쿠팡 '개인정보 3370만 건 유출', 부랴부랴 사과문 냈지만…

[비즈한국] 11월 29일 3370만 건에 달하는 회원 개인정보 유출이 드러난 쿠팡이 하루 만인 30일 오후 대표이사 명의의 사과문을 냈다. 전날 개인정보 유출 사실을 밝힌 이후 여론이 심상치않자 서둘러 대응에 나선 것으로 보인다.

쿠팡은 토요일인 29일 오후 5시가 넘어 공식 보도자료를 내고 회원 약 3370만 계정의 이름, 이메일 주소, 배송지 주소록과 일부 주문정보가 무단으로 노출된 것으로 확인됐다고 발표했다.

쿠팡이 개인정보 노출 사실을 최초 인지했다고 밝힌 시점은 11월 18일로, 당시 4500개 계정의 정보 노출을 인지하고 즉시 관련 기관(경찰청, 한국인터넷진흥원, 개인정보보호위원회)에 신고했다고 알렸다. 이후 20일 입장문을 내고 “약 4500명의 배송지 정보가 비인가 접근으로 노출됐다”면서 외부 해킹 흔적은 없다고 강조했다. 유출자는 해외 서버를 통해 2025년 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정된다고 밝혔다.

쿠팡은 정보가 유출된 회원들에게도 29일 문자를 보내 알렸다. 그러나 다섯 달 가까이 노출 사실을 모른 데다 인지 이후에도 2주 가까이 지난 후에야 노출 사실을 알린 데 대해 회원들의 반응은 차가웠다. 여기에 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않았으므로 쿠팡 이용 고객은 계정 관련 조치를 취할 필요가 없다”는 문자 내용 역시 비난에 직면했다. 사실상 전 회원의 개인정보가 노출됐음데도 현실인식과 대응이 안일하다는 지적이 제기된 것.

이에 쿠팡은 30일 오후 3시 50분경 박대준 대표이사 명의로 ‘국민 여러분께 심려와 걱정을 끼쳐드려 진심으로 사과드립니다’라며 사과문을 발표하고 자세를 낮췄다.

정부 대응이 빨라진 점도 영향을 미친 것으로 보인다. 주무부처인 과학기술정보통신부(과기정통부)는 29일 사건 경위를 알린 뒤 다음날 민관합동조사단을 가동했다. 배경훈 부총리 겸 과기정통부 장관 주재로 관계기관 긴급 대책회의도 열었다. 대책회의에는 국무조정실장, 개인정보위 위원장, 국정원 3차장, 경찰청장 직무대행 등이 참석했다.

과기부에 따르면 정부는 지난 11월 19일 쿠팡으로부터 침해사고 신고, 11월 20일 개인정보유출 신고를 받은 이후 현장 조사를 진행 중이다. 조사 과정에서 공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 3000만 개 이상 고객 계정의 고객명, 이메일, 배송지 전화번호 및 주소를 유출한 것으로 확인했다. 개인정보위는 쿠팡이 개인정보 보호와 관련한 안전조치 의무(접근통제, 접근권한 관리, 암호화 등)를 위반했는지도 집중 조사 중이다.

다수 언론 보도에 따르면 정보 유출자는 쿠팡에 근무했으나 퇴사한 중국 국적자로 알려진다. 서울경찰청 사이버수사대는 지난 25일 쿠팡의 고소장을 접수해 수사에 착수했다.

한편 유출된 개인정보를 통해 스미싱과 보이스피싱 등의 피해가 예상되는 만큼 각별한 주의가 요구된다. 된다. “피해보상”, “피해사실 조회”, “환불” 등의 키워드를 넣은 문자를 받을 경우 문자 안의 인터넷주소(URL)를 클릭하지 말고 스팸으로 신고, 차단하거나 보이스피싱통합신고대응센터에 신고해야 한다. 스미싱·피싱사이트는 ‘보호나라’ 카카오톡 채널 내 ‘스미싱 확인서비스’를 이용해 신고 및 악성여부를 판별할 수 있다.

관련 문의는 한국인터넷진흥원 인터넷침해대응센터, 국번 없이 118로 전화하면 된다.

김남희 기자

namhee@bizhankook.com

[핫클릭]

· 봐주기 의혹에 특검까지…쿠팡 '침묵' 속 과거 전관 영입 재부각

· 쿠팡, 부장검사 '양심고백'에 드러난 기업 수사 대응 속사정

· 국정자원 화재, 정부24·인터넷우체국 등 정부 업무시스템 647개 '올스톱'

· 최고 수준 보안인증 받은 기업들 줄줄이 해킹, 정부는 책임 없나

· 로켓그로스 크니 로켓배송으로 전환 압박…쿠팡 '소상공인 상생' 민낯