3370만명 개인정보 유출될 동안 눈치 못 챈 쿠팡

지난 5개월 간 쿠팡 이용자 3370만개가 무단 유출됐다. 

지난 29일 쿠팡에 따르면, 쿠팡은 지난 19일 4500개 계정의 개인정보 유출 신고 이후 이같은 사실을 파악했다. 쿠팡은 20일 경찰청, 한국인터넷진흥원, 개인정보보호위원회 등 관련 기관에 개인정보 유출 건을 신고한 후 이어진 후속 조사에서 3370만여개의 계정 정보가 유출되었음을 확인했다. 

쿠팡은 지난 5개월간 개인정보 유출을 파악하지 못했다. 회사에 따르면 무단 유출자는 해외 서버를 통해 6월 24일부터 개인정보에 접근했다. 정부는 조사 과정에서 공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 이용자 계정의 개인정보를 유출한 것으로 확인했다. 

유출 계정 수를 보았을 때, 사실상 쿠팡 이용자 대부분의 개인정보가 흘러나간 것으로 파악된다. 쿠팡의 분기별 주요 서비스 이용자 수가 2470만여명에 육박하기 때문이다. 

유출된 계정 정보는 이름, 이메일 주소, 전화 번호와 주소 등 배송지 주소록과 일부 주문 정보다. 쿠팡은 결제 정보와 신용카드 번호, 로그인 정보는 포함되지 않았다고 밝혔으나, 사실상 대부분의 개인정보가 유출된 상황이다. 

쿠팡의 경우는 올해 들어 일어난 개인정보 유출 규모 중 가장 큰 수준이다. 올해 통신사를 중심으로 다수의 개인정보 유출 사고가 이어졌다. 이 중 가장 규모가 큰 건 SK텔레콤으로, 이용자 2324만여명의 개인정보가 유출됐다.

쿠팡 개인정보 침해사고 피해 규모가 대폭 확대됨에 따라 과학기술정보통신부와 개인정보위 또한 즉각 사고 조사에 나섰다. 과기정통부는 30일 민관합동조사단을 구성하고, 사고 원인 분석 및 재발방지대책을 마련할 계획이다. 특히 개인정보위는 쿠팡이 접근통제, 접근권한 관리, 암호화 등 개인정보 보호와 관련한 안전조치 의무를 위반했는지 여부를 집중 조사하고 있다.

또 이번 사고를 악용해 피싱, 스미싱 공격을 통해 개인정보 및 금전 탈취 등 2차 피해가 발생하지 않도록 대국민 보안공지를 진행하고 있다. 당국은 이번 유출 정보에 국민 다수의 연락처, 주소 등이 포함돼 신속한 조사를 거쳐 보호법상 안전조치의무 위반 시 엄정 제재한다는 방침이다. 

한편 박대준 쿠팡 대표는 30일 오후 서울 종로구 정부서울청사에 나타나 공개적으로 사과한 한편, 홈페이지에도 박 대표 명의의 사과문을 개시했다.

쿠팡 대표이사 박대준입니다.

올해 6월 24일 시작된 쿠팡의 최근 사고에 유감을 표명합니다. 국민 여러분께 큰 불편과 걱정을 끼쳐드려 진심으로 사과드립니다.

공지드린 바와 같이, 올해 6월부터 최근까지 고객 정보에 대한 무단 접근이 발생했습니다. 무단 접근된 고객정보는 이름, 고객 이메일, 전화번호, 배송지 주소, 그리고 특정 주문 정보로 제한되었고 결제 정보, 신용카드 정보, 고객 로그인 정보는 포함되지 않았습니다. 다시 한번 국민 여러분께 불편을 끼쳐드려 진심으로 사과드립니다.

모든 고객 정보를 보호하는 것은 쿠팡의 가장 중요한 우선순위입니다. 쿠팡은 이 의무를 매우 중요하게 생각하며, 종합적인 데이터 보호 및 보안 조치와 프로세스를 유지하고 있습니다.

쿠팡은 과학기술정보통신부, 개인정보보호위원회, 한국인터넷진흥원, 경찰청 등 민관합동조사단과 긴밀히 협력하여 추가적인 피해 예방을 위해 최선을 다하겠습니다.

쿠팡은 향후 이러한 사건으로부터 고객 데이터를 더욱 안전하게 보호할 수 있도록, 현재 기존 데이터 보안 장치와 시스템에 어떤 변화를 줄 수 있는지 검토하고 있습니다.

다시 한번 고객 여러분께 심려와 걱정을 끼쳐드려 진심으로 사과드립니다. 앞으로도 쿠팡은 고객 정보의 안전과 보안을 최우선으로 생각하겠습니다.

2025년 11월 30일

쿠팡 대표이사 박대준

글. 바이라인네트워크
<성아인 기자> aing8@byline.network