"쿠팡 정보 유출 '정상 로그인 없어'...서버 인증 취약점 악용"

정부, '쿠팡 개인정보 유출' 대책회의
"통신·금융 이어 플랫폼서도 사고 송구"
"2차 피해 주의 당부... 모니터링 강화"
쿠팡 "중국인 직원 소행 염두에 둬"

배경훈 부총리 겸 과학기술정보통신부 장관이 30일 종로구 정부서울청사에서 열린 '쿠팡 고객 정보 유출 사건' 관련 관계기관 긴급 대책회의에서 모두발언을 하고 있다. 강예진 기자

쿠팡 고객 3,370만명 정보 유출 사고를 조사 중인 정부는 '쿠팡 서버 취약점을 악용한 비정상적 로그인'을 통한 범행으로 추정했다. 또 2차 피해 방지를 위해 민관합동조사단을 가동하고 3개월 동안 개인 정보가 빠져났는지, 불법으로 유통됐는지 등을 모니터링한다. 통신사(SK텔레콤·KT)와 금융사(롯데카드)에 이어 또다시 개인정보 유출 사고가 터지자 정부는 "송구하다"고 고개를 숙였다.

배경훈 부총리 겸 과학기술정보통신부 장관은 30일 정부서울청사에서 윤창렬 국무조정실장, 송경화 개인정보보호위원회 위원장, 유재성 경찰청장 직무대행, 김창섭 국가정보원 3차장, 최우혁 과기정통부 네트워크정책실장 등이 참여하는 관계 기관 긴급 대책 회의를 열었다.

배 부총리는 "통신사, 금융사에 이어서 국민들께서 많이 이용하시는 플랫폼사까지 침해 사고 및 개인 정보 유출이 발생하게 되어 송구하다"며 "정부는 11월 19일 쿠팡으로부터 침해 사고 신고, 11월 20일 개인정보 유출 신고를 받은 이후 현장 조사를 진행 중에 있으며 공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3,000만 개 이상의 고객 계정에서 고객명·이메일·배송지 전화번호 및 주소를 유출한 것으로 확인했다"고 밝혔다.

민관합동조사단 활동 착수... 악성코드는 발견 안 돼

박대준 쿠팡 대표가 30일 종로구 정부서울청사에서 열린 '쿠팡 고객 정보 유출 사건' 관련 관계기관 긴급 대책회의에 참석한 후 고개 숙여 사과하고 있다. 강예진 기자

배 부총리는 이어 "정부는 면밀한 사고 조사 및 피해 확산 방지를 위해 30일부터 민관합동조사단을 가동하고 있으며 쿠팡이 개인정보 보호와 관련한 안전조치 의무를 위반하였는지 여부도 조사 중에 있다"고 밝혔다. 현재 8인 규모로 구성된 합동조사단은 이날 오후 2시 서울 송파구 쿠팡 본사에서 첫 회의를 열고 현장 상황 등을 파악했다.

배 부총리는 "이번 사고를 악용하여 피싱, 스미싱 공격을 통해 개인 정보 및 금전 탈취 등 2차 피해가 발생하지 않도록 대국민 보안 공지를 하고 있다"고 했다. 그는 "국민 여러분께서는 쿠팡을 사칭하는 전화나 문자 등에 각별한 주의를 당부드린다"며 "정부는 국민 여러분의 불편과 심려를 해소할 수 있도록 관계 부처와 함께 최선의 노력을 다하겠다"고 말했다. 정부는 30일부터 3개월 동안 다크웹을 포함한 인터넷상 개인 정보 유·노출 및 불법 유통 모니터링 강화 기간으로 운영한다.

회의 종료 후 정부 당국자는 일각에서 제기된 '쿠팡 내부 중국인 직원 소행설'에 대해 "수사 영역이어서 지금 밝히기 어렵다"고 즉답을 피했다. 다만 쿠팡 측은 회의에서 "중국 직원의 소행일 가능성을 염두에 두고 있다"고 발언한 것으로 전해졌다. 또 "지금까지 발견된 악성 코드는 없다"고 밝혔다.

이날 긴급 대책회의에는 박대준 쿠팡 대표도 출석했다. 박 대표는 회의에 앞서 기자들과 만나 "이번 사태로 인해 피해를 입은 쿠팡 고객과 국민에게 심려를 끼쳐드려 너무 죄송하단 말씀과 사과의 말씀을 드리고 싶다"며 "정부 합동 조사에 최대한 적절히 협조해 이 사태가 빠르게 진정될 수 있도록 최선의 노력을 다하겠다"고 고개를 숙였다.

김진욱 기자 kimjinuk@hankookilbo.com