"쿠팡 탈퇴했는데 개인정보 유출 문자가 왔어요"

쿠팡 탈퇴자·휴면계정까지 날아온 개인정보 유출 문자

▲국내 이커머스 시장 1위 업체인 쿠팡에서 3000만건이 넘는 대규모 정보 유출 사고가 발생하면서 소비자들의 불안이 커지고 있다. 30일 유통업계에 따르면 쿠팡은 전날 오후 고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다고 공지했다. 쿠팡은 이 사고를 18일 인지하고 20일과 전날 각각 관련 내용을 개인정보보호위원회에 신고했다. 개인정보보호위는 현재 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 이날 서울 송파구 쿠팡 본사 모습. 조현호 기자 hyunho@

▲박대준 쿠팡 대표가 30일 서울 종로구 정부서울청사에서 열린 쿠팡 관련 긴급 관계부처 장관회의에 참석 후 청사를 나서며 취재진의 질문에 답하고 있다. 조현호 기자 hyunho@

국내 이커머스 1위 쿠팡에서 3370만 개에 이르는 고객 계정 정보가 유출된 사실이 드러났다. 심지어 이미 서비스를 탈퇴했거나 장기간 이용하지 않은 고객들까지 유출 안내 문자를 받은 것으로 알려졌다.

30일 쿠팡은 전날 “고객 계정 약 3370만개가 무단 노출된 것으로 확인됐다”고 밝혔다. 유출된 정보에는 이름, 이메일, 전화번호, 주소, 일부 주문 정보가 포함됐으며 결제 정보·카드 번호·로그인 비밀번호 등은 빠져 있다고 설명했다. 개인정보에 대한 비인가 접근은 6월 24일부터 시작된 것으로 추정돼, 최소 5개월 동안 유출 사실을 인지하지 못한 것으로 나타났다.

이번 초대형 유출 규모에 탈퇴한 회원과 휴면 계정까지 털린 것 아니냐는 우려도 번졌다. 실제로 유출 안내 문자를 받은 이용자 중에는 선 탈퇴자도 있었다. 이들은 “이미 쿠팡을 탈퇴했는데도 왜 문자를 받느냐”고 문제를 제기했다. X(옛 트위터)와 온라인 커뮤니티에는 “작년에 쿠팡 탈퇴했는데 왜 ‘정보가 털렸다’는 문자가 오느냐”, “3년 전에 계정을 없앴는데도 유출 대상이라고 나온다”며 쿠팡의 회원 DB 관리 실태를 따지는 글들이 잇따르고 있다.

쿠팡 측은 18일 관련 정황을 처음 인지한 뒤 20일과 29일 두 차례에 걸쳐 개인정보보호위원회에 사고를 신고했다. 초기에는 피해 규모를 4500건으로 보고했으나, 추가 조사 결과를 반영해 3370만 건으로 정정했다. 최근 분기 기준 활성 고객 수(약 2470만 명)를 크게 웃도는 규모여서 사실상 대부분의 고객 계정이 노출된 것으로 보인다.

정부도 긴급 대응에 나섰다. 배경훈 부총리 겸 과학기술정보통신부 장관은 전날 정부서울청사에서 관계부처 긴급 대책회의를 열고 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 3000만개가 넘는 계정의 이름, 이메일, 배송지, 전화번호를 유출한 것으로 확인됐다”라고 밝혔다. 과기정통부와 개인정보위, 민간 전문가 등으로 구성된 민관합동조사단은 유출 경위와 추가 피해 여부, 쿠팡의 안전조치 의무 위반 여부를 조사하고 있다. 서울경찰청 사이버수사대도 25일 쿠팡이 제출한 고소장을 접수하고 수사에 착수했다.

쿠팡은 자체 조사 결과를 토대로 “중국 국적 전직 직원이 해외 서버를 통해 국내 메인 서버에 무단 접근해 고객 정보를 유출했을 가능성”을 경찰에 신고한 상태다. 이 직원은 10월 퇴사 후 일부 고객에게 주문 내역과 연락처 화면을 첨부한 이메일을 보내 협박을 시도했고 해당 고객의 신고를 계기로 회사가 유출 사실을 인지한 것으로 전해졌다.

대규모 유출 소식이 알려지자 소비자들 사이에서는 계정 삭제와 집단 소송 움직임이 동시에 확산되고 있다. 카카오톡 오픈채팅방과 네이버 카페 등에는 ‘쿠팡 개인정보 유출 피해자 모임’, ‘쿠팡 단체소송’ 등의 이름으로 채팅방·커뮤니티가 개설돼 피해 사례와 대응 방안을 공유하고 있다. 한 로펌은 “피해자들에게 1인당 10만 원씩 배상을 청구하는 집단소송을 서울중앙지법에 제기하겠다”고 밝혔으며, 개설 하루 만에 1000명 넘는 인원이 참여 의사를 밝힌 곳도 있는 것으로 전해졌다.

쿠팡은 박대준 대표 명의의 사과문을 통해 “국민 여러분께 큰 불편과 걱정을 끼쳐 진심으로 사과드린다”며 “기존 데이터 보안장치와 시스템을 전면 재검토하고, 재발 방지 대책을 마련하겠다”고 밝혔다. 다만 구체적인 보상안에 대해서는 “피해자 범위와 유출 내용을 명확히 확정하는 것이 우선”이라며 “조사 결과에 따라 합리적인 방안을 성실히 이행하겠다”고 설명했다.