[이코노미스트 이지완 기자] 민관합동조사단(이하 합조단)이 쿠팡 개인정보 유출 사고에 대한 조사 결과를 발표했다. 개인정보보호위원회의 최종 발표가 남았지만, 현재까지 정부 측 조사 결과는 쿠팡의 설명과 크게 다르지 않은 모습이다.

11일 업계에 따르면 합조단은 전날 서울 종로구 정부서울청사에서 쿠팡 개인정보 유출 사고에 대한 조사 결과를 발표했다.

합조단이 파악한 개인정보 유출 사고 피해 규모는 ▲내정보 수정 페이지 성명·이메일 3367만3817건 ▲성명·전화번호·주소 등 배송지 목록 페이지 1억4805만6502회 조회 ▲성명·전화번호·주소·공동현관 비밀번호 등 배송지 목록 수정 페이지 5만474회 조회 ▲최근 주문한 상품목록 등 주문목록 페이지 10만2682회 조회 등이다. 현재까지 이번 사태로 인한 2차 피해 사례는 발견된 바 없다.

고객 계정 약 3370만개가 유출됐다는 것은 지난해 11월 29일 쿠팡 측이 밝힌 조사 결과와 다를 게 없다. 다만 합조단 조사 결과 발표에서는 '조회'라는 개념이 새롭게 등장했다.

최우혁 과학기술정보통신부 정보보호네트워크정책실장은 "지난해 11월 30일 합조단 구성 후 쿠팡 서버를 뒤져 외부 공격자에 의한 정보 조회 및 유출이 있었는지 확인해 발표한 것"이라고 설명했다. 최종 유출 규모 등에 대해서는 "개보위에서 발표하게 될 것"이라고 말을 아꼈다.

합조단 발표 당일 쿠팡 모회사 쿠팡Inc는 입장문을 공식 홈페이지에 게재했다. 고객들에게 명확한 사실을 전달하기 위함이라는 게 회사 측 설명이다.

쿠팡Inc는 입장문을 통해 "쿠팡은 조사가 진행된 지난 두 달 간 ▲약 1억4000만회 정보 자동화 조회 ▲약 3300만명의 사용자 정보 접근(2609건 공용현관 출입 코드 포함) ▲약 3000건의 사용자 정보 저장 ▲0건의 정보 부정 사용 사례 등의 사실 관계와 포렌식 분석 결과를 규제 당국과 공유해 왔다"고 설명했다.

그러면서 "지난해 중국 국적의 전(前) 직원이 3300만개 이상의 고객 계정이 포함된 정보에 부적절하게 접근해 약 3000개 계정의 정보를 저장했다"며 "국내에서 거주하던 해당 직원은 스스로 작성한 소프트웨어 프로그램으로 약 1억4000만회의 자동조회를 수행했다"고 덧붙였다.

특히 쿠팡Inc는 "전 직원은 ▲결제 정보 ▲금융 정보 ▲사용자 ID 및 비밀번호 ▲정부 발급 신분증 등 고도 민감 고객 정보에 접근하지 않았다"며 "유출 정보가 추가로 제3자에 의해 열람되거나 활용된 정황은 없다. 이는 독립 보안 전문 기업 CNS의 최신 분석"이라고 강조했다.

이어 "앞으로도 쿠팡은 정부의 조사에 전면 협조하고 추가 피해를 막기 위한 필요한 모든 조치를 취할 것이다. 재발 방지를 위한 보호 체계도 지속적으로 강화해 나가겠다. 이번 일로 우려를 끼쳐드린 점에 대해 깊은 유감의 뜻을 전하며, 영향을 받으신 모든 분들께 사과드린다"고 덧붙였다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지