국내 최대 이커머스 플랫폼 쿠팡이 최근 발생하여 큰 사회적 파장을 일으킨 개인정보 대량 유출 사건과 관련하여 전직 직원을 명확히 특정하고, 고객의 민감한 정보에 접근 및 탈취하는 데 사용된 모든 전자장치와 저장매체인 하드디스크를 전량 회수하는 데 성공했다고 25일 공식적으로 밝혔다. 또한 심층적인 조사 결과 유출된 정보가 외부로 전송되거나 유통된 사실은 확인되지 않았던 것으로 최종 파악되었다고 전했다.

쿠팡은 이날 공식 보도자료를 통해 "디지털 지문 분석 등 첨단 포렌식 기술을 활용한 과학적 증거를 바탕으로 고객의 개인정보를 불법적으로 유출한 전직 직원의 신원을 명확하게 확인했고, 해당 인물은 조사 과정에서 관련 범죄 행위를 자백했으며 구체적이고 상세한 접근 방식과 수법도 진술한 상태"라고 상세히 전했다. 이로써 사건의 윤곽이 어느 정도 드러나게 되었다는 평가다.

유출 행위자의 자백 진술과 외부의 독립적인 사이버 보안 전문 업체가 실시한 정밀 조사 결과를 종합적으로 분석한 결과, 유출자는 재직 당시 내부에서 불법적으로 확보한 보안 키를 악용하여 약 3,300만개에 달하는 고객 계정의 기본적인 정보를 무단으로 열람했으며, 이 가운데 약 3,000개 계정의 정보를 개인 저장장치에 저장한 것으로 명확히 드러났다. 이는 대규모 정보 유출 사건으로 심각성이 매우 큰 것으로 평가되고 있다.

불법적으로 저장된 정보의 구체적인 내용을 살펴보면 고객의 실명, 이메일 주소, 휴대전화 번호, 배송 주소, 일부 주문 내역 정보, 그리고 총 2,609건에 달하는 공동현관 출입 비밀번호가 포함되어 있었던 것으로 확인되었다. 이러한 정보들은 개인의 프라이버시와 직결된 민감한 데이터로 분류된다.

유출자는 각종 언론 매체의 보도를 통해 개인정보 유출 사태가 외부에 공개적으로 알려진 직후, 극심한 심리적 압박감과 불안감을 느껴 자신이 불법적으로 저장했던 모든 데이터를 즉시 삭제하는 조치를 취했으며, 이 정보가 제3자나 외부 조직에게 전달되거나 판매된 사실은 전혀 없다고 명확히 진술했다고 쿠팡 측은 전했다. 다만 이러한 진술의 신빙성에 대해서는 추가 검증이 필요하다는 지적도 제기되고 있다.

유출자는 쿠팡 재직 기간 중 내부적으로 입수한 보안 키를 불법적으로 이용하여 개인용 데스크톱 PC와 애플 맥북 에어 노트북 등 복수의 전자기기를 통해 회사 시스템에 무단으로 정보 접근을 시도했고, 그 과정에서 일부 고객 데이터를 해당 개인 기기들에 저장한 것으로 알려졌다. 이는 명백한 내부자 범죄에 해당하는 행위로 볼 수 있다.

쿠팡은 전문적인 디지털 포렌식 조사 결과 유출자의 이러한 진술 내용이 객관적 사실과 부합하며 정확한 것으로 확인되었다고 공식적으로 밝혔다. 유출자가 자발적으로 제출한 데스크톱 PC와 실제 사용된 하드디스크 총 4개에 대한 정밀 분석 결과, 실제 불법 공격에 사용된 컴퓨터 스크립트 코드와 흔적이 명확하게 발견되었다고 덧붙였다.

쿠팡은 사건 발생 초기 단계부터 글로벌 사이버 보안 전문 업체인 맨디언트(Mandiant), 팔로알토 네트웍스(Palo Alto Networks), 언스트앤영(EY) 등 세계적 수준의 보안 컨설팅 기업들을 통해 철저하고 체계적인 포렌식 조사를 지속적으로 진행해 왔으며, 유출자의 진술 내용도 이러한 전문적 조사 과정에 따라 면밀히 검증했다고 상세히 설명했다. 이는 사건의 투명한 해결을 위한 노력의 일환으로 해석된다.

유출자는 자신의 개인정보 유출 행위에 대한 언론 보도가 대대적으로 나오자 극심한 정신적 불안감과 공포감을 느꼈고, 이에 즉각적으로 관련 데이터를 전부 삭제하는 조치를 취했다고 밝혔다. 그는 또한 문제가 된 애플 맥북 에어 노트북을 의도적으로 물리적으로 파손한 뒤, 쿠팡 로고가 선명하게 인쇄된 에코백에 벽돌을 채워 넣어 인근 하천에 투기하여 증거를 인멸하려 시도했다고 구체적으로 진술했으며, 쿠팡은 실제로 현장 수색 작업을 통해 해당 전자기기를 성공적으로 회수하는 데 성공했다.

회수된 노트북의 고유 일련번호는 유출자가 사용하던 애플 아이클라우드 계정 정보와 정확히 일치하는 것으로 최종 확인되어 진술의 신빙성이 높아졌다. 이는 물리적 증거와 디지털 증거가 모두 확보된 상황임을 의미한다.

쿠팡은 "현재까지 확인되고 분석된 모든 조사 결과는 유출자의 자백 진술 내용과 정확히 일치하고 있으며, 이를 반박하거나 부정할 만한 객관적 증거나 정황은 전혀 발견되지 않았다"고 강력히 강조했다. 아울러 유출자로부터 공식적인 진술서를 확보한 직후 관련된 모든 장비와 디지털 자료, 증거물들을 신속하게 정부 수사 당국에 제출했다고 밝혀 투명한 수사 협조 의지를 표명했다.

다만 개인정보 유출자의 자백 진술을 쿠팡이 자체적으로 먼저 확보하고, 정부 수사기관이나 민관합동조사단이 아닌 기업 자체 조사를 통해 먼저 진행한 배경과 절차적 정당성에 대해서는 명확하고 충분한 설명이 제공되지 않아 일부 논란의 여지가 남아있다. 쿠팡 측은 이러한 질문에 대해 "현재 제공된 공식 정보 외에는 추가로 확인해드릴 수 있는 내용이 없다"는 간결한 입장만을 반복적으로 밝혔다.

쿠팡은 공식 사과문을 통해 "이번 개인정보 대량 유출 사태가 소중한 고객 여러분께 큰 불안과 우려를 안겨드린 점에 대해 경영진 모두가 깊이 책임을 통감하며 진심으로 사과의 말씀을 드린다"며 고개를 숙였다. 이어 "향후 수사 당국의 조사 진행 상황과 추가 조사 결과에 따라 지속적이고 투명한 안내를 이어가겠으며, 피해를 입으신 고객들을 대상으로 한 구체적인 보상 방안도 조속한 시일 내에 공식 발표할 예정"이라고 향후 계획을 명확히 전했다.