쿠팡 개인정보 3370만 계정 노출…사고 인지까지 12일 지연

[중앙신문=김상현 기자] 쿠팡에서 약 3370만개에 달하는 고객 계정의 개인정보가 무단으로 노출된 사실이 29일 확인됐다. 국내 전자상거래 업계에서 발생한 사고 가운데 최대 규모 중 하나로, 사실상 대부분의 쿠팡 계정이 영향을 받은 것으로 추정된다.

이날 쿠팡과 한국인터넷진흥원(KISA)에 따르면, 쿠팡은 이달 6일 오후 6시38분께 자사 계정 정보에 대한 비인가 접근이 발생했으나 이를 12일 뒤인 18일 오후 10시52분에서야 인지했다. 쿠팡은 사고 초기 약 4500개 계정만 노출된 것으로 파악했지만, 후속 조사에서 실제 노출 계정이 3370만개에 이르는 것으로 확대됐다.

노출된 정보는 이름, 이메일 주소, 배송지 주소록(입력된 이름·전화번호·주소), 일부 주문정보 등이다.

다만 결제정보, 신용카드 번호, 패스워드 등 로그인 정보는 유출되지 않았다고 쿠팡은 밝혔다. 이번에 확인된 피해 계정 수는 쿠팡의 활성 구매고객(2470만명) 및 와우 멤버십 회원 규모(1400만명)보다 많은 수준으로, 중복 계정이나 휴면 계정까지 포함된 것으로 보인다.

쿠팡은 “해외 서버를 통해 올해 6월24일부터 개인정보에 무단 접근한 것으로 추정된다”며 “현재 비정상 접근 경로를 차단했고 내부 모니터링도 강화했다”고 설명했다.

회사는 사고 인지 후 독립 보안전문가를 영입해 조사를 진행하고 있으며 경찰청, 개인정보보호위원회, KISA 등 관계기관과 협력 중이라고 밝혔다.

쿠팡은 이날 고객들에게 문자메시지를 보내 “고객님의 개인정보가 일부 노출되는 사고가 발생했다”며 사과했으나, 구체적인 유출 규모는 안내하지 않았다. 문자에서는 결제정보 노출이 없다는 점과 함께 사칭 전화·문자에 대한 주의만을 당부했다.

사고 발생 시점과 인지 시점 사이에 12일의 차이가 발생한 데다 유출 기간이 수개월에 걸쳤을 가능성까지 제기되면서, 모니터링 체계와 초기 대응의 적정성을 둘러싼 논란도 커지고 있다. 관계기관은 쿠팡과 함께 유출 경위와 정확한 피해 범위를 조사하고 있다.