쿠팡 3367만건 고객정보 유출 공식 확인
쿠팡의 전 직원이 무단접속으로 고객 개인정보 3367만3817건을 유출하고, 배송지 정보 약 1억4800만회를 무단으로 조회한 사실이 정부 조사를 통해 드러났다. 과학기술정보통신부는 10일 정부서울청사 브리핑에서 민관합동조사단(이하 조사단)의 쿠팡 개인정보 유출 사고 관련 조사 결과를 발표했다.
조사단에 따르면, 이번 발표는 2025년 11월29일부터 진행된 로그 분석과 포렌식 결과를 바탕으로 한다. 조사단은 쿠팡에서 확보 가능한 웹 접속기록(로그) 25.6테라바이트(TB) 분량을 분석해 유출 규모를 산정했다고 설명했다. 공격에 사용된 것으로 추정되는 공격자 PC, 저장장치 4대와 현재 재직 중인 쿠팡 개발자 노트북에 대한 포렌식 조사도 병행했다.
‘내 정보 수정’에서 이름·이메일 3367만3817건 유출 확인
개인정보 유출 정황은 고객 정보가 담긴 페이지 접근 기록에서 먼저 확인됐다. 조사단은 ‘내 정보 수정 페이지’에서 고객 성명·이메일이 포함된 개인정보 3367만3817건 유출을 확인했다고 밝혔다. 조사단은 페이지별 접근·조회 기록을 근거로 사고 범위를 확인했으며, 정확한 개인정보 유출 규모는 향후 개인정보보호위원회가 확정해 발표할 예정이라고 덧붙였다.
‘배송지 목록’에서 약 1억4800만회 조회…제3자 정보도 포함
개인정보가 대량으로 조회된 지점은 배송지 화면이었다. 조사단은 쿠팡의 ‘배송지 목록 페이지’에서 이름·전화번호·배송지 주소와 함께 특수문자로 비식별화(마스킹)된 공동현관 비밀번호가 포함된 개인정보가 약 1억4800만회 조회된 정황을 확인했다고 밝혔다. 조사단은 이 수치가 피해 고객 수가 아니라, 공격자가 개인정보가 포함된 화면에 접근(열람)한 횟수라고 설명했다.
조사단은 배송지 정보가 계정 소유자 본인만의 정보로 한정되지 않을 수 있다는 점도 언급했다. 가족·지인이 대신 받을 수 있도록 등록한 주소가 포함될 수 있어, 제3자의 성명·전화번호·주소 정보가 다수 포함됐을 가능성이 있다는 설명이다.
‘배송지 목록 수정, 주문 목록’에서도 5만474회·10만2682회 조회
조사단은 배송지 목록 페이지와는 별개로, 다른 화면에서도 개인정보 접근 기록이 확인됐다고 밝혔다. ‘배송지 목록 수정 페이지’에서는 성명·전화번호·주소와 함께 공동현관 비밀번호가 포함된 정보가 5만474회 조회된 것으로 집계됐다. ‘주문 목록 페이지’에서는 최근 주문한 상품 목록이 포함된 페이지가 10만2682회 조회된 것으로 확인됐다고 덧붙였다.
아울러 조사단은 이번 조사 결과에 쿠팡이 최근 추가로 밝힌 16만5000여개 계정 관련 유출 건은 포함되지 않았다고 설명했다. 해당 수치의 포함 여부와 최종 유출 규모 확정은 추후 개인정보보호위원회 발표를 통해 이뤄질 예정이라고 밝혔다.
“로그인 없이 인증 통과” 토큰 위변조와 서명키 관리가 원인
조사단은 이번 사고의 핵심 원인으로 ‘인증 우회’를 지목했다. 정상 절차에서는 이용자가 로그인한 뒤 전자 출입증(토큰)을 발급받고, 관문(게이트웨이) 서버가 토큰 유효성을 검증해 서비스 접근을 허용한다. 이번 사고에서는 쿠팡 전 직원이 정상 로그인 없이 토큰을 악용해 관문 서버를 통과했고, 이용자 계정에 비정상 접속해 개인정보가 있는 페이지에 접근했다.
조사단은 “이 과정에서 정상 발급 절차를 거치지 않은 토큰이 악용될 수 있다는 점이 사전 모의해킹에서 지적됐지만 개선되지 않았고, 관문 서버도 토큰 위변조 여부를 확인하는 검증 절차가 충분하지 않았던 것으로 파악됐다”고 설명했다. 이어 “비정상 접속과 대량 조회가 이어졌는데도 탐지·모니터링 체계가 이를 사전에 포착하지 못했다”고 덧붙였다.
최우혁 과기정통부 정보보호네트워크정책실장은 이 지점을 짚으며 “지능화된 공격이라기보다는 내부 관리의 문제로 봐야 한다”고 평가했다.
키 보관 관행도 문제로 거론됐다. 내부 규정상 서명키는 키 관리 시스템에만 보관해야 하는데, 포렌식에서 현 재직 개발자 노트북에 서명키가 저장된 정황이 확인됐다. 이에 조사단은 인증키 발급·사용 이력 관리와 비정상 접속행위 탐지 모니터링을 강화하라고 쿠팡에 요구했다.
웹 크롤링으로 대규모 조회, 2313개 IP 확인
공격 방식은 웹 크롤링(자동화 수집)이었다. 조사단은 공격자가 자동화된 웹 크롤링 공격 도구를 사용해 개인정보를 수집했다고 밝혔다. 공격 기간은 2025년 4월 14일부터 11월 8일까지였으며, 이 과정에서 로그 상으로 2313개의 IP 접근이 확인됐다.
단, 유출 정보의 해외 전송 여부는 확인되지 않았다. 조사단은 “공격자의 저장장치에서 해외 클라우드 전송이 가능한 기능이 포함된 스크립트를 확인했지만, 실제 전송 여부는 확인되지 않았다”고 설명했다.
24시간 내 신고 의무 위반 과태료…자료 보존 명령 위반은 수사 의뢰
조사단은 사고 원인과 별개로 쿠팡의 법 위반 사항도 함께 지적했다. 쿠팡이 침해사고를 인지하고 최고정보보호책임자(CISO)에게 보고한 시점이 2025년 11월 17일 16시인데, 당국 신고는 11월 19일 21시 35분으로 24시간을 넘겼다고 지적했다. 이에 과기정통부는 추후 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)’ 위반으로 과태료 처분을 추진한다는 방침이다.
자료 보존 명령 불이행 정황도 공개했다. 조사단은 “2025년 11월 19일 쿠팡에 자료 보전을 명령했지만, 접속기록 자동 저장 정책을 조정하지 않아 2024년 7월부터 약 5개월 분량의 웹 접속기록이 삭제됐다”며 “추가로 2025년 5월 23일부터 6월 2일까지 애플리케이션 접속기록이 없어진 정황도 확인해 수사기관에 수사를 의뢰했다”고 설명했다.
과기정통부는 이번 조사 결과를 바탕으로 쿠팡에 ▲인증키 발급·사용 이력 관리 ▲비정상 접속행위 탐지 모니터링 강화 ▲자체 보안규정 준수 여부 정기 점검 ▲사고 분석과 피해자 특정에 필요한 수준의 로그 저장·관리 정책 수립을 요구했다. 쿠팡이 재발 방지 대책에 따른 이행 계획을 이달 중 제출하도록 하고, 3~6월까지 이행 여부를 지켜본 후 오는 7월 이행 결과를 점검할 계획이라고 밝혔다.
글. 바이라인네트워크
<곽중희 기자> god8889@byline.network
