이름·이메일주소·배송지 등 개인정보 '3370만개'벗겨져
국내 이커머스 1위 기업 쿠팡에서 3370만개 계정의 이름과 이메일 집주소 등 개인정보가 유출된 것으로 드러났다. 쿠팡은 지난달 18일 약 4500개 계정의 개인정보가 무단으로 노출된 사실을 인지했다고 밝혔으나 후속 조사에서 정보가 노출된 계정이 이같이 확대된 것으로 확인됐다.
쿠팡은 노출된 정보가 이름, 이메일 주소, 배송지 주소록에 입력된 이름·전화번호·주소, 일부 주문정보라고 밝혔다. 별도로 관리되는 결제 정보나 신용카드 번호, 로그인 정보는 포함되지 않았고, 고객이 계정과 관련해 따로 취할 조치는 없다고 덧붙였다. 하지만 개인정보 유출이 쿠팡 전체 고객으로 추정될 만큼 광범위하게 이뤄진데다 피해 계정 수가 뒤늦게 파악된 상황이어서 소비자의 우려는 클 수밖에 없다.
특히 쿠팡은 5개월 전부터 쿠팡 내부 직원이 정보를 유출했는데도 이를 전혀 몰랐다. 해당 직원이 퇴사한 뒤 협박성 이메일을 보낸 뒤에야 유출 사실을 인지했다. 쿠팡은 자체 조사를 바탕으로 지난달 25일 '중국 국적 직원이 쿠팡의 해외 서버를 통해 국내 메인 서버에 무단 접근해 고객 정보를 유출했다'고 신고했다.
배경훈 부총리겸 과학기술정보통신부 장관은 지난달 30일 서울 종로구 정부서울청사에서 관계부처 긴급대책회의를 주재하고 "쿠팡에 대한 현장조사 결과 공격자가 쿠팡 서버 인증 취약점을 악용해 정상적인 로그인 없이 3000만개 이상 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인됐다"고 말했다. 과기정통부는 민관합동조사단을 구성해 가동 중이다.
쿠팡이 앞서 한국인터넷진흥원(KISA)에 제출한 침해사고 신고서에 따르면 쿠팡은 지난달 6일 오후 6시 38분 자사 계정 정보에 대한 무단 접근이 발생했고, 이를 12일이 지난 18일 오후 10시 52분에 인지했다고 밝혔다.
쿠팡이 밝힌 개인정보 무단 유출 계정은 사실상 쿠팡 고객 대부분으로 보인다. 쿠팡은 전체 회원 수를 공개한 적이 없다. 지난 3분기 실적 발표 당시 언급된 정보로 활성고객(구매 이력이 있는 고객)은 2470만명이다. 유료 멤버십인 쿠팡 와우회원은 2023년 말 기준 1400만명으로 알려져 있다.
쿠팡은 보도자료를 통해 "현재까지 조사 결과 해외 서버를 통해 올해 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정된다"며 "(현재는) 무단 접근 경로를 차단했고 내부 모니터링을 강화했다"고 밝혔다. 쿠팡은 고객을 향해서는 "이번 일로 인해 발생한 모든 우려에 대해 진심으로 사과드린다"며 "쿠팡을 사칭하는 전화, 문자 메시지 또는 기타 커뮤니케이션에 주의해달라"고 당부했다.
