쿠팡(Coupang)의 해킹으로 인한 개인정보 유출 규모가 초기 발표 때와 비교해 약 7500배 늘어난 3370만명으로 확인됐다. 쿠팡은 앞서 지난달 18일에 약 4500개 계정의 개인정보가 무단으로 노출된 사실을 인지했다고 밝혔다. 해킹 시점은 무려 5개월여 이전인 6월 24일이었다. 또 160여일이 지난 어제에서야 공식 홈페이지를 통해 공개적으로 사과했다.

올해 기준으로 우리 국민 수는 5168만명이며, 20대 이상 성인 인구 수는 4870만명으로 전체의 약 85% 이상이다. 이번에 피해를 본 3370만개 계정은 성인 인구의 거의 70%에 해당한다. 이번에 피해를 본 유출 항목은 고객 이름, 이메일 주소, 전화번호, 배송지 주소, 특정 주문 정보 등 5건이라고 쿠팡 측은 밝혔다. 고객 비밀번호와 로그인 계정 정보, 신용카드 정보와 결제 정보는 포함되지 않았다는 설명이다.

쿠팡의 대규모 개인정보 유출 사고와 관련해 정부는 30일 오후에 정부서울청사에서 배경훈 부총리 겸 과학기술정보통신부 장관 주재로 관계부처 긴급 대책회의를 개최했다. 회의에서 배경훈 부총리는 개인정보 유출로 인한 사과의 뜻을 전하며 철저한 사고 조사를 약속했다. 박대준 쿠팡 대표도는 회의에 출석해 “이번 사태로 피해를 본 쿠팡 고객과 국민께 심려 끼쳐드려 죄송하다”며 “이번 사태의 원인이 빠르게 규명될 수 있도록 노력하겠다”고 밝혔다.

쿠팡은 지난달 30일자로 쿠팡 홈페이지 하단에 작게 ‘고객 여러분께 심려와 걱정을 끼쳐드려 진심으로 사과드립니다’라는 배너를 달았다. 이 배너를 클릭해 들어가면 박대준 대표 명의로 ‘고객 여러분께 심려와 걱정을 끼쳐드려 진심으로 사과드립니다’라는 제목의 사과문을 올렸다. 하지만 제목 그 어디에서도 ‘해킹’이나 ‘개인정보 유출’이라는 단어는 찾아볼 수 없었다.

사과문에서 쿠팡은 “모든 고객 정보를 보호하는 것은 쿠팡의 중요한 우선순위”라며 “이를 매우 중요하게 생각하며 종합적인 데이터 보호 및 보안 조치와 프로세스를 유지하고 있다”고 밝혔다. 이어 “과학기술정보통신부, 개인정보보호위원회, 한국인터넷진흥원, 경찰청 등 민관 합동조사단과 협력해 추가 피해 예방을 위해 최선을 다하겠다”며 “향후 해킹으로부터 고객 데이터를 더 안전하게 보호할 수 있도록 기존 데이터 보안 장치와 시스템에 어떤 변화를 줄 수 있는지 검토 중”이라고 덧붙였다.

배경훈 부총리는 긴급 대책회의에서 “대부분의 국민이 이용하는 플랫폼사까지 침해사고 및 개인정보 유출이 발생하게 돼 송구하다”고 밝히며 “정부는 지난달 19일 쿠팡으로부터 침해 사고 신고를 받았고, 20일에 개인정보 유출 신고를 접수한 뒤 계속 현장 조사를 진행 중이었다”고 말했다.

이날 대책회의에는 배 부총리와 함께 윤창렬 국무조정실장, 송형희 개인정보보호위원장, 유재성 경찰청장 직무대행, 김창섭 국가정보원 3차장, 최우혁 과기정통부 네트워크정책실장 등이 참석했다. 배 부총리는 이어 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 300만개 이상 고객 계정의 이름, 이메일, 발송지 전화번호, 주소 등을 유출한 것으로 확인됐다”며 “이번 사고를 악용해 피싱, 스미싱 등 공격으로 개인정보 및 금전 탈취 등 2차 피해가 발생하지 않도록 대국민 보안공지를 진행했다”고 덧붙였다.

정부 발표에 따르면 현재까지 쿠팡 서버에서 악성코드가 발견되지는 않았다. 정부는 쿠팡 현장 조사에 나서 서버 해킹을 통한 정보 유출인지 다른 공격 방식을 통한 범행인지 아직 단정하지 못했다. 다만 국가배후 해킹 공격이 아닌 중국 국적의 쿠팡 직원 소행인 것으로 현재까지 파악됐다. 해당 직원은 이미 쿠팡에서 나와 외국으로 도피한 것으로 전해졌다.

박대준 대표는 피해자 보상과 관련한 질의에 “지금은 피해 범위와 유출 내용을 명확하게 확정하는 게 우선되어야 하고, 그 다음에 재발방지 대책을 수립하는 것이 급하다”며 “이런 부분들이 정해지면 회원들의 피해 보상과 관ㄹ녀한 합리적인 방안을 마련할 수 있을 것으로 본다”고 답변했다.

한편 쿠팡 일부 회원들은 국내 이커머스 시장에서 독보적인 영향력을 발휘하고 있는 쿠팡의 개인정보 관리 소홀, 정보 유출 안내 공지가 제대로 되지 않은 점, 피해자들에 대한 보상 방안 등이 담기지 않은 사과문 등을 짚으며 집단 소송을 검토하고 나선 것으로 알려졌다.