채비 29만명 개인정보 유출… 전기차 시대 ‘소리 없는 경고음’

고속도로 휴게소에 설치된 채비 충전기. 채비 제공

국내 대표 전기차 충전사업자 채비에서 약 30만건의 고객 개인정보가 유출됐다. 최근 전기차 보급 확대와 함께 충전 서비스 이용자가 급증하면서 충전사업자의 개인정보 보호 체계를 전반적으로 점검해야 한다는 지적이 나온다.

채비는 27일 고객들에게 문자메시지를 보내 “지난 23일 외부 불법 해킹 공격으로 개인정보 유출이 발생했으며 이를 인지한 즉시 공격 경로를 차단했다”고 밝혔다. 회사 측이 개인정보보호위원회와 한국인터넷진흥원(KISA)에 신고한 개인정보 유출 사고는 총 29만8333건이다.

유출 규모는 이메일 주소만 유출된 사례가 16만4858건으로 가장 많았다. 이메일과 암호화된 비밀번호가 함께 유출된 사례는 13만1411건이었다. 일부 이용자의 경우 이메일과 함께 성별, 생년월일 등의 개인정보도 포함됐다. 채비는 이름과 연락처, 비밀번호는 복호화가 불가능한 방식으로 암호화해 저장하고 있어 실제 식별이나 악용 가능성은 낮다고 설명했다.

그러나 업계에서는 개인정보가 외부로 유출됐다는 사실 자체가 심각한 사안으로 보고 있다. 국내 전기차 충전 시장은 채비, GS차지비, SK일렉링크, EVSIS, 한국전력 등 주요 충전사업자를 중심으로 경쟁이 이어지고 있다. 사업자별로 강점을 보이는 분야도 다르다. 채비는 급속충전 분야에서 국내 선두권 사업자로 꼽힌다. 약 2만기 이상의 충전기를 운영하며 고속 충전 인프라 확대를 주도하고 있다.

문제는 전기차 이용자가 늘어날수록 개인정보 유출 위험도 함께 커진다는 점이다. 국토교통부에 따르면 국내 전기차 누적 등록대수는 2022년 38만9855대에서 2023년 54만3900대로 약 39.5% 증가했다. 2024년 말에는 68만4000대로 늘어나 처음으로 60만대를 넘어섰다. 올해도 테슬라·BYD 등 전기차 업체의 국내 시장 확대가 이어질 것으로 전망된다. 이에 따른 충전 인프라 이용자가 늘어나면서 충전사업자 보유 개인정보 규모도 지속적으로 확대되고 있는 상황이다.

특히 전기차 이용자는 충전사업자별 애플리케이션이나 회원 가입 절차를 거쳐야만 충전 서비스를 이용할 수 있다. 사업자마다 별도 회원 가입과 본인 인증, 카드 등록 절차를 요구하는 경우가 대부분이다. 이용자 입장에서는 여러 충전사업자를 이용하기 위해 동일한 개인정보와 결제정보를 반복적으로 제공해야 하는 구조다. 충전사업자가 많을수록 개인정보가 여러 곳에 분산 저장되는 만큼 해킹이나 정보 유출 시 피해 범위도 커질 수밖에 없다.

전문가들은 충전 서비스 이용 구조 자체를 개선할 필요가 있다고 지적한다. 현재와 같은 사업자별 회원 가입 방식에서 벗어나 공동 인증 기반의 통합 인증체계를 구축하거나 차량 인증과 신용·체크카드, 간편결제 등 범용 결제수단만으로 충전이 가능한 환경을 마련하면 개인정보 수집을 최소화할 수 있다는 것이다. 해외에서는 신용카드 태그 결제나 플러그앤차지 기술을 활용해 별도의 회원 가입 없이 충전 서비스를 제공하는 사례도 확산되고 있다.

업계에서는 개인정보 보호를 위한 사업자 관리 책임 강화가 필요하다고 입을 모은다. 지난 2024년 한국학술지인용색인(KCI)에 등재된 ‘개인정보보호 법제도의 인식이 개인정보보호 태도와 행동에 미치는 영향에 관한 연구’에 따르면 개인정보 유출이 반복되는 원인을 해킹 기술 고도화보다 조직 관리체계 미흡에서 찾고 있다. 개인정보 보호는 정책 수립에 그치는 게 아니라 접근권한 관리·내부 점검·임직원 교육·사고 대응 훈련 등 지속적인 운영 체계 확립이 핵심이라는 분석이다.

사고 이후 피해자 보호와 보상 체계가 미흡하다는 점도 개선 과제로 꼽힌다. 이번 채비 사고 역시 이용자 보상 방안은 제시되지 않았다. 앞서 쿠팡 개인정보 유출 사고에서도 피해 이용자에게 서비스 쿠폰 외에 실질적인 보상책이 부족했다는 비판이 제기됐다. 현행 개인정보보호법상 민간 기업은 매출액 기준 최대 3%까지 과징금을 부과받지만 대부분 이 수준에 미치지 못한다.

김종훈 한국자동차품질연합 대표는 “전기차 충전 서비스는 이용자가 확대될수록 회원 정보와 결제 정보, 충전 이력 등 관리해야 할 데이터도 함께 늘어나는 구조”라며 “정전이나 시스템 장애에 대비해 대응 체계를 마련하듯 개인정보 유출 역시 발생 가능성을 전제로 사전 점검과 대응 체계를 갖춰야 한다”고 강조했다. 이어 “충전 사업자 선정과 운영 과정에서도 개인정보 보호 역량과 사고 대응 체계를 중요하게 평가해야 한다”고 덧붙였다. 정진수 기자 [e-mail]