하다.
사고가 터지자 티몬은 지난 14일 오후 티몬페이 이용을 일시 중단했다가 15일 재개했다. 하지만 16일 티몬에서 타인 명의의 핸드폰 번호 변경과 결제 비밀번호 교체를 시도해 본 결과 여전히 타인의 핸드폰으로 인증을 받아 결제 비밀번호를 바꿀 수 있었다. 개선된 것은 바뀐 번호와 바뀌기 전 번호 양 쪽으로 알람이 가도록 한 것 뿐이다. 이에 일각에서는 티몬이 17일 티몬데이를 위해 너무 성급하게 서비스를 재개한 것 아니냐며 비판하고 있다.
네티즌들도 SNS와 커뮤니티 등에서 "더 피해를 봐야 그만두는 건지", "뭔가 대책을 세운 줄 알았더니 달라진 게 없다", "그냥 탈퇴했다" 등의 반응을 보였다.
한 업계 관계자는 "가입자 이름이나 핸드폰 번호를 변경할 때 추가 인증을 해야 하는 것은 기본적인 상식"이라며 "근본 원인을 해결하지 않은 채 서비스를 재개한 것은 성급하다는 생각이 든다"고 말했다.
이에 대해 티몬 관계자는 "현재 티몬페이를 이용한 상품권 결제는 막아둔 상태"라며 "배송 제품에서는 문제가 생길 우려가 없어 티몬페이 이용을 재개했다"고 해명했다.
이어 "문제가 된 부분을 최우선적으로 개선하는 작업을 진행하고 있다"고 덧붙였다.
티몬이 해킹 이슈에 엮인 것은 이번이 처음이 아니다. 지난 6월에도 티몬페이에서 명의 도용 사건이 발생, 경찰 수사가 이뤄진 바 있다. 2016년에도 3750만원 규모의 문화상품권 피해 사고가 있었다. 서비스 초기인 2011년에는 회원 113만명의 개인정보가 유출되는 해킹 피해를 입기도 했다.
김아름기자 armijjang@dt.co.kr
티몬페이 이용이 재개된 15일에도 여전히 타인 명의의 핸드폰으로의 변경과 티몬페이 결제비밀번호 변경이 가능했다. <김아름 기자>
