자체조사 끝났다더니…쿠팡, 뒤늦게 “16만5000건 정보 유출 추가 확인”

이름·전화번호·주소 유출
기존 사고 범위 내 추가 확인
개인정보위 검증 착수

쿠팡의 대규모 개인정보 유출 사태에 대해 ‘셀프 조사’로 증거를 인멸한 혐의를 받는 해롤드 로저스 쿠팡 한국 임시 대표가 피의자 신분으로 조사를 받기 위해 1월30일 서울경찰청으로 출석하며 입장을 밝히고 있다. (사진=연합뉴스)

지난해 11월 발생한 쿠팡의 대규모 개인정보 유출 사고 조사 과정에서 16만5000여개 계정의 개인정보가 추가로 유출된 사실이 확인됐다. 이는 새로운 사고가 아니라 기존 사고 범위 안에서 추가로 드러난 내용이다. 이에 따라 유출 계정 수는 기존 3370만개에서 3386만5000여개로 늘어났다.

쿠팡은 5일 해당 고객들에게 문자메시지를 통해 추가 유출 사실을 통지했다. 쿠팡은 “2025년 11월 발생한 개인정보 유출 당시 비정상적인 접근 경로를 즉시 차단하고 조치를 완료했다”며 “같은 사건 범위 내에서 16만5000여개 계정의 추가 유출이 확인됐다”고 밝혔다. 개인정보보호위원회는 쿠팡의 신고를 접수하고 즉각적인 검증에 착수할 방침이다. 이번 추가 유출 사실은 정부 합동조사단이 쿠팡 내부 시스템과 서버 등을 조사하는 과정에서 밝혀졌다.

쿠팡은 개인정보위 권고에 따라 고객에게 추가 유출 사실을 안내했다고 설명했다. 유출된 정보는 고객이 입력한 주소록 정보(이름·전화번호·주소)이며 결제 정보와 로그인 정보, 이메일, 주문 목록, 공동현관 비밀번호 등은 유출되지 않았다고 밝혔다. 쿠팡은 추가 유출 고객에게도 1인당 5만원 상당의 구매 이용권을 보상으로 지급할 예정이다. 아울러 출처가 불분명한 링크는 클릭하지 말고 관련 문자는 삭제·신고해 달라고 당부했다.

이번 추가 확인으로 쿠팡의 자체 조사 결과에 대한 신뢰성에도 의문이 제기되고 있다. 쿠팡은 지난해 12월 25일 자체 조사 결과를 발표하며 “고객 계정 약 3300만개의 기본 정보에 접근했지만 실제로 저장된 고객 정보는 약 3000개 계정뿐”이라고 밝혔다. 쿠팡은 당시 언스트앤영 등 최상위 글로벌 사이버 보안업체가 조사한 결과라며 신뢰할 만하다고 강조했으나, 합동조사단 조사에서 계정 유출이 추가로 확인돼 신빙성에 타격을 입게 됐다.

쿠팡은 추가 피해 계정에 대해 유출자의 다운로드 여부 등 구체적인 경위는 밝히지 않았다.