쿠팡 "정보 유출자 특정·모든 장치 회수…유출자는 3천개 계정 정보만 저장"

(서울=연합인포맥스) 정수인 기자 = 쿠팡은 자체 조사를 통해 대규모 정보 유출 사고를 일으킨 유출자를 특정하고 고객 정보 유출에 사용된 모든 장치가 회수됐음을 확인했다고 25일 밝혔다.

현재까지의 쿠팡 내부 조사에 의하면 "유출자는 3천300만 개가 넘는 고객 정보에 접근했으나 이중 약 3천 개 계정의 제한된 고객 정보만 저장했고 이후 이를 모두 삭제했다"고 쿠팡은 전했다.

저장된 고객 정보는 약 3천 개 중 공동현관 출입번호 2천609개가 포함됐다고 회사는 설명했다. 다만 이중 결제정보, 로그인, 개인 통관고유번호는 없으며 외부 전송 등 추가 유출은 없는 것으로 확인했다고 쿠팡은 덧붙였다.

쿠팡은 디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다고 밝혔다. 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다. 쿠팡은 사건 초기부터 조사를 진행해 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 조사를 의뢰했다.

쿠팡은 "유출자가 쿠팡 고객 정보를 접근 및 탈취하는 데 사용된 모든 장치와 하드 드라이브는 검증된 절차에 따라 모두 회수돼 안전하게 확보되었다"고 했다.

◇쿠팡 "유출자 진술 내용과 현재까지 조사 결과 부합"

유출자의 진술 내용과 현재까지의 조사 결과는 부합한다고 회사는 밝혔다.

쿠팡은 "유출자는 탈취한 보안 키를 사용하여 3천300만 고객 계정의 기본적인 고객 정보에 접근했고, 약 3천개 계정의 고객 정보(이름, 이메일, 전화번호, 주소, 일부 주문정보)만 실제 저장했으며, 여기에 포함된 공동현관 출입번호는 2천609개였다"면서 "사태에 대한 언론보도를 접한 후 저장했던 정보를 모두 삭제했으며, 고객 정보 중 제삼자에게 전송된 데이터는 일체 없다"고 설명했다.

쿠팡은 유출자가 개인용 데스크톱 PC와 MacBook Air 노트북을 사용해 공격을 시도했고 접근한 정보 중 일부를 해당 기기에 저장했다고 진술했다고 알렸다. 독립적인 포렌식 조사 결과 쿠팡 시스템에 대한 불법접근은 유출자가 진술한 대로 1대의 PC 시스템과 1대의 애플 시스템을 통해 수행된 것으로 확인됐다.

쿠팡은 유출자가 해당 데스크톱 PC와 PC에서 사용된 4개의 하드 드라이브를 제출했으며, 분석 결과 이들 저장장치에서 공격에 사용된 스크립트가 발견됐다고 밝혔다.

이어 "유출자는 언론을 통해 데이터 유출 보도가 나오자 극도의 불안 상태에 빠져 증거의 은폐·파기를 시도했다고 진술했다"며 "유출자는 MacBook Air 노트북을 물리적으로 파손한 뒤 쿠팡 로고가 있는 에코백에 넣고 벽돌을 채워 인근 하천에 던졌다고 진술했다"고도 전했다.

쿠팡은 유출자가 제공한 지도와 설명을 바탕으로 잠수부들이 해당 하천에서 MacBook Air 노트북을 회수했으며, 회수된 기기는 유출자의 진술 그대로 "벽돌이 담긴 쿠팡 에코백" 안에 들어 있었고, 일련번호 또한 유출자의 iCloud 계정에 등록된 일련번호와 정확히 일치했다고 설명했다.

또한 "유출자는 단독으로 이를 저질렀으며 약 3천개 계정의 제한적인 고객 정보만을 저장했고, 해당 고객 정보는 개인 데스크톱 PC와 MacBook Air 노트북에만 저장됐으며 외부로 전송된 적은 없다고 진술했다"면서 "언론 보도를 접한 직후 저장돼 있던 고객 정보를 모두 삭제했다고 진술했다. 현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다"고 강조했다.

쿠팡은 "향후 진행될 조사 경과에 따라 지속적으로 안내할 예정이며 이번 사태로 인한 고객 보상 방안을 조만간 별도로 발표할 예정"이라고 덧붙였다. 정부 조사에 적극 협조할 뿐 아니라 2차 피해 예방에도 최선을 다하겠다고 약속했다.

sijung@yna.co.kr