대만 "쿠팡 개인정보 관리 결함…절차 따라 후속 처분"

대만회원 개인정보 20만건 유출 관련

[사진=로이터연합뉴스]

대만 정부가 쿠팡의 대규모 개인정보 유출 사태에 관한 행정조사에서 쿠팡의 관리상 결함이 발견됐다며 법적 처분을 예고했다.

대만 디지털발전부 디지털산업서는 26일 공고를 통해 전날 오전 법률 및 정보보안 전문가, 형사 경찰국, 국가사이버보안연구원으로 구성된 행정조사팀이 쿠팡 대만법인을 찾아 행정 검사를 실시한 결과 쿠팡 대만법인의 개인정보 관리 체계에 결함이 있다는 것을 발견했다고 밝혔다.

이어 "'개인정보보호법'과 '디지털경제 관련산업 개인정보 파일 안전 보호 관리 방법' 등 관련 규정에 따라 포렌식 분석과 추가 조사를 지속할 것"이라며 조사 결과에 따라 후속 처분을 하겠다고 강조했다.

조사에 따르면 쿠팡 한국법인 퇴직자인 공격자는 2000여개의 서로 다른 IP 주소를 통해 쿠팡 대만 사용자 20만4552명의 개인정보에 접근했다. 접근된 개인정보는 이름과 이메일, 전화번호, 배송 주소, 일부 주문 기록 등이다.

쿠팡 대만법인이 앞서 대만과 한국의 사용자 데이터베이스가 분리됐다고 설명해왔으나 조사 결과 서로 다른 데이터베이스의 백업키가 동일해 접근이 가능하다는 점이 발견됐다고 대만 측은 밝혔다.

대만 디지털산업서는 쿠팡 측의 '늑장 통보'도 지적했다. 작년 11월 쿠팡의 개인정보 유출 사건이 발생한 직후 쿠팡 대만법인에 설명을 요청했고, 당시 쿠팡 측은 공개 성명으로 대만 소비자의 개인정보가 유출됐다는 증거가 발견되지 않았다고 발표했다. 이후 디지털산업서는 지난해 12월 24일에 현지 행정 검사를 했으나 쿠팡은 보안업체가 조사 중이며 당시 조사에서 대만 사용자 영향이 있다는 증거가 없다는 입장을 반복했고, 이는 올해 1월 12일·26일, 이달 9일에도 마찬가지였다는 것이다.

그러나 한국 정부가 2월 10일 발표한 조사 결과에 공격자가 지난해 11월 쿠팡 한국법인에 보낸 이메일에서 한국·일본·대만의 사용자가 모두 개인정보 유출의 영향을 받을 것이라고 언급한 내용이 포함되자, 쿠팡 대만법인은 그 이후인 2월 23일이 돼서야 대만 측에 개인정보 유출 사실이 확인됐다고 통보했다는 지적이다.