쿠팡 “페이지 조회 수와 정보 유출 규모 같지 않아”

“3300만명 데이터 접근 있었지만 2차 피해 확인 안 돼

서울 송파구 쿠팡 본사. ⓒ 연합뉴스

쿠팡이 민관합동조사단의 개인정보 사고 조사 결과와 관련해 “페이지 조회 수와 실제 정보 유출 규모를 동일선상에서 해석하는 것은 사실과 다르다”는 입장을 밝혔다.

쿠팡은 전 직원의 대규모 자동 조회 행위는 확인됐지만, 실제로 저장되거나 외부로 유출된 개인정보의 규모는 제한적이었다며, 조회 횟수만으로 유출 피해를 판단하는 것은 오해를 낳을 수 있다고 강조했다.

10일 쿠팡에 따르면 지난해 중국 국적의 전 직원이 내부 시스템에 접근해 약 1억4000만회의 자동 조회를 수행했으며, 이 과정에서 약 3300만명의 고객 계정 데이터에 접근했다.

다만 실제로 데이터를 저장한 계정은 약 3000건에 불과했고, 이마저도 이후 모두 삭제됐다는 것이 쿠팡 측 설명이다.

문제가 된 접근은 해당 직원이 직접 작성한 소프트웨어 프로그램을 이용해 이뤄졌으며, 공격에 사용된 기기는 모두 회수돼 현재 민관합동조사단과 개인정보보호위원회가 보관 중이다.

쿠팡은 또 이번 사건에서 결제 정보, 금융 정보, 비밀번호, 정부 발급 신분증 등 고도 민감 정보에는 접근이 없었다고 강조했다.

전 직원이 접근한 정보는 이름, 이메일, 전화번호, 배송지 주소, 제한적인 주문 내역, 그리고 일부 공용현관 출입 코드에 한정됐다는 설명이다.

특히 공용현관 출입 코드의 경우, 민관합동조사단 보고서에는 약 5만건의 조회가 이뤄진 것으로 기재됐지만, 실제로 코드가 포함된 계정 접근은 2609건에 불과하다는 것이 쿠팡의 주장이다.

아울러 쿠팡은 이번 개인정보 사고와 관련해 2차 피해 사례가 확인되지 않았다는 점을 거듭 강조했다.

독립 보안 전문 기업의 분석과 함께, 다수의 외부 보안업체가 다크웹·딥웹·텔레그램 등 불법 거래 채널을 지속적으로 모니터링한 결과, 관련 정보의 유통이나 악용 정황은 발견되지 않았다는 설명이다.

경찰청 역시 지난해 12월, 보이스피싱·스미싱 등 사이버 범죄 신고 약 2만2000건과 주거침입·강도 등 강력범죄 11만6000여 건을 분석한 결과, 쿠팡 데이터 유출과 연관된 2차 피해 사례는 확인되지 않았다고 발표한 바 있다.

쿠팡 측은 “고객 데이터 보호와 투명한 정보 공개 원칙을 지켜 나가겠다”며 “정부 조사에 전면 협조하고, 추가 피해 방지와 재발 방지를 위한 보안 체계를 지속적으로 강화할 것”이라고 밝혔다.

이어 “국민은 진실을 알 권리가 있으며, 모든 사실이 명확히 밝혀지기를 바란다”고 덧붙였다.