쿠팡Inc “공동현관 유출 계정, 5만개 아닌 2609개…정부 보고서 누락”

“2차 피해 확인 안돼” 강조

6일 오전 서울 도심 내 한 쿠팡 배송 물류센터의 모습. 임세준 기자

[헤럴드경제=김진 기자] 쿠팡 모회사인 쿠팡 아이엔씨(Inc.)는 10일 개인정보를 유출한 범인이 조회한 배송지 주소 등 정보가 1억5000만건에 달한다는 정부 민관합동조사단의 발표를 공개 반박했다.

쿠팡 Inc는 입장문을 통해 “민관합동조사단 보고서는 해당 전 직원이 공용현관 출입 코드에 대해 5만 건의 조회를 수행했다고 기재하면서도, 해당 조회가 실제로는 단 2609개 계정에 대한 접근에 한정된 것이라는 검증 결과는 누락하고 있다”고 지적했다.

쿠팡Inc에 따르면 중국 국적의 전 직원 A씨는 지난해 3300만개 이상의 고객 계정이 포함된 데이터에 접근해 약 3000개 계정 정보를 저장했다. A씨는 자체 소프트웨어 프로그램으로 약 1억4000만회의 자동 조회를 수행했다. 이 중 공용현관 출입 코드가 포함된 계정은 2609개다.

특히 쿠팡Inc는 “쿠팡 개인정보 사고로 인한 2차 피해의 어떤 증거도 확인되지 않았다”는 점을 여러 차례 강조했다.

쿠팡Inc는 “다수의 독립 인터넷 보안 전문 업체가 다크웹, 딥웹, 텔레그램, 중국 메신저 플랫폼 등을 지속적으로 모니터링하여 그 결과를 주간 단위로 쿠팡에 전달하고 있다”며 “데이터 유출 발생 시점부터 현재까지, 이들 모니터링 결과에서 2차 피해와 연관된 다크웹 활동은 단 한 건도 확인되지 않았다”고 했다.

이어 “쿠팡은 조사 과정 전반에 걸쳐 대한민국 정부에 관련 분석 결과를 제공해 왔고 앞으로도 지속적으로 모니터링하며 업데이트를 제공할 예정”이라고 했다.

쿠팡Inc는 2차 피해에 대한 경찰의 앞선 발표에 대해서도 불편함을 드러냈다. 쿠팡Inc는 “2025년 12월 5일, 대한민국 경찰청 수사본부는 모니터링 결과를 토대로 ‘배송지 정보, 주문 정보 등 쿠팡에서 유출된 정보 유형이 악용된 2차 피해 관련 의심 사례는 확인되지 않았다’고 발표했다”고 했다.

이어 “하지만 이후 쿠팡 관련 국회 청문회를 앞둔 2025년 12월 15일, 경찰은 ‘현 단계에서는 2차 피해 발생 여부를 단정하기 어렵다’고 발표했습다”며 “해당 발언 이후 약 두 달이 지난 현재까지도, 경찰이 확인해 발표한 2차 피해 사례는 없다”고 강조했다.

한편 과학기술정보통신부는 10일 정부서울청사에서 쿠팡 침해 사고에 관한 민관합동조사 결과 전 직원 A씨가 유출한 개인정보 규모가 3300만건을 넘는다고 발표했다. 범인이 들여다본 배송지 주소 등 정보는 1억5000만건에 이른다고 발표했다.

조사단은 세부적인 개인정보 유출 규모가 개인정보보호위원회에서 확정될 것이라고 했다. 다만 조사단은 1억4000만여회의 ‘조회’ 건수와 관련해 “조회가 유출을 의미한다”고 했다.