[신문고뉴스] 김성호 기자 = 3천3백만 명이라는 대규모 개인정보 유출 논란에 휩싸였던 쿠팡의 '개인정보 유출사건'의 윤곽이 드러났다. 쿠팡은 25일 고객 개인정보에 무단 접근한 전직 직원을 특정해 검거했고, 범행에 사용된 모든 전자기기와 저장장치를 회수했으며, 현재까지 외부 유출 정황은 확인되지 않았다고 밝혔다.

▲ 쿠팡 본사 모습

쿠팡에 따르면 유출자는 전직 직원으로 재직 당시 취득한 내부 보안 키를 탈취해 고객 계정 약 3,300만 건에 접근했다.

다만 실제로 개인용 데스크톱 PC와 맥북에어(MacBook Air)에 저장한 정보는 약 3,000개 계정에 한정된 것으로 조사됐다. 저장된 정보에는 이름, 이메일, 주소, 전화번호, 일부 주문 정보와 함께 공동현관 출입번호 2,609개가 포함됐다.

쿠팡은 결제정보, 로그인 관련 정보, 개인통관번호 등 민감 정보에는 접근이 이뤄지지 않았다고 강조했다. 이를 확인하기 위해 글로벌 사이버 보안 업체인 맨디언트(Mandiant), 팔로알토 네트웍스(Palo Alto Networks), 언스트앤영(EY) 등 3곳에 정밀 조사를 의뢰했고, 해당 결과 역시 유출자의 진술과 일치했다고 밝혔다.

사건은 여기서 그치지 않았다. 유출자는 언론 보도를 접한 뒤 증거 인멸을 시도한 것으로 드러났다. 그는 저장돼 있던 고객 정보를 삭제한 뒤, 맥북에어 노트북을 물리적으로 파손해 쿠팡 로고가 찍힌 에코백에 벽돌과 함께 넣어 인근 하천에 투기했다고 진술했다.

쿠팡은 유출자가 제공한 지도와 설명을 토대로 잠수부를 투입해 하천을 수색했고, 실제로 노트북을 회수했다. 해당 노트북의 일련번호는 유출자의 아이클라우드 계정에 등록된 것과 정확히 일치한 것으로 확인됐다.

포렌식 조사 결과, 쿠팡 시스템에 대한 불법 접근은 유출자가 진술한 대로 1대의 PC와 1대의 애플 시스템을 통해 이뤄졌으며, 제출된 데스크톱 PC와 4개의 하드 드라이브에서는 공격에 사용된 스크립트도 발견됐다. 쿠팡은 “현재까지 조사 결과 유출자의 진술과 모순되는 증거는 발견되지 않았다”며 “단독 범행으로 파악하고 있다”고 밝혔다.

쿠팡은 “고객 정보 중 제3자에게 전송된 데이터는 일체 없으며, 유출에 사용된 모든 장치와 저장장치는 검증된 절차에 따라 회수돼 안전하게 확보됐다”고 거듭 강조했다.

이어 “이번 개인정보 유출로 고객과 국민 여러분께 큰 우려와 불편을 끼친 점에 대해 책임을 통감하며 진심으로 사과드린다”고 밝혔다.

아울러 쿠팡은 향후 수사 및 조사 진행 상황을 지속적으로 안내하고, 고객 보상 방안도 조만간 별도로 발표할 예정이라고 덧붙였다. 이번 사건은 대규모 플랫폼 기업의 내부 보안 관리와 전직 직원에 대한 접근 통제, 그리고 사후 대응 체계 전반에 대한 점검 필요성을 다시 한 번 부각시키고 있다.

#쿠팡 #개인정보유출 #전직직원단독범행 #포렌식조사 #노트북회수 #외부유출없음 #사이버보안 #플랫폼책임 #고객정보보호