쿠팡은 3천, 정부는 3천4백만...개인정보 유출 건수 크게 다른 이유

자료사진

쿠팡이 고객의 이름, 전화번호, 주소 등이 담긴 개인계정 3천4백만개를 유출한 것으로 정부 조사 결과 밝혀졌다. 

10일 과학기술정보통신부 발표에 따르면 민관합동조사단의 조사결과 유출된 계정은 총 3367만3817개였다. 유출된 개인정보는 이름과 전화번호, 주소 등이 담긴 배송지 목록과 공동현관 비밀번호가 담긴 배송목록 수정페이지 등이 포함돼 있다.

이는 쿠팡측이 자체 조사를 통해 밝힌 4,500여개의 수천배에 이른다. 쿠팡은 사고 직후 발표한 자체조사 결과를 통해 해커가 3천300만개의 계정에 접근했지만 실제 저장한 정보는 약 3천개에 불과하다고 주장했다. 이후 1천500여개의 개인정보가 더 유출된 것으로 확인됐다고 발표했다. 

양측의 피해 규모가 이처럼 크게 차이 나는 것은 피해로 규정하는 기준이 다르기 때문이다. 

쿠팡은 개인정보를 유출한 공격자가 자신의 기기에 실제로 저장한 것으로 확인된 것만 유출 건수로 간주했다. 범인이 째돌린 정보만을 유출로 본 것이다. 반면 정부는 공격자가 무단으로 조회-열람하거나 접근한 전체 규모를 유출로 판단했다. 즉 공격자가 열람 후 자신의 기기에 정보를 저장하지 않았더라도 외부 공격자가 보안망을 뚫고 개인정보를 열람한 것 자체를 유출로 본 것이다.  

쿠팡은 '실제 확인된 피해'를 기준으로 한 반면 정부는 '해커의 공격에 노출된 것' 자체를 피해로 규정했다. 쿠팡은 사안의 심각성을 가급적 축소하고 보상 책임을 최소화하기 위해 셀프조사를 통해 피해자 규모를 줄이는 데 초점을 맞춘 결과다.  

쿠팡이 외부로 유출했다고 발표한 3천건조차도 정부조사 과정에서 사실과 다른 것으로 드러났다. 해커가 저장해 외부로 유출한 고객 계정 건수는 쿠팡 발표보다 훨씬 많은 16만5천여건이었다.  

합동조사단의 조사결과에 의하면 중국 국적의 전 직원이었던 해커는 재직 당시 사용하던 관리자용 인증키를 이용해 약 1억5천만회에 걸쳐 배송지 주소 등을 조회했다.

해커는 쿠팡에서 개인정보를 유출했다는 이메일을 지난해 11월 16일과 25일 두 차례 쿠팡측에 보냈으며 메일에는 ‘1억2000만개 이상의 배송주소 데이터, 5억6000만개 이상의 주문 데이터, 3300만 개 이상의 이메일 주소 데이터’를 유출했다는 내용이 담겨있었다.