쿠팡, 3370만명 개인정보 유출⋯5개월간 몰랐다 [이커머스 보안쇼크]

▲박대준 쿠팡 대표가 30일 서울 종로구 정부서울청사에서 열린 쿠팡 관련 긴급 관계부처 장관회의에 참석하며 사과 의사를 표명하고 있다. 조현호 기자 hyunho@

국내 최대 이커머스 플랫폼 쿠팡에서 3370만 개 고객 계정 정보가 유출된 초유의 사태가 벌어졌다. 한국 성인 인구의 네 명 중 세 명꼴로 사실상 전체 고객의 정보가 빠져나간 규모다. 특히 외부 해킹이 아닌 중국 국적의 전직 직원 소행 가능성에 힘이 실리는 데다 5개월 전부터 지속적으로 유출됐다는 점에서 내부 관리 부실 논란, 2차 피해 우려 등 파장이 커지는 모습이다.

30일 정부와 유통업계에 따르면 쿠팡은 전일 “고객 계정 약 3370만 개가 무단으로 노출된 것으로 확인됐다”면서 “해외 서버를 통해 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 발표했다. 유출된 정보는 △고객 이름 △이메일 △전화번호 △주소 △주문정보다. 대한민국의 만 19세 이상 성인 수가 4430만 명(24년 12월 기준)이라는 점을 감안하면 전체 성인 중 78%의 정보가 유출된 셈이다. 다만 결제 정보와 신용카드 번호는 유출되지 않았다는 것이 쿠팡 측 입장이다.

문제는 대규모 개인 정보 유출 사실을 수개월간 인지하지 못했다는 점이다. 쿠팡은 지난달 18일에서야 1차 유출 사실을 인지해 개인정보보호위원회에 신고했지만 당시 밝힌 피해 규모는 4500건. 그러나 후속 조사에서 9일 만에 7500배 늘어난 3370만 건으로 정정했다.

유출 경로는 내부자에 무게가 실린다. 쿠팡은 앞서 “시스템과 네트워크망에서 외부 침입 흔적은 없는 상태”라며 “고객 개인정보가 비인가 조회된 것으로 확인됐다”고 발표했다. 그러나 해당 직원이 중국 국적자인 데다 퇴사 후 한국을 떠난 것으로 알려져 수사·후속 조치가 적극 이뤄질지의 여부도 불투명하다. SK텔레콤·KT 등 과거 초대형 해킹 사고가 모두 외부 침투형이었던 것과 달리 이번 사태는 내부 통제 붕괴가 본질이라는 지적이다.

피해 규모가 역대급으로 크고 사안이 중대한 만큼 정부는 과학기술정보통신부, 개인정보위, 인터넷진흥원(KISA), 경찰청 등이 참여하는 민관합동조사단을 꾸려 원인 규명과 제재 수위를 검토 중이다. 개인정보위는 “안전조치 의무 위반이 확인되면 엄정 제재하겠다”고 밝혔다.

쿠팡은 이번 대규모 개인정보 유출 관련 후속 피해를 최소화하기 위해 무단 접근 경로를 차단하고 내부 모니터링 강화에 주력한다는 입장이다. 박대준 쿠팡 대표는 이날 쿠팡 관련 긴급회의가 열린 정부서울청사에서 기자들과 만나 “이번 사태로 피해를 보신 쿠팡 고객과 국민께 심려를 끼쳐 사과 말씀을 드린다”면서 “사태 원인이 빠르게 규명될 수 있도록 노력하겠다”고 공식 사과했다.

▲서울 송파구 쿠팡 본사 모습. 조현호 기자 hyunho@