개인정보 유출 파문 쿠팡. “유출자 특정 완료, 외부 전송 없다는 진술 받았다”

쿠팡은 3370만명의 개인정보를 유출한 쿠팡 전 직원이었던 유출자를 특정하고, 고객 정보 유출에 사용된 노트북과 하드 드라이버 등 장치를 회수했다고 25일 밝혔다.

쿠팡은 이날 보도자료를 통해 “디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다”며 “유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”고 밝혔다. 이어 “유출자가 쿠팡 고객 정보를 접근 및 탈취하는 데 사용된 모든 장치와 하드 드라이브는 검증된 절차에 따라 모두 회수되어 안전하게 확보됐다”고 덧붙였다. 

쿠팡에 따르면 유출자는 탈취한 보안 키를 사용해 3300만 계정의 고객 정보에 접근한 것으로 알려진다. 이 유출자는 약 3000개 계정에서 이름, 이메일, 전화번호, 주소, 일부 주문정보 등을 실제 저장했다. 여기에 포함된 공동현관 출입번호는 2609개다. 이후 유출 사태에 대한 언론보도를 접한 후 저장했던 정보를 모두 삭제하고, 범죄에 쓰였던 맥북 에어 노트북 등을 하천에 내다버렸다는 것이 쿠팡 측의 설명이다. 

유출자가 제공한 지도와 설명을 바탕으로 잠수부들이 해당 하천에서 노트북을 회수했으며, 일련번호 또한 유출자의 계정에 등록된 일련번호와 정확히 일치했다고 쿠팡측은 밝혔다.

쿠팡은 “유출자는 단독으로 이를 저질렀으며, 약 3000개 계정의 제한적인 고객 정보만을 저장했고, 해당 고객 정보는 개인 데스크톱 PC 와 노트북에만 저장됐으며 외부로 전송된 적은 없다고 진술했다”고 설명했다.

이어 “또한 언론 보도를 접한 직후 저장돼 있던 고객 정보를 모두 삭제했다고 진술했다”며 “현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다”고 했다.

쿠팡측은 사건 초기부터 엄격한 포렌식 조사를 진행하기 위해 전 세계 최상위 3개 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 조사를 의뢰했다는 설명이다.