쿠팡 정보유출, 3천367만건보다 커질 가능성…배송지 목록 변수

제3자 정보도 포함 우려…추가 유출까지 반영 땐 피해규모↑

쿠팡 개인정보 유출 더 많았다…16만5천여건 추가

(서울=연합뉴스) 임화영 기자 = 쿠팡에서 유출된 고객 계정 수가 자체적으로 공개한 3천개보다 훨씬 많은 것으로 드러났다.
쿠팡은 지난해 11월 확인된 개인정보 유출 사건과 관련해 16만5천여건 계정이 추가로 유출된 사실을 확인했다고 지난 5일 밝혔다.
사진은 6일 서울 시내의 한 쿠팡 물류센터. 2026.2.6 [e-mail]

(서울=연합뉴스) 차민지 기자 = 쿠팡의 개인정보 유출 피해 규모가 민관합동조사단이 발표한 '3천367만건'보다 늘어날 가능성이 제기된다.

현재 공개된 수치는 계정 기준에 따라 산정된 것으로, 배송지 정보에 포함된 제3자 개인정보와 추가 유출 신고 등이 반영되지 않았기 때문이다.

10일 과학기술정보통신부 민관합동조사단 발표에 따르면 쿠팡의 '내 정보 수정 페이지'에서 이용자 성명과 이메일이 포함된 개인정보 3천367만3천817건이 유출된 것으로 확인됐다.

이 수치는 동일 계정의 성명과 이메일을 하나로 묶어 집계한 계정 기준으로 중복 계정은 없는 것으로 파악됐다.

다만 일부 이용자가 복수 계정을 보유했을 가능성은 남아있다.

[과기부 민관합동조사단 제공. 재판매 및 DB 금지]

조사단은 또 공격자가 '배송지 목록 페이지'에서 이름·전화번호·배송지 주소와 함께 특수문자로 비식별화된 공동현관 비밀번호가 포함된 개인정보를 1억4천800만여 차례 조회한 사실을 확인했다.

이 수치는 개인정보 유출 '건수'가 아니라 조회 횟수를 의미하는 것으로, 동일 이용자 정보가 반복적으로 열람됐을 가능성도 있어 이를 곧바로 '1억4천800만건 유출'로 환산하기는 어렵다.

개인정보보호위원회 관계자는 "배송지 목록을 1억4천만여회 조회한 것이 곧 1억4천만개의 계정이 유출됐다는 의미는 아니다"라며 "같은 이용자의 정보를 여러 차례 조회했을 가능성도 있어 조회 횟수와 실제 유출 규모는 다를 수 있고 이를 추려내야 하는 상황"이라고 설명했다.

그럼에도 배송지 정보에는 계정 소유자뿐 아니라 가족·지인 등 제3자의 이름·전화번호·주소가 함께 포함될 수 있다는 점에서 피해 범위가 확대될 가능성이 크다.

예컨대 이용자가 가족이나 친구의 주소로 물품을 대신 구매해 배송한 경우 계정주 외 제3자의 연락처와 주소 정보까지 함께 유출 범위에 포함될 수 있다.

이밖에 조사단은 성명, 전화번호, 배송지 주소 외에 공동현관 비밀번호가 포함된 '배송지 목록 수정 페이지'를 5만474회 조회한 사실도 확인했다.

또한 이용자가 최근 주문한 상품 목록이 포함된 '주문 목록 페이지'를 10만2천682회 조회한 것으로 나타났다.

이번 조사단의 발표에는 쿠팡이 별도로 신고한 16만5천여 계정 관련 유출 건이 포함되지 않은 것으로 알려졌다.

조사단은 개인정보 세부 유출 규모는 개인정보보호위원회에서 확정해야 한다고 설명했다.

개인정보위는 배송지 목록·상품목록 조회 기록 등을 토대로 실제 몇 개 계정의 정보가 열람됐는지와 제3자 정보 포함 여부 등을 종합적으로 분석해 최종 피해 규모를 확정할 방침이다.

개인정보위 관계자는 "조회 기록이 방대하고 실제 유출된 정보를 가려내는 과정이 필요해 규모 산출에 시간이 걸린다"며 "정확한 개인정보 유출 규모는 추가 분석을 거쳐 확정 발표할 예정"이라고 밝혔다.

[e-mail]