더트래커 = 김상년 기자
국내 최대 온라인 쇼핑몰 쿠팡에서 고객 개인 정보 약 3370만개가 노출되는 사고가 발생하면서 국내 소비자들이 큰 혼란과 불안에 빠졌다.
정부는 30일 오후 긴급 관계부처대책회의를 열고 대책을 논의했다. 박대준 쿠팡대표는 이날 대국민 사과문을 발표했다.
쿠팡은 고객 안내문자에서 “결제 정보는 노출되지 않았다”고 설명했지만 주소는 물론, 현관문 출입 비밀번호 등도 함께 노출됐다는 사실이 알려지면서 불안감을 호소하는 소비자들이 늘고 있다. 거의 반년 전부터 고객 정보가 유출됐을 가능성까지 제기되면서 실제 피해 규모는 더 커지는게 아니냐는 우려도 많다.
쿠팡은 지난 29일 오후 고객 계정 3370만개가 무단으로 노출된 것으로 확인됐다고 밝혔다. 당초 쿠팡은 지난 18일 4500개 계정의 개인정보가 노출된 사실을 인지했다고 발표했는데, 11일 만에 노출 계정이 이같이 급증한 것이다.
쿠팡에서 한 번이라도 제품을 구매한 고객 수를 뜻하는 ‘활성 고객 수’는 올해 3분기 기준 2470만명이다. 노출된 고객 계정은 3분기 활성 고객 수보다 1000만개 가까이 더 많다. 사실상 쿠팡의 모든 고객 개인정보가 노출된 것으로 추정된다.
쿠팡은 지난 29일부터 고객들에게 보낸 문자 안내에서 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호, 로그인 정보는 포함되지 않았으며 안전하게 보호되고 있다고 밝혔다.
쿠팡 측은 또 언론 설명에서 "현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다"고 설명했다. 고객 정보 탈취 시도가 이미 5개월 이전에 시작됐다는 얘기다.
쿠팡은 사고 발생 사실을 지난 18일 처음 파악하고 지난 20일과 29일 각각 관련 내용을 개인정보보호위원회에 신고했다. 개인정보보호위는 현재 관련 조사를 진행 중이다. 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다.
과학기술정보통신부도 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다.
서울경찰청 사이버수사대는 지난 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인 정보 유출 사태에 대한 수사에 착수했다. 쿠팡은 중국계 전 내부 직원을 정보 유출 혐의로 경찰에 고소한 것으로 알려졌다. 이 직원은 현재 쿠팡을 떠나 출국한 것으로 전해진다. 이 전직 직원이 맞는지는 경찰 수사가 끝나봐야 판명될 것으로 보인다.
앞서 개인정보 노출이 알려졌을 당시 쿠팡은 언론에 “제3자가 비인가 접근을 통해 고객 계정의 정보를 조회했다”며 “외부 침입 흔적은 없다”고 밝혔다. 이 때문에 “내부 직원의 소행이 아니냐”는 추정이 나왔다. 쿠팡이 접수한 고소장에는 피고소인이 ‘성명불상자’로 적힌 것으로 알려졌다.
쿠팡은 “해당 활동을 탐지한 뒤 제3자가 사용했던 접근 경로를 차단했다”고 밝혔지만 고객들의 불안감은 크다. 쿠팡이 개인정보 노출 사실을 제때 파악하지 못한 것은 물론, 사실상 전 고객의 정보가 노출됐는데도 그 규모조차 제대로 모르고 있었기 때문이다.
앞서 쿠팡은 한국인터넷진흥원(KISA)에 침해 사고를 신고하면서 고객 정보 노출은 이달 6일에 발생했고, 그로부터 12일이 지난 이달 18일에 이를 인지했다고 밝혔다.
하지만 침해 사고 신고 이후 경찰청, 개인정보보호위원회, 한국인터넷진흥원 등 관련 당국의 조사가 진행되면서 이미 지난 6월부터 개인정보 노출이 이뤄졌으며 피해 고객 역시 3370만명에 달한다는 사실이 밝혀졌다.
쿠팡의 이번 개인정보 노출 사고는 국내 개인정보 유출 사고사(史) 최대 기록을 남길 것으로 보인다. 지금까지 최대 기록은 지난 4월 SK텔레콤 해킹 사고였다. 가입자 2324만명의 유심 정보가 유출되면서 SK텔레콤은 역대 최대 1348억원의 과징금을 부과받았으며 지금도 그 후유증 수습에 시달리고 있다.
역대 최다 수준의 개인정보 유출에 벌써부터 집단 소송 움직임도 보인다. 이날 포털사이트 네이버에는 ‘쿠팡 개인정보유출 집단 소송’ 카페가 개설되기도 했다.