쿠팡 "유출자 특정, 탈취 장비 회수… 3000개 정보 저장 후 삭제 확인"

전직 직원의 소행… 맨디언트 등 글로벌 보안 업체와 포렌식 조사 진행
"3370만 건 접근했으나 실제 저장은 극소수, 제3자 유출 없어"

쿠팡이 최근 발생한 대규모 고객 정보 유출 사태와 관련해 유출자를 특정하고, 유출에 사용된 모든 장치를 회수했다. 쿠팡이 개인정보 유출 사고와 관련해 경찰이 압수수색을 진행한 지난 9일 서울 송파구 쿠팡 본사 의 모습. /사진=뉴스1 이호윤 기자

쿠팡은 포렌식 조사를 통해 범인인 전직 직원을 특정하고 탈취 장비를 모두 회수했다. 당초 우려와 달리 실제 저장된 정보는 전체 회원 수의 극히 일부인 3000여 명 수준이며, 민감한 결제 정보나 개인통관고유번호 등은 포함되지 않은 것으로 확인됐다.

쿠팡이 최근 발생한 대규모 고객 정보 유출 사태와 관련해 유출자를 특정하고, 유출에 사용된 모든 장치를 회수했다고 25일 밝혔다. 초기 우려와 달리 실제 저장된 정보는 제한적이며, 외부 유출 정황은 없는 것으로 파악됐다.

쿠팡은 이번 사태에 대해 "개인정보 유출로 수많은 국민께 걱정과 불편을 끼쳐드린 점에 대해 책임을 통감하며 진심으로 사과드린다"고 고개를 숙였다. 이어 정부 기관과 협력하여 사태 수습에 만전을 기하고 있다고 설명했다.

조사 결과 이번 사건은 전직 직원의 소행으로 밝혀졌다. 쿠팡 측은 디지털 지문 등 포렌식 증거를 활용해 유출자를 특정했으며 해당 인물은 범행 일체를 자백하고 구체적인 접근 방식을 진술했다. 쿠팡은 범행에 사용된 하드 드라이브 등 모든 장치를 회수해 안전하게 확보했으며 지난 17일부터 관련 자료를 정부에 제출하고 조사에 협조하고 있다.

쿠팡은 사건 초기부터 정확한 피해 규모 파악을 위해 맨디언트(Mandiant), 팔로알토 네트웍스(Palo Alto Networks), 언스트앤영(Ernst & Young) 등 세계적인 사이버 보안 업체 3곳에 포렌식 조사를 의뢰했다.

현재까지 진행된 조사 결과는 유출자의 진술과 일치하는 것으로 나타났다. 조사에 따르면 유출자는 탈취한 보안 키를 이용해 약 3370만개의 고객 계정에 접근 권한을 가졌으나, 실제로 저장한 데이터는 약 3000개 계정에 불과했다.

저장된 정보에는 이름, 이메일, 전화번호, 주소 및 일부 주문 정보가 포함됐다. 민감한 정보인 결제 정보, 로그인 정보, 개인통관고유번호 등은 유출되지 않은 것으로 확인됐다. 논란이 되었던 공동현관 출입번호의 경우 2609개가 포함된 것으로 파악됐다.

우려됐던 2차 피해 가능성에 대해서는 선을 그었다. 쿠팡 측은 "유출자가 언론 보도를 접한 직후 저장했던 정보를 모두 삭제했으며 조사 결과 고객 정보가 제3자에게 전송되거나 외부로 유출된 정황은 전혀 발견되지 않았다"고 강조했다.

쿠팡 관계자는 "이번 사태를 엄중하게 받아들이고 있으며, 향후 유사한 사고가 재발하지 않도록 보안 시스템을 대폭 강화하고 내부 통제를 철저히 하겠다"고 밝혔다.

황정원 기자 jwhwang@mt.co.kr