쿠팡은 25일 3300만 가입자 개인정보를 유출한 직원을 찾았다고 밝혔다.

쿠팡은 이날 오후 보도참고자료를 내어 개인정보 유출 직원을 특정해 찾았고 유출 직원은 고객정보 가운데 3000개만 저장했다고 밝혔다.

쿠팡은 이날 자료에서 “디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다”며 “유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”고 강조했다.

쿠팡에 따르면 유출자는 쿠팡 고객 정보를 접근·탈취하는 데 사용된 모든 장치와 하드 드라이브는 검증된 절차에 따라 모두 회수돼 안전하게 확보됐다. 쿠팡은 지난 17일 유출자의 진술서 제출을 시작으로 관련 장치 등 일체 자료를 확보하는 즉시 정부에 제출해 왔다. 쿠팡은 엄격한 포렌식 조사를 진행하기 위해 전 세계 최상위 3개 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 조사를 의뢰했다고 밝혔다.

유출자는 탈취한 보안 키를 사용하여 3300만 고객 계정의 기본적인 고객 정보에 접근했고 약 3000개 계정의 고객 정보(이름, 이메일, 전화번호, 주소, 일부 주문정보)만 실제 저장했으며 여기에 포함된 공동현관 출입번호는 2609개였다는 게 쿠팡 설명이다. 쿠팡에 따르면 유출자는 언론보도를 접한 이후 저장했던 정보를 모두 삭제했고 고객 정보 중 제3자에게 전송된 데이터는 일절 없다고 진술했다고 한다.

유출자는 재직 중에 취득한 내부 보안 키를 탈취해 이름, 이메일, 주소, 전화번호 등 일부 고객 개인정보에 접근했다고 진술했다. 데이터 로그 및 포렌식 조사를 통해 해당 접근은 탈취된 내부 보안 키를 이용했으며 접근된 데이터의 유형 또한 유출자가 진술한 범위(이름, 이메일, 주소, 전화번호)에 한정됐다는 게 쿠팡 설명이다. 쿠팡은 “결제정보, 로그인 관련 정보, 개인통관번호에 대한 접근은 없었다”고 강조했다.

유출자는 개인용 데스크톱 PC와 맥북 에어(MacBook Air) 노트북을 사용해 공격을 시도했고 접근한 정보 중 일부를 해당 기기에 저장했다고 진술했다. 유출자는 맥북 에어를 물리적으로 파손한 뒤 쿠팡 로고가 있는 에코백에 넣고 벽돌을 채워 인근 하천에 던졌다고 진술했다.

쿠팡은 “유출자가 제공한 지도와 설명을 바탕으로 잠수부들이 해당 하천에서 이 노트북을 회수했다”고 설명했다. 쿠팡은 향후 진행될 조사 경과에 따라 지속적으로 안내할 예정이다. 쿠팡은 이번 사태로 인한 고객보상 방안을 조만간 별도로 발표한다.