"4536명 개인정보 유출"…쿠팡, 11월 6일 발생→18일 인지 '보안 관리 부실'

[다이어리포인트=김정훈 기자] 쿠팡에서 고객 4536명의 개인정보가 유출됐지만 회사가 이를 12일간 인지하지 못한 것으로 드러나 보안 관리 부실 논란이 일고 있다.

21일 국회 과학기술정보방송통신위원장 최민희 의원실이 한국인터넷진흥원 KISA으로부터 제출받은 침해사고 신고서에 따르면 쿠팡은 6일 오후 6시 38분 자사 계정 정보에 대한 무단 접근이 발생했다고 보고했다.​

그러나 쿠팡이 이 사실을 인지한 시점은 12일 뒤인 18일 오후 10시 52분으로 기록돼 있다. 최민희 위원장은 "침해 사고 사실을 12일간 알아채지 못했다는 것은 중대한 보안 관리 부실"이라고 지적했다.​

신고서에 따르면 쿠팡은 "유효한 인증 없이 4536개 계정 프로필에 접근한 기록이 발견됐다"고 밝혔다. 무단 접근된 계정 프로필에는 최근 5건의 주문 이력과 이름 전화번호 주소 등 배송 주소록 정보가 포함됐던 것으로 파악된다.​

초기 조사 결과 서명된 액세스 토큰이 악용된 것으로 추정된다. 쿠팡은 문제가 된 토큰의 취득 경로를 조사 중이며 토큰 서명 키를 모두 폐기하고 탐지 규칙을 강화했다고 설명했다.​

쿠팡 측은 결제 정보에 대한 접근은 없는 것으로 확인했고 쿠팡 시스템과 내부 네트워크망의 외부 침입 흔적 역시 없는 것으로 확인했다고 설명했다.​

쿠팡은 18일 피해 고객들에게 문자메시지를 보내 "11월 18일 개인정보가 비인가 조회된 것으로 확인됐다"고 통지했다. 실제 침해는 6일에 발생했음에도 내부 탐지와 고객 안내 모두 열흘가량 늦어진 셈이다.​

쿠팡은 지난 16일 고객 민원 접수를 통해 개인정보 유출 사실을 처음 인지한 것으로 알려졌다. 기본적인 이상 탐지 체계가 제대로 작동하지 않았다는 지적이 나온다.​

온라인에는 "쿠팡 12일간 몰랐다니 충격", "보안 관리 부실 심각하다", "4536명 개인정보 유출 걱정", "고객 민원으로 알았다니", "쿠팡 보안 강화해야" 등 비판과 우려의 목소리가 높다.

쿠팡에서는 과거에도 개인정보 유출 사고가 수차례 일어났다. 2023년엔 해커들이 쿠팡 고객의 개인정보 46만건을 탈취해 다크웹에서 거래했고 쿠팡이츠 배달원 13만5000여명의 개인정보와 판매자 시스템에서 2만2000여명의 주문자 및 수취인 개인정보가 유출되기도 했다.​

현재 과학기술정보통신부와 KISA 개인정보보호위원회가 유출 경위와 실제 피해 규모 등을 조사하고 있다.​