쿠팡 "개인정보 유출자 자백…외부 전송 없었다"

유출자 자백…"3천개 계정 정보만 저장 후 모두 삭제"
PC·하드서 공격 스크립트 발견…"조사·진술 일치"
글로벌 상위 사이버 보안업체에 의뢰해 조사 진행

그래픽=비즈워치

쿠팡이 최근 개인정보 유출 사태와 관련해 전직 직원을 유출자로 특정했으며 고객 정보의 외부 전송은 없었던 것으로 조사됐다고 25일 밝혔다.

쿠팡은 이날 보도자료를 통해 "디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다"며 "유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다"고 밝혔다.

쿠팡과 사이버 보안 업체 조사에 따르면 유출자는 탈취한 보안 키로 쿠팡 고객 계정 3300만개에 접근했으나 이 중 약 3000개 계정의 정보만 저장했다. 이 3000개 계정 정보에는 이름, 이메일, 전화번호, 주소, 일부 주문정보만 포함됐다. 이 중 공동현관 출입번호가 포함된 건은 2609개였다.

유출자는 언론보도를 접한 후 저장했던 정보를 모두 삭제했으며 제3자에게 전송된 데이터는 없는 것으로 조사됐다. 결제정보, 로그인 관련 정보, 개인통관번호에 대한 접근은 없었다는 것이 쿠팡 측의 설명이다.

국내 이커머스 시장 1위 업체인 쿠팡에서 3천만건이 넘는 대규모 정보 유출 사고가 발생했다. 쿠팡은 현재까지 고객 계정 약 3천370만개가 유출된 것을 확인했다. 사진은 수도권의 한 쿠팡물류센터 모습./사진=이명근 기자 qwe123@

유출자는 재직 중 취득한 내부 보안 키를 탈취해 개인 PC와 맥북 에어로 공격을 시도했다고 진술했다. 쿠팡은 유출자가 제출한 데스크톱 PC와 하드디스크 드라이브 4개를 분석한 결과 공격에 사용된 스크립트를 발견했다고 밝혔다.

쿠팡은 유출자가 "맥북 에어를 파손한 뒤 쿠팡 에코백에 벽돌을 채워 하천에 던졌다"고 진술함에 따라 해당 하천을 수색해 노트북을 회수했다. 쿠팡은 "현재까지 조사 결과는 유출자의 진술 내용과 부합하며 모순되는 증거가 발견되지 않았다"고 밝혔다.

쿠팡은 사건 초기부터 엄격한 포렌식 조사를 위해 최상위 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 의뢰해 조사를 진행해왔다. 유출자의 진술 검증도 병행했다. 또 지난 17일 유출자의 진술서 제출을 시작으로 관련 자료를 정부에 제출해왔다.

쿠팡은 "개인정보 유출로 수많은 국민이 걱정과 불편을 겪게 된 것에 진심으로 사과드린다"며 "향후 진행될 조사 경과에 따라 지속적으로 안내를 할 예정이며 고객 보상 방안을 조만간 별도로 발표할 것"이라고 밝혔다.

정혜인 (hij@bizwatch.co.kr)

ⓒ비즈니스워치의 소중한 저작물입니다. 무단전재와 재배포를 금합니다.