쿠팡, "전 직원 단독 범행"...정부, "검증 안 된 일방 발표"

[김승현 기자]

과학기술정보통신부와 쿠팡 CI [사진=과학기술정보통신부, 쿠팡] (포인트경제)

[포인트경제] 쿠팡이 최근 발생한 대규모 개인정보 유출 사태와 관련해 피의자를 특정하고 범행 기기를 회수했다고 지난 25일 발표했다. 하지만 과학기술정보통신부가 "정부 조사 중인 사안을 일방적으로 알린 것에 대해 강력히 항의했다"고 즉각 반박하며 정부와 기업 간의 엇박자가 이어지고 있다.

△ "보안 키 탈취한 전 직원의 단독 범행"

쿠팡에 따르면 이번 사건은 퇴사한 전 직원이 재직 중 취득한 내부 보안 키를 무단으로 사용해 발생한 것으로 조사됐다. 쿠팡은 자체 조사를 통해 피의자로부터 범행 일체를 자백받았다고 밝혔다.

피의자 A씨는 개인용 데스크톱 PC와 맥북에어 노트북을 활용해 약 3370만 명의 고객 계정 정보에 접근했다. 이 중 실제 주문 정보와 공동현관 출입번호가 별도로 저장된 대상은 약 3000명 규모인 것으로 확인됐다.

쿠팡 측은 "유출자가 사건 보도 이후 증거 인멸을 위해 파손된 노트북을 벽돌과 함께 에코백에 넣어 인근 하천에 던졌다고 진술했다"며, "잠수부를 동원해 해당 하천을 수색한 결과, 진술대로 노트북을 회수했으며 기기 일련번호가 유출자의 계정과 일치함을 확인했다"고 설명했다.

△ 정부 "민관합동조사단 검증 안 된 일방적 주장"

그러나 쿠팡의 발표 직후 과학기술정보통신부는 보도자료를 통해 당혹감을 표했다. 과기정통부는 "쿠팡의 발표 내용은 향후 민관합동조사단의 확인과 검증이 필요한 사항"이라며, "조사가 진행 중인 사안을 쿠팡이 일방적으로 대외에 알린 것에 대해 강력히 항의했다"고 밝혔다.

정부는 현재 유출된 정보의 구체적인 종류와 규모, 유출 경위 등에 대한 정밀 조사를 진행 중이다. 과기정통부 측은 쿠팡이 주장하는 '외부 전송 데이터 부재'나 '단독 범행 여부' 등에 대해 국가 차원의 확인이 끝나지 않았다는 점을 분명히 했다. 조사단은 쿠팡이 회수했다고 밝힌 장치들의 포렌식 결과와 시스템 로그를 처음부터 재검증할 계획이다.

△ 유출 정보의 상세 내용과 피해 규모

쿠팡은 이번 사건으로 인한 2차 피해 가능성에 대해 선을 그었다. 맨디언트, 팔로알토 네트웍스 등 3개 글로벌 보안 업체에 조사를 의뢰한 결과, 결제 정보나 로그인 관련 민감 정보, 개인통관번호 등에 대한 접근은 없었다는 주장이다.

다만, 2609개의 공동현관 출입번호가 노출된 점에 대해서는 사실을 인정하고 고개를 숙였다. 쿠팡은 "유출자가 해당 정보를 삭제했다고 진술했으며, 모든 범행 장치가 확보돼 제3자에게 전송된 데이터는 일체 없다"고 강조하며, "수많은 국민들께 걱정과 불편을 끼쳐드린 점에 대해 진심으로 사과드린다"고 전했다.

쿠팡의 전격적인 발표 이후에도 정부 차원의 조사는 이어질 전망이다. 민관합동조사단은 쿠팡이 제출한 관련 자료와 회수된 장치 등을 바탕으로, 유출 정보의 범위와 경위가 사실관계와 부합하는지를 검증하는 절차를 진행할 것으로 보인다. 정부는 이번 사건과 관련해 추가적인 검증이 필요하다는 입장을 유지하고 있다.

<저작권자 Copyright ⓒ 포인트경제 무단전재 및 재배포 금지>