속보=국내 이커머스 시장 1위 업체 쿠팡에서 3,370만개의 고객 계정이 유출돼 소비자들이 반발하고 있는 가운데 쿠팡은 고객정보의 외부 전송은 없었다고 25일 밝혔다.
쿠팡은 이날 보도자료를 통해 "디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정해 고객 정보를 접근 및 탈취하는 데 사용된 모든 장치와 하드디스크 드라이브를 회수·확보했으며, 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다"며 이같이 밝혔다.
유출자의 진술과 사이버 보안 업체의 조사를 종합하면 유출자는 탈취한 보안 키를 사용해 고객 계정 3천300만개의 기본적인 고객 정보에 접근했으나 이중 약 3천개 계정의 고객 정보만 저장했다. 여기에 이름, 이메일, 전화번호, 주소, 일부 주문정보, 2천609개의 공동현관 출입 번호가 포함됐다.
유출자는 또 사태에 대한 언론보도를 접한 후 저장했던 정보를 모두 삭제했으며 고객 정보 중 제3자에게 전송된 데이터는 일절 없는 것으로 조사됐다.
유출자는 재직 중 취득한 내부 보안 키를 탈취, 개인용 데스크톱 PC와 맥북 에어 노트북을 사용해 공격을 시도한 뒤 정보 일부를 해당 기기에 저장했다고 진술했다.
포렌식 조사 결과, 이 같은 진술이 사실로 확인됐고, 유출자가 제출한 데스크톱 PC와 PC에서 사용된 하드디스크 드라이브 4개를 분석한 결과 이들 장치에서 공격에 사용된 스크립트가 발견됐다고 쿠팡은 설명했다.
쿠팡은 사건 초기부터 엄격한 포렌식 조사를 위해 최상위 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 의뢰해 조사를 진행해왔으며, 유출자의 진술도 검증했다.
유출자는 언론을 통해 개인정보 유출 관련 보도가 나오자 극도의 불안에 빠졌으며, 언론보도를 접한 직후 저장돼있던 고객 정보를 모두 삭제했다고 진술했다.
또 '(데이터 유출에 사용된) 맥북 에어 노트북을 물리적으로 파손한 뒤 쿠팡 로고가 있는 에코백에 벽돌을 채워 하천에 던졌다'고 진술했는데, 진술에 따라 해당 하천을 수색한 결과 벽돌이 담긴 쿠팡 에코백에서 해당 기기를 회수했다. 이 노트북의 일련번호가 유출자의 아이클라우드(iCloud) 계정에 등록된 일련번호와 정확히 일치하는지도 확인했다.
쿠팡은 또 "현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다"고 강조했다.
쿠팡은 지난 17일 유출자의 진술서 제출을 시작으로 관련 장치 등 자료가 확보되는 즉시 정부에 제출해왔다고 부연했다.
개인정보 유출자의 진술 확보 등을 어떤 이유로 경찰이나 민관합동조사단이 아닌 쿠팡이 수행하게 됐는지는 확인되지 않았다.
쿠팡은 조사 주체에 대한 질문에 "현재로서는 제공된 정보 외에는 확인할 수 없다"고 답했다.
쿠팡은 이날 "최근 발생한 개인정보 유출이 고객들에게 얼마나 큰 우려를 불러일으켰는지 책임을 통감한다"며 "쿠팡 개인정보 유출 사태로 인해 수많은 국민들이 걱정과 불편을 겪게 된 것에 대해 진심으로 사과드린다"라고도 밝혔다.
그러면서 "향후 진행될 조사 경과에 따라 지속적으로 안내를 할 예정으로, 이번 사태로 인한 고객 보상 방안을 조만간 별도로 발표할 것"이라고 했다.
한편 과학기술정보통신부는 이날 쿠팡 개인정보 유출 사태 관계부처 대책 회의를 열고 현재 운영 중인 범부처 TF(태스크포스)를 과기부총리 주재로 확대 운영하기로 했다.
이날 대책회의에는 배경훈 부총리 겸 과기정통부 장관을 비롯해 대통령실, 외교부, 산업통상부, 공정거래위원회, 개인정보보호위원회, 방송미디어통신위원회, 금융위원회 등 관계 부처 장·차관급 고위 관계자들이 참석했다.
참석자들은 이날 회의에서 쿠팡 개인정보 유출 및 소비자 보호와 관련해 현재까지의 진행상황과 향후 계획, 2차 피해 예방대책을 공유했다.
현재 류제명 과기정통부 2차관이 팀장을 맡고 있던 범부처TF도 배 부총리 주재로 확대 운영하기로 했다.
아울러 플랫폼 기업의 개인정보 유출 사태에 대한 조사 및 엄중한 대응과 별개로, 국민생활에 막대한 영향을 주는 플랫폼 기업 등에 대한 정보 유출·소비자 피해를 막기 위한 근본적 제도 개선 방안도 충실히 준비하기로 했다.
