쿠팡에서 대규모 개인정보 유출이 발생, 2차 피해까지 우려되고 있는 1일 서울 송파구 쿠팡 본사 건물에 적막이 흐르고 있다. 성동훈 기자
쿠팡이 대규모 개인정보 유출 사태와 관련해 전직 직원의 단독 범행으로 제3자에게 전달된 정황은 없다고 25일 밝혔다. 민관합동조사단과는 별개로 자체 조사한 결과를 내놓은 것으로, 정부는 쿠팡 측의 일방적인 발표에 강력 항의했다.
쿠팡은 이날 보도자료를 통해 “디지털 지문 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다”면서 “해당 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”고 밝혔다. 이어 “(개인정보 유출에 사용된) 모든 장치와 하드디스크 드라이브는 검증된 절차에 따라 모두 회수·확보했다”고 덧붙였다.
쿠팡에 따르면 유출자는 재직 중에 취득한 내부 보안 키를 탈취해 3300만개의 고객 개인정보에 접근했으나 이 중 약 3000개 계정의 고객 정보만 저장했다. 여기에는 이름, e메일, 전화번호, 주소, 일부 주문정보, 2609개의 공동현관 출입 번호가 포함됐으며 결제정보, 로그인 관련 정보, 개인 통관번호에 대한 접근은 없었다. 또 유출자는 사태에 대한 언론 보도를 접한 후 저장했던 정보를 모두 삭제했으며 고객 정보 중 제3자에게 전송한 데이터는 없는 것으로 파악됐다고 쿠팡은 전했다.
쿠팡 측 설명을 구체적으로 보면 유출자는 개인용 데스크톱 PC와 맥북 에어 노트북을 사용해 불법 접근을 시도했다. 포렌식 조사 결과 쿠팡 시스템 접근은 이 두 기기를 통해 이뤄진 것으로 확인됐다.
유출자는 증거 은폐를 위해 맥북 에어 노트북을 물리적으로 파손한 뒤 벽돌을 담은 쿠팡 에코백에 넣어 인근 하천에 투기했다. 유출자는 언론 보도를 접한 이후 저장돼 있던 정보를 모두 삭제했다.
쿠팡은 “현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다”고 강조했다.
개인정보 유출자의 진술 확보 등을 어떤 이유로 경찰이나 민관합동조사단이 아닌 쿠팡이 수행하게 됐는지는 알려지지 않았다. 쿠팡은 조사 주체에 대한 질문에 “현재로서는 제공된 정보 외에는 확인할 수 없다”고 답했다.
쿠팡의 ‘기습 발표’에 정부는 당황한 기색을 감추지 못했다. 과학기술정보통신부는 이날 쿠팡 발표 직후 보도자료를 내고 “쿠팡의 발표 내용은 민관합동조사단 확인이 필요한 사항”이라며 “조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 것에 대해 강력히 항의했다”고 밝혔다. 유출된 정보의 종류나 규모, 유출 경위 등에 관한 조사는 여전히 진행 중이라는 점도 분명히 했다.
산업계에선 쿠팡의 이런 행태가 향후 정부 제재 등을 염두에 둔 결과라는 관측이 나온다. 업계 한 관계자는 “쿠팡은 사태 초반부터 국민 정서는 고려하지 않는 모습을 보여왔다”며 “오늘 발표도 법적으로 유불리를 따진 결과일 것”이라고 말했다.
또 다른 관계자는 “쿠팡이 ‘미국 기업’ 프레임을 내세워 더이상 건드리지 말라는 것처럼 보인다”며 “민관합동조사가 진행되는 상황에서 수사 대상인 쿠팡이 자체 조사하고 2차 피해가 없다고 하는 게 말이 안된다”고 지적했다.
한편 이날 이재명 대통령이 긴급 소집을 주문해 열린 관계부처 대책회의에서 정부는 류제명 과기정통부 2차관이 팀장을 맡던 범부처 태스크포스(TF)를 배경훈 부총리 겸 과기정통부 장관 주재로 확대 운영키로 결정했다.
김용범 정책실장이 주재한 이날 대책회의에는 배 부총리를 비롯해 대통령실, 외교부, 산업통상부, 공정거래위원회, 개인정보보호위원회, 방송미디어통신위원회, 금융위원회 등 관계 부처 장·차관급 고위 관계자들이 참석했다.
