[이슈+] 쿠팡 개인정보 유출 '2차 피해'는 없었다

"접근했지만 외부전송·결제 No"…정부 발표 동일, 신뢰도 상승

쿠팡 물류센터 차량. [사진=쿠팡]

쿠팡 개인정보 유출 사태와 관련해 '2차 피해 우려가 없다'는 쿠팡의 주장이 쿠팡 침해사고 합동조사단의 조사결과 발표를 통해 확인됐다. 이를 두고 일각에서는 쿠팡의 조사결과에 대한 신뢰도가 높아질 것이라는 의견이 제기될 수 있다.

11일 관련업계에 따르면, 쿠팡 개인정보 유출 사건을 조사 중인 합동조사단은 지난 10일 "웹 접속기록(로그) 등을 기반으로 성명과 이메일 3367만건 유출이 확인됐다"며 "공격자는 전화번호나 주소 등이 포함된 쿠팡의 배송지 목록 페이지와 이용자 주문 목록 페이지를 1억5000만회가량 조회한 사실이 드러났다"고 발표했다.

정확한 개인정보 유출 규모는 향후 개인정보보호위원회에서 알릴 예정이다.

특히 합동조사단은 쿠팡으로부터 제출받은 공격자 PC 저장장치(HDD 2대, SSD 2대) 및 현재 재직 중인 쿠팡의 개발자 노트북에 대한 포렌식 분석 결과도 공개했다. 공격자가 타인 계정으로 무단 접속해 유출정보를 해외 소재 클라우드 서버로 전송할 수 있는 기능을 확인한 것이다.

합동조사단은 "실제 전송이 이뤄졌는지 여부에 대해선 기록이 남지 않아 확인할 수 없다"며 "현재까지 다크웹 등 다른 곳에서 2차 피해를 확인하지 못했고 결제피해도 없었다"고 설명했다.

이는 쿠팡이 지난해 12월25일 "유출자는 단독으로 범행을 저질렀고 3000개 계정의 제한적인 고객정보를 개인 데스크톱 PC와 맥북 에어 노트북에만 저장했다"며 "이 정보는 외부로 전송된 적이 없고 모두 삭제했다는 공격자 진술이 있었다"고 밝혔던 조사결과와 일맥상통한다. 이에 당시 쿠팡의 '셀프조사 의혹'이 불거졌다.

하지만 합동조사단 조사에서 동일한 결과가 나오면서 쿠팡의 주장에 신빙성이 생긴 셈이다.

보안업계 한 관계자는 "포렌식 조사를 통해서도 실제 클라우드 유출 증거를 잡을 수 없는 기술적 한계가 있는 만큼 공격자를 직접 추가 조사해야 외부 전송 여부를 알 수 있을 것"이라며 "결국 이 사건은 3367만개 개인정보가 외부로 유출됐는지 여부는 밝히지 못한 채 '미제'로 남을 가능성도 크다"고 말했다.

한편 쿠팡은 재발방지 및 개인정보 보호를 위해 노력하겠다고 거듭 강조했다.

쿠팡은 "정보를 식별할 수 없는 무효계정 등을 파악 중이며 정확한 유출규모는 개보위에서 최종 확정 예정인 것으로 알고 있다"며 "이번 사태를 계기로 재발방지를 위한 모든 방안을 강구하는 동시에 고객들의 소중한 개인정보를 보호하기 위해 최선을 다할 것"이라고 피력했다.

[신아일보] 김소희 기자