쿠팡 "공용현관 출입코드 유출, 5만건 아닌 2609건" 주장

쿠팡이 10일 오후 발표한 개인정보 유출 규모에 대한 민관합동조사단의 조사 결과 발표에 대한 입장문. [사진: 쿠팡 홈페이지]

[디지털투데이 안신혜 기자] 쿠팡이 개인정보 규모에 대한 민관합동조사단의 조사 결과 발표와 관련해 전 직원의 부적절한 접근은 있었다고 인정하면서도 실제 저장·유출 정황은 제한적이며 2차 피해 증거도 확인되지 않았다는 입장을 내놨다.

또 쿠팡은 민관합동조사단이 10일 오후 발표한 조사 결과 보고서에서 적시된 공용현관 출입 코드 5만건은 사실과 다르다고 주장했다. 실제 접근이 2609개 계정에 한정됐다는 설명이다.

쿠팡은 10일 '민관합동조사단의 2025년 11월 데이터 사건 조사 발표에 대한 입장'을 통해 "지난해 중국 국적의 전 직원이 3300만개 이상의 고객 계정이 포함된 데이터에 부적절하게 접근해 약 3000개 계정의 정보를 저장했다"며 "국내에서 거주하던 해당 직원은 스스로 작성한 소프트웨어 프로그램으로 약 1억4000만회의 자동 조회를 수행했다"고 인정했다. 이어 "다만 데이터가 추가로 제3자에 의해 열람되거나 활용된 정황은 없다"고 덧붙였다.

쿠팡은 입장문에서 ▲데이터 자동화 조회 약 1억4000만회 ▲사용자 데이터 접근 약 3300만명 ▲공용현관 출입 코드가 포함된 데이터 접근 2609건 ▲사용자 데이터 저장 약 3000건 ▲데이터 부정 사용 사례 0건을 강조했다.

쿠팡에 따르면 중국 국적의 전 직원은 국내에서 근무하던 기간 스스로 만든 프로그램으로 약 1억4000만회 자동조회를 수행하고 3300만 명 이상의 고객 계정이 포함된 데이터에 부적절하게 접근했다. 다만 저장된 정보는 약 3000개 계정 수준이며 추가로 제3자가 열람하거나 활용한 정황은 없다. 접근 데이터 가운데 공용현관 출입 코드가 포함된 것은 2609건이다.

쿠팡은 조사 과정에서 규제 당국과 공유해 온 포렌식 분석 결과를 근거로 "전 직원이 정보 접근에 사용한 기기는 모두 회수됐다. 확보된 증거는 약 3000개 계정의 데이터를 저장한 뒤 삭제했다는 당사자의 선서 진술과 부합한다"고 설명했다.

회사는 지난해 12월 23일 이후 민관합동조사단과 개인정보보호위원회 등이 회수 기기를 보유하고 있으며 회수 기기 내에 한국 이용자의 개인정보가 저장돼 있지 않다는 포렌식 결과도 당국이 갖고 있다고 설명했다.

접근 정보의 범위에 대해서는 "이름, 이메일, 전화번호, 배송지 주소, 제한적인 주문 내역, 일부 공용현관 출입 코드"에 그쳤다고 했다. 결제 정보, 금융 정보, 사용자 ID·비밀번호, 정부 발급 신분증 등 고도 민감 정보에는 접근하지 않았다는 주장이다. 쿠팡은 이 사실이 클라우드 플랫폼 제공 업체 아카마이(Akamai) 보안 로그로 검증됐으며 해당 로그를 지난해 12월 8일 민관합동조사단과 개인정보보호위원회에 전달했다고 했다.

쿠팡은 또 "민관합동조사단이 10일 발표한 보고서에 공용현관 출입 코드에 대해 5만건의 조회가 수행됐다고 적시한 것과 달리 실제 접근 건은 2609개 계정에 한정됐다는 아카마이 로그·데이터 분석 기반 검증 결과는 누락됐다"고 주장했다.

회사는 2차 피해 여부도 확인되지 않았다고 강조했다. 쿠팡은 "독립 보안 전문 기업 CNS 분석에 따르면 데이터 유출 발생 시점부터 현재까지 이들 모니터링 결과에서 2차 피해와 연관된 다크웹 활동은 단 한건도 확인되지 않았다"고 말했다.

회사에 따르면 다수의 독립 인터넷 보안 전문 업체로부터 다크웹, 딥웹, 텔레그램, 중국 메신저 플랫폼 등을 지속적으로 모니터링한 결과를 주간 단위로 전달받고 있다. 쿠팡은 "조사 과정 전반에 걸쳐 정부에 관련 분석 결과를 제공해 왔고 앞으로도 지속적으로 모니터링하며 업데이트를 제공할 예정"이라고 말했다.

다만 쿠팡은 2차 피해 여부와 관련해 경찰이 지난해 12월 15일 "2차 피해 발생 여부를 단정하기 어렵다"고 언급한 것에 대해서는 의문을 제기했다. 앞서 12월 5일 경찰이 모니터링 결과를 토대로 배송지 정보, 주문 정보 등 쿠팡에서 유출된 정보 유형이 악용된 2차 피해 관련 의심 사례는 확인되지 않았다고 한 것과 달리 열흘 만에 입장이 바뀌었다는 이유에서다. 쿠팡은 "해당 발언 이후 약 두 달이 지난 현재까지 경찰이 확인해 발표한 2차 피해 사례는 없다"고 일축했다.

회사는 "앞으로도 정부의 조사에 전면 협조하고 추가 피해를 막기 위한 필요한 모든 조치를 취하며 재발 방지를 위한 보호 체계도 강화할 것"이라며 "모든 사실이 명확히 밝혀지기를 고대한다. 이번 일로 우려를 끼쳐드린 점에 대해 깊은 유감의 뜻을 전하며 영향을 받은 모든 분들께 사과드린다"고 말했다.