쿠팡, 개인정보 유출자 특정···"고객정보 외부전송 정황 없어"

포렌식 증거 기반 범인 특정 및 자백 확보

핵심정보 외부 유출 정황 없어 신속한 포렌식 대응

보안 전문기관 협력으로 조사 및 추가 피해 방지

고객 정보 유출 사고 여파로 쿠팡 경영 전반까지 번지며 '탈팡'(플랫폼 탈퇴) 움직임과 최대 1조 원대 과징금·집단소송·신뢰도 하락에 따른 매출 감소 등 대규모 재무·평판 리스크 우려가 커진 2일 오후 서울 송파구 쿠팡 본사에서 직원이 지나가고 있다. 사진=강민석 기자 [e-mail]

쿠팡은 최근 불거진 개인정보 유출 사태와 관련해 유출자를 특정했으며, 고객 정보가 외부로 전달되거나 제3자에게 유출된 정황은 확인되지 않았다고 25일 밝혔다.

쿠팡에 따르면 디지털 지문(digital fingerprints) 등 포렌식 증거를 토대로 고객 정보를 유출한 전직 직원의 단독 범행임을 확인했다. 해당 유출자는 범행을 자백하고 고객 정보에 접근한 방식과 저장·삭제 과정 등을 구체적으로 진술했다. 재직 중 취득한 내부 보안 키를 탈취해 고객 정보에 접근했다는 설명이다.

유출자는 약 3300만 고객 계정의 기본 정보에 접근했으나 실제로 저장한 정보는 약 3000개 계정에 불과한 것으로 조사됐다. 저장된 정보는 이름, 이메일, 전화번호, 주소, 일부 주문 정보였으며 이 중 공동현관 출입번호는 2609개로 파악됐다. 결제 정보, 로그인 정보, 개인통관고유부호 등 민감 정보에는 접근하거나 저장한 사실이 없는 것으로 확인됐다.

쿠팡은 유출에 사용된 개인용 데스크톱 PC와 맥북 에어 노트북 등 모든 장치와 하드 드라이브를 검증된 절차에 따라 회수해 확보했다. 유출자는 증거 은폐를 위해 맥북 에어를 물리적으로 파손한 뒤 하천에 유기했다고 진술했으며 쿠팡과 수사 당국은 이를 회수해 기기 일련번호가 유출자의 아이클라우드 계정 정보와 일치함을 확인했다.

사건 초기부터 맨디언트, 팔로알토 네트웍스, 언스트앤영 등 글로벌 사이버 보안 전문기관에 포렌식 조사를 의뢰했으며, 관련 진술서와 장치 자료 일체를 지난 17일부터 정부 기관에 제출하는 등 조사에 성실히 협조하고 있다고 밝혔다.

쿠팡은 현재까지의 조사 결과가 유출자의 진술과 부합하며 고객 정보의 외부 전송이나 제3자 전달 정황은 발견되지 않았다고 전했다. 포렌식 조사를 위해 글로벌 사이버 보안 업체들에 정밀 조사를 의뢰한 상태이며 향후 고객 보상 방안도 내놓을 방침이다.