쿠팡 개인정보 3367만건 유출...쿠팡 "제3자 열람 정황 없어"

3367만건 유출 확인…배송지 정보 1억4800만회 조회

금융 데이터 등에는 미접근…"2차 피해 증거 없다"

서울의 한 쿠팡 캠프 모습. [사진=연합뉴스]

쿠팡 전 직원이 유출한 개인정보 규모가 정부의 당초 추정치인 3300만건을 웃도는 것으로 확인된 가운데 쿠팡은 해당 데이터가 추가로 제3자에 의해 열람되거나 활용된 정황은 없다고 해명했다.

쿠팡은 10일 "중국 국적의 전 직원이 3300만명 이상 고객 계정이 포함된 데이터에 부적절하게 접근해 약 3000개 계정 정보를 저장했고, 소프트웨어 프로그램으로 약 1억4000만 자동 조회를 수행했다"고 밝혔다. 이는 유출된 계정에 담긴 이름과 전화번호 등 정보를 1억5000만 차례 조회한 시도가 있었을 뿐, 1억5000만건이 실제 유출 규모를 의미하는 것은 아니라는 설명이다.

쿠팡은 또 "개인정보 유출에 사용된 전 직원의 모든 기기를 회수했으며, 해당 직원이 약 3000개 사용자 계정 데이터를 보관했다가 이후 모두 삭제했다는 진술과 디지털 포렌식 결과가 일치한다"고 설명했다.

아울러 해당 직원이 금융·결제 데이터, 사용자 이름과 비밀번호, 정부 발행 신분증 등 고도의 민감 정보에는 접근하지 않았다고 강조했다. 접근 내역은 이름, 이메일 주소, 전화번호, 배송 주소, 일부 주문 내역, 건물 로비 출입 코드 등에만 한정됐다고 부연했다. 이같은 내용은 클라우드 플랫폼 제공업체 아카마이의 보안 로그를 통해 확인됐다고 덧붙였다.

쿠팡은 "독립 보안 회사 CNS 분석 결과 이번 사건으로 인한 2차 피해 증거는 없다"며 "다크웹, 딥웹, 텔레그램, 중국 메시지 플랫폼을 모니터링하는 여러 독립 인터넷 보안 회사로부터 매주 업데이트를 받고 있다"고 했다. 이어 "유출 시점 이후 현재까지 관련 다크웹 활동이나 한국 사용자 대상 2차 피해는 확인되지 않았다"며 "조사 기간 한국 정부에 관련 사항을 공유했고, 앞으로도 지속적으로 모니터링하고 업데이트를 제공할 계획"이라고 했다.

앞서 과학기술정보통신부는 이날 정부서울청사에서 쿠팡 침해 사고에 대한 민관 합동 조사 결과를 잠정 발표했다. 과기정통부는 지난해 11월 29일부터 남아 있는 쿠팡 웹 접속기록(로그) 25.6테라바이트(TB) 분량을 분석한 결과 '내 정보 수정 페이지'에서 이용자 이름과 이메일 3367만여 건이 유출된 사실을 확인했다고 밝혔다. 특히 배송지 관련 정보 조회 횟수는 1억5000만건에 달하는 것으로 알려졌다.