사진=쿠팡
사진=쿠팡

[다이어리포인트=최승진 기자] 국내 최대 전자상거래 플랫폼 쿠팡에서 고객 계정 3370만개의 개인정보가 무단으로 노출되는 초유의 사태가 발생한 가운데 내부 직원의 소행이라는 정황이 확인돼 경찰 수사가 시작됐다.

29일 경찰에 따르면 쿠팡은 최근 내부 직원을 정보 유출 혐의로 서울경찰청에 고소했다. 경찰은 내부자가 어떤 방식으로 고객 정보에 접근했는지, 유출된 정보가 외부로 판매됐는지 등을 중점적으로 수사할 방침이다.

쿠팡은 29일 "고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다"며 "경찰청, 한국인터넷진흥원, 개인정보보호위원회 등 관계 기관과 조사하고 있다"고 밝혔다. 이는 지난 18일 "약 4500개 계정의 개인정보가 무단으로 노출됐다"고 발표한 지 11일 만에 피해 규모가 약 7500배 급증한 것으로 쿠팡 월간활성이용자(MAU) 약 3200만명을 초과하는 수치다.

유출된 정보는 고객의 이름, 이메일 주소, 배송지 주소록(입력한 이름, 전화번호, 주소), 일부 주문정보다. 쿠팡은 "카드정보 등 결제정보 및 패스워드 등 로그인 관련 정보는 노출이 없었음을 확인했으며 안전하게 보호되고 있다"고 강조했다. 하지만 이름, 주소, 전화번호 등은 보이스피싱이나 스미싱 등 2차 피해로 이어질 수 있어 고객들의 불안이 커지고 있다.

더욱 충격적인 것은 쿠팡이 5개월 가까이 이 사실을 감지하지 못했다는 점이다. 쿠팡은 "현재까지 조사에 따르면 해외 서버를 통해 올해 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정된다"며 "무단 접근 경로를 차단했고 내부 모니터링을 강화했다"고 밝혔다.

한국인터넷진흥원(KISA)에 제출된 침해 사고 신고서에 따르면 지난 6일 오후 6시 38분 쿠팡 계정 정보에 대한 무단 접근이 발생했으며 이를 12일 후인 18일 오후 10시 52분에서야 인지했다.

쿠팡의 초기 조사에 따르면 이번 사건은 로그인 사용자에게 발급되는 '서명된 액세스 토큰'을 악용해 접근한 공격으로 추정된다. 공격자는 이 토큰을 통해 고객 계정 프로필에 접근한 것으로 보인다. 업계에서는 이러한 액세스 토큰을 내부 직원이 아니면 확보하기 어렵다는 점에서 내부자 범행 가능성에 주목해왔다. 쿠팡이 직원을 고소하면서 이러한 의혹이 사실로 확인된 셈이다.

이번 유출 규모는 올해 4월 SK텔레콤에서 2300만명의 개인정보가 유출된 사고를 넘어서는 국내 최대 규모다. 업계 관계자는 "과거 통신사, 카드사 개인정보 유출이 발생했지만 쿠팡의 경우 매일 수많은 소비자들이 사용한다는 측면에서 더욱 민감한 사안"이라고 지적했다.

쿠팡의 3분기 기준 월간활성이용자 수는 2470만명인데 유출된 계정 수가 이를 900만개 이상 초과한다는 점에서 사실상 모든 고객의 정보가 유출된 것으로 추정된다.

사진=다이어리포인트
사진=다이어리포인트

쿠팡은 개인정보가 유출된 고객들에게 이메일 또는 문자메시지를 통해 별도 안내를 진행했다. 쿠팡 측은 "고객님께 심려를 끼쳐 드린 점에 대해 다시 한번 진심으로 사과의 말씀을 드린다"며 "쿠팡을 사칭하는 전화, 문자 등에 각별한 주의를 부탁드린다"고 당부했다. 추가 문의 사항이 있을 경우 메일(incident_help@coupang.com)로 문의하라고 안내했다.

하지만 쿠팡은 보상 절차나 범위에 대해서는 구체적인 언급을 하지 않아 논란이 예상된다. 개인정보 보호법에 따르면 정보 유출을 인지한 지 72시간 이내에 신고해야 하며 피해 보상도 이뤄져야 한다.

업계에서는 쿠팡이 초기 4500개 계정 유출이라고 발표했다가 3370만개로 급증한 점, 5개월간 해킹을 감지하지 못한 점, 내부 직원의 범행을 막지 못한 점 등에 대해 정보보호 체계에 심각한 문제가 있다고 지적하고 있다.

개인정보 유출 피해를 확인하려는 고객들의 문의가 쇄도하면서 쿠팡 고객센터는 마비 상태에 빠진 것으로 전해졌다. 전문가들은 "유출된 정보를 악용한 보이스피싱, 스미싱, 택배 사칭 등 2차 피해가 우려된다"며 "쿠팡을 사칭한 연락이 올 경우 개인정보나 금융정보를 절대 제공하지 말고 공식 채널을 통해 확인해야 한다"고 조언했다.

한편 경찰은 내부 직원의 구체적인 범행 경위와 동기, 유출된 정보의 활용 여부 등을 조사 중이며 수사 결과에 따라 추가 피의자가 나올 가능성도 있는 것으로 알려졌다.