‘공동현관 비번’ 털고 배송지 1.4억회 조회…쿠팡 개인정보 3367만건 유출

 쿠팡 개인정보 유출 사건으로 인해 경찰이 2차 압수수색을 벌인 지난해 12월 10일 서울 송파구 쿠팡 본사 모습이 보이고 있다. 사진=뉴시스

과학기술정보통신부는 10일 쿠팡 침해사고에 대한 민관합동조사단 조사 결과를 발표했습니다.

쿠팡 전 직원에 의한 정보통신망 침해사고로 인해 '내정보 수정' 페이지 내 가입자 이름과 이메일 정보 등 3367만 건이 유출된 것으로 확인됐습니다.

전화번호와 주소 등이 포함된 '배송지 목록'은 1억 4000만 회 조회됐고, 공동현관 비밀번호가 남아있는 '배송지 목록 수정 페이지'는 5만여 회 조회된 것으로 파악됐습니다.

쿠팡은 위변조한 '전자 출입증'에 대한 검증 없이 이를 활용하고 있었습니다.

퇴사자인 공격자는 재직 당시 관리하던 이용자 인증 시스템의 서명키를 탈취한 후 이를 활용해 '전자 출입증'을 위·변조해 쿠팡 인증체계를 통과했습니다.

그는 정상적인 로그인 절차를 거치지 않고 쿠팡 서비스에 무단 접속할 수 있었습니다.

쿠팡이 일부 웹 접속기록을 삭제한 것에 대해서는 정보통신망법에 따라 수사기관에 수사를 의뢰합니다.

쿠팡은 자료보전 명령에도 불구하고 자사 접속기록의 자동 로그 저장 정책을 조정하지 않아, 2024년 7월부터 11월 분량의 웹 접속기록이 삭제됐습니다.