잠수부까지 동원된 쿠팡 해킹 증거찾기···“3000개 계정, 언론보도 접하고 불안감에 삭제”

쿠팡 물류센터 앞에 시민이 서 있다. 연합뉴스

3370만 고객 계정의 개인정보가 유출된 사태로 논란이 일고 있는 쿠팡이 유출자를 특정하고, 유출자가 실제 개인 PC와 노트북으로 저장한 개인 정보가 3000개 계정에 불과했다고 밝혔다. 저장된 정보에는 공동현관 출입번호 2609개도 포함됐으나 소비자 우려가 크던 결제정보·로그인·개인통관고유번호 정보는 없던 것으로 파악됐다. 현재는 저장된 정보도 모두 삭제됐으며, 외부로 유출된 정황이 없다는 것이 쿠팡의 입장이다.

쿠팡은 25일 “디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다”며 “유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”고 밝혔다.

진술에 따르면 유출자는 재직 중에 취득한 내부 보안 키를 탈취했다. 이어 개인용 데스크톱 PC와 맥북에어(MacBook Air) 노트북으로 해당 보안 키를 이용해 서버에 접속한 뒤 3300만 고객 계정에 접근했다. 그는 계정 가운데 일부인 3000여개 계정의 정보를 PC와 맥북에어 노트북에 저장했다. 저장된 정보는 이름, 이메일, 주소, 전화번호 등이다. 공동현관 출입번호 2609개도 포함됐다. 다만 결제정보·로그인·개인통관고유번호는 없었다.

유출자는 언론을 통해 데이터 유출 보도가 나오자 극도의 불안 상태에 빠져 증거의 은폐·파기를 시도했다고 진술했다. 진술에 따르면 그는 언론 보도를 접한 직후 저장돼 있던 고객 정보를 모두 삭제했다. 이어 맥북에어 노트북을 물리적으로 파손한 뒤 쿠팡 로고가 있는 에코백에 넣고 벽돌을 채워 인근 하천에 던졌다. 쿠팡은 유출자가 제공한 지도와 설명을 바탕으로 잠수부들을 동원해 해당 하천에서 노트북을 회수했다. 회수된 기기는 유출자의 진술대로 벽돌이 담긴 쿠팡 에코백 안에 들어 있었고, 일련번호 또한 유출자의 아이클라우드(iCloud) 계정에 등록된 일련번호와 정확히 일치한 것으로 파악됐다.

쿠팡은 제 3자에 의한 외부 유출 가능성에 대해 선을 그었다. 쿠팡 조사에 따르면 유출자는 단독으로 범행을 저질렀으며, 저장한 정보를 외부로 빼돌리지 않은 것으로 확인됐다.

쿠팡은 “사건 초기부터 포렌식 조사를 진행하기 위해서 전세계 최상위 3개 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 조사를 의뢰했다”며 “현재까지 조사 결과는 유출자의 진술 내용과 부합한다”고 밝혔다.

아울러 쿠팡은 지난 17일 유출자의 진술서 제출을 시작으로, 관련 장치 등 일체 자료를 확보하는 즉시 정부에도 제출해 왔다고 했다. 현재 진행 중인 정부기관의 관련 조사에도 성실히 협조해 왔다는 점을 강조했다.

쿠팡은 “향후 진행될 조사 경과에 따라 지속적으로 안내를 드릴 예정이며, 이번 사태로 인한 고객보상 방안을 조만간 별도로 발표할 예정”이라고 밝혔다. 이어 “앞으로도 고객들의 소중한 개인정보를 보호하기 위해 최선을 다할 것이고 2차 피해를 예방하는 데 최선을 다하겠다”고 덧붙였다.

노유정 기자