쿠팡 "유출 직원, 3000개 계정정보만 저장"… 정부 "일방적 발표 강력항의"

2609개 공동현관 출입번호 유출
결제·로그인·통관번호 유출 안돼
언론보도 뒤 정보 모두 삭제
정부 "민관합동조사단 확인 필요"

25일 서울 시내 한 주차장에 주차돼 있는 쿠팡 배달 차량. 연합뉴스

대규모 개인정보 유출 사태를 낸 쿠팡이 실제 3000개 계정 정보가 유출됐다는 자체 조사 결과를 내놨다. 사고를 낸 전직 직원은 3300만개 계정 정보에 접근했지만 일부만 저장한 뒤 사건이 언론에 보도되자 이를 삭제했다고 쿠팡 측에 진술했다. 이 직원이 저장한 정보를 외부로 전송한 정황도 확인되지 않았다는게 쿠팡 측의 설명이다.

쿠팡은 25일 이 같은 조사 내용을 발표하고 "최근 발생한 개인정보 유출 사태로 걱정과 불편을 겪은 국민들께 진심으로 사과드린다"고 밝혔다.

쿠팡은 사고 수습을 위해 고객 정보를 유출한 전직 직원 A씨를 특정했다.

쿠팡은 사건 초기부터 맨디언트, 팔로알토 네트웍스, 언스트앤영 등 전 세계 글로벌 사이버 보안업체 세 곳에 포렌식 조사를 의뢰했다. 이를 통해 특정한 A씨로부터 받은 진술을 검증하는 작업을 거쳤다는 게 쿠팡의 설명이다. 다만 쿠팡은 "A씨의 국적과 신상정보 등에 대해서는 수사 중인 사안으로 공개가 어렵다"는 입장이다.

쿠팡에 따르면 A씨는 쿠팡에 재직하는 동안 내부 보안 키를 탈취한 뒤 퇴사 후 고객 개인정보에 접근한 것으로 파악됐다. 탈취한 보안키로 3300만개 계정 정보에 접근한 뒤 3000개 계정의 고객 정보를 자신의 컴퓨터에 저장했다. 여기에는 계정 주인의 이름과 이메일, 전화번호, 주소, 일부 주문정보가 포함돼 있었다. 공동현관 출입번호 2609개도 함께 유출됐다. 쿠팡은 A씨가 접근한 데이터의 범위를 확인한 결과 A씨의 진술과 일치했다고 전했다. 공동현관 출입번호 역시 외부 전문업체의 포렌식 분석을 통해 A씨 진술의 신빙성을 확인했다는 것이다.

A씨는 단독으로 범행을 저지른 뒤 자신의 데스크톱과 맥북 에어 노트북에 정보를 저장한 것으로 파악됐다. A씨는 언론 보도가 나오자 저장했던 정보를 삭제했다고 진술했다. 쿠팡 측은 "현재까지 유출자의 진술과 모순되는 증거가 발견되지 않았다"고 전했다. 쿠팡은 A씨가 개인정보 유출에 사용한 컴퓨터 두 대에서 사용한 하드 드라이브 4대를 경찰에 제출했다. A씨는 사건이 보도된 후 노트북을 파손한 뒤 쿠팡 로고가 있는 에코백에 넣고 벽돌을 채워 인근 하천에 버렸다고 진술했다. 쿠팡은 잠수부를 동원해 노트북을 회수했다. 이 밖에 A씨가 고객정보에 접근하는 데 사용한 모든 장치도 회수됐다고 쿠팡은 전했다.

쿠팡은 지난 17일 A씨로부터 받은 진술서와 관련 장치를 정부에 제출했다. 쿠팡은 "현재 진행 중인 정부 기관의 조사에도 성실히 협조해왔다"며 "사태를 책임감 있게 수습하기 위해 정부 기관과 쿠팡의 전 구성원이 함께 최선의 노력을 다했고, 앞으로도 향후 조사 결과를 안내할 것"이라고 말했다.

쿠팡은 2차 피해 예방과 함께 고객 보상방안도 조만간 발표할 예정이다.

한편 정부는 쿠팡의 발표에 강하게 항의했다.

과학기술정보통신부는 이날 보도자료를 통해 "민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 것에 대해 쿠팡에 강력히 항의했다"면서 "현재 민관합동조사단에서 정보 유출 종류 및 규모, 유출경위 등에 대해 면밀히 조사 중에 있는 사항으로, 쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았음을 알려드린다"고 전했다.

[e-mail] 강명연 장민권 기자