쿠팡이 최근 발생한 개인정보 유출 사건에 대한 자체 조사 결과를 발표했으나, 정부가 공식 확인을 거치지 않은 일방적 발표라며 강력 항의했다.
쿠팡은 전직 직원이 재직 중 취득한 내부 보안 키를 탈취해 고객 정보에 불법 접근한 사실을 확인했다고 밝혔다. 디지털 포렌식을 통해 유출자를 특정했으며, 유출자가 행위 일체를 자백했다고 설명했다.
쿠팡 측에 따르면 유출자는 3,300만 고객 계정의 기본 정보에 접근했지만, 실제로는 약 3,000개 계정의 정보만 저장했다. 저장된 정보에는 이름, 이메일, 전화번호, 주소, 일부 주문정보가 포함됐으며, 공동현관 출입번호 2,609개도 포함됐다. 다만 결제정보, 로그인 정보, 개인통관고유번호에 대한 접근은 없었다고 밝혔다.
쿠팡은 유출자가 개인용 데스크톱 PC와 MacBook Air 노트북을 사용해 공격했으며, 언론 보도 후 MacBook을 물리적으로 파손해 벽돌과 함께 쿠팡 에코백에 넣어 하천에 투기했다고 설명했다. 이후 잠수부가 유출자의 진술을 바탕으로 해당 노트북을 회수했다고 덧붙였다.
쿠팡은 저장된 모든 고객 정보가 삭제됐으며, 제3자에게 전송된 데이터는 일체 없다고 강조했다. 맨디언트, 팔로알토 네트웍스, 언스트앤영 등 글로벌 보안업체 3곳에 포렌식 조사를 의뢰했으며, 조사 결과가 유출자의 진술 내용과 부합한다고 밝혔다.
그러나 과학기술정보통신부는 이날 보도설명자료를 통해 쿠팡의 발표에 강력히 항의했다. 과기정통부는 “쿠팡의 개인정보 유출 조사 관련 배포 자료는 민관합동조사단의 확인이 필요한 사항”이라며 “조사단에서 조사 중인 내용을 쿠팡이 일방적으로 대외에 알린 것에 대해 강력히 항의했다”고 밝혔다.
이어 “현재 민관합동조사단에서 정보 유출 종류 및 규모, 유출 경위 등에 대해 면밀히 조사 중”이라며 “쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았다”고 설명했다.
서울경찰청 사이버수사과도 “쿠팡 측이 주장하는 내용이 사실인지 여부를 철저하게 수사하여 확인 중”이라고 밝혔다. 경찰은 “지난 12월 21일 쿠팡 측으로부터 피의자가 작성했다는 진술서와 범행에 사용됐다는 노트북 등 증거물을 임의제출 받았다”며 “피의자의 실제 작성 여부와 범행에 사용된 증거물인지 여부 등을 면밀히 분석하고 있다”고 말했다.
경찰은 “기타 내용은 분석이 진행 중인 상황”이라며 구체적인 내용은 밝히기 어렵다고 덧붙였다.
쿠팡은 향후 진행될 조사 경과에 따라 지속적으로 안내할 예정이며, 고객보상 방안을 조만간 별도로 발표할 것이라고 밝혔다.
