쿠팡 “개인정보 유출 직원 ‘단독 범행’…외부전송 없고 모든 장치 회수”

▲서울 송파구 쿠팡 본사 모습. (조현호 기자 hyunho@)

쿠팡은 고객 약 3300만 명의 개인정보를 유출한 전직 직원 유출자를 특정했고, 해당 범행에 쓰인 모든 장치를 회수했다고 25일 밝혔다.

쿠팡에 따르면 현재까지의 조사 결과, 전직 직원인 유출자는 3300만 고객 정보에 접근했지만, 3000개의 계정 고객 정보만 저장했고 이후 이를 모두 삭제했다. 저장된 고객 정보는 공동현관 출입번호 2609개를 포함해 이름, 이메일, 전화번호, 주소, 일부 주문정보 등이다. 결제정보·로그인·개인통관 고유번호는 포함되지 않았다. 외부 전송 등 추가 유출도 없는 것으로 확인했다.

쿠팡은 디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다. 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다. 유출자가 쿠팡 고객 정보를 접근 및 탈취하는 데 사용된 모든 장치와 하드 드라이브는 검증된 절차에 따라 모두 회수됐다.

쿠팡은 “12월 17일 유출자의 진술서 제출을 시작으로, 관련 장치 등 일체 자료를 확보하는 즉시 정부에 제출해 왔다”며 “현재 진행 중인 정부기관의 관련 조사에도 성실히 협조해 왔다”고 했다. 쿠팡은 엄격한 포렌식 조사를 위해 전 세계 최상위 3개 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 조사를 의뢰했다.

현재까지의 조사 결과는 유출자의 진술 내용과 부합하는 것으로 파악됐다. 쿠팡에 따르면 유출자는 재직 중 취득한 보안 키를 탈취해 3300만 고객 계정의 고객 정보에 접근했고, 약 3000개 계정의 고객 정보를 실제 저장했다. 여기에 포함된 공동현관 출입번호는 2609개였으며 결제정보, 로그인 관련 정보, 개인통관번호에 대한 접근은 없었다. 해당 사태에 대한 언론보도 이후 유출자는 저장했던 정보를 모두 삭제했고, 고객 정보 중 제3자에게 전송된 데이터는 없는 것으로 확인됐다.

유출자는 개인용 데스크톱 PC와 맥북 에어 노트북을 사용해 공격을 시도했고, 접근한 정보 중 일부를 해당 기기에 저장했다. 독립적인 포렌식 조사 결과 쿠팡 시스템에 대한 불법접근은 유출자가 진술한 대로 1대의 PC 시스템과 1대의 애플 시스템을 통해 수행된 것으로 확인됐다. 유출자는 해당 데스크톱 PC와 PC에서 사용된 4개의 하드 드라이브를 제출했으며, 분석 결과 이들 저장장치에서 공격에 사용된 스크립트가 발견됐다.

유출자는 언론을 통해 데이터 유출 보도가 나오자 불안해져 은폐·파기를 시도했다고 진술했다. 노트북을 물리적으로 파손한 뒤 쿠팡 로고가 있는 에코백에 넣고 벽돌을 채워 인근 하천에 던졌다는 것. 유출자가 제공한 지도와 설명을 바탕으로 잠수부들이 해당 하천에서 노트북을 회수했고, 회수된 기기는 벽돌이 담긴 쿠팡 에코백에 들어있었다. 일련 변호 또한 유출자의 아이클라우드(iCloud) 계정에 등록된 일련번호와 일치했다.

유출자는 단독으로 범행을 저질렀고, 외부로 전송된 적은 없으며 언론보도 직후 저장돼 있던 고객 정보를 모두 삭제했다고 진술했다. 쿠팡 측은 “현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다”고 설명했다.

쿠팡은 향후 진행될 조사 경과에 따라 지속해서 안내 예정이다. 이번 사태로 인한 고객보상 방안도 곧 별도 발표할 계획이다.

쿠팡은 “정부 조사에 적극적으로 협조할 것이며, 2차 피해를 예방하는 데 최선을 다하겠다”며 “이번 사태를 계기로 재발 방지를 위한 모든 방안을 강구할 것”이라고 말했다.