충격적 쿠팡 개인 정보 유출 중국이 개입?

이번 사태로 유출된 개인 정보에는

이름과 이메일 주소뿐 아니라 전화번호·주소 등 배송지 주소록까지 포함

중국인 퇴직 직원이 5개월(147일) 동안 3370만명의 정보를 빼돌리는 동안 쿠팡은 이를 감지하지 못했다고 주장한다. 정말 몰랐다면 치명적인 무능이고, 알고도 침묵했다면 전 국민을 속이려 든 은폐다. 온라인 커뮤니티에선 “국민 플랫폼이 국민을 배신했다”는 비판이 나오고 있다. 국회 과학기술정보방송통신위원회 소속 민주당 의원들은 성명을 통해 “단순한 기술 사고를 넘어 국민의 신뢰를 근본적으로 훼손할 수 있는 중대한 사건”이라고 규정했다

147일 동안 몰랐던 쿠팡

쿠팡은 지난달 18일 고객 개인 정보 유출을 처음 인지했다는 입장이다. 쿠팡은 “약 4500개 계정의 개인 정보가 무단으로 노출된 사실을 인지했다”며 “즉시 경찰청, 한국인터넷진흥원, 개인정보보호위원회 등 관련 기관에 신고했다”고 밝혔다.

하지만 쿠팡이 스스로 정보 유출 사실을 감지한 것도 아니었다. 쿠팡이 정보 유출을 인지했다고 주장하는 시점(11월 18일)보다 이틀 앞선 지난달 16일 한 쿠팡 사용자가 쿠팡에 민원을 제기했다. 이 사용자는 “알 수 없는 사람으로부터 내 이름과 주소, 최근 쿠팡에서 산 품목 5개를 알고 있다는 내용의 이메일을 받았다”며 쿠팡 측에 확인을 요청한 것이다. 쿠팡은 황급히 검증에 나섰고, 그제야 정보 유출이 일어난 사실을 파악했다. 만약 이 고객의 민원이 없었다면, 3370만명의 정보가 새 나간 상황이 언제까지 방치됐을지 알 수 없는 셈이다.

본지 취재를 종합하면 정보를 빼돌린 것으로 지목된 용의자는 쿠팡에서 퇴직한 중국 국적의 개발자다. 개인 정보 접근 권한이 없던 그는 퇴직 후 중국에서 쿠팡 고객들의 개인 정보를 빼돌린 것으로 전해졌다. 경찰은 지난달 25일 쿠팡으로부터 이번 사태에 대한 고소장을 접수하고 수사에 착수했다.

실제 정보 탈취가 시작된 건 5개월 전이다. 쿠팡은 지난 6월 24일 개인 정보 탈취 시도가 시작된 것으로 파악하고 있다. 고객 민원이 있을 때까지 147일 동안 쿠팡은 낌새조차 알아채지 못했다. 쿠팡이 유출 사실을 알게 된 후 중국인 용의자는 쿠팡 측에 “고객 정보를 갖고 있다. 보안을 강화하지 않으면 유출 사실을 알리겠다”는 내용의 협박성 메일도 보낸 것으로 알려졌다. 보안 업계 관계자는 “범행이 들통났을 때 해커들이 흔히 취하는 행동”이라고 말했다.

이 중국인은 퇴사 후 중국으로 넘어가, 재직 당시 확보한 것으로 보이는 토큰(데이터 접근 열쇠)을 이용해 147일간 3370만명의 데이터를 긁어모은 것으로 파악된다. 회사를 떠난 전직 직원이 그것도 해외에서, 고객 개인 정보를 마음대로 빼돌릴 동안 쿠팡의 자정 시스템은 전혀 작동하지 않은 것이다.

퇴직자 한 명이 사실상 쿠팡의 모든 고객 정보를 빼돌렸다는 점은 이해하기 어려운 대목이다. 쿠팡의 내부 접근 권한 관리 시스템이 무방비 상태였다는 방증이다. 문제의 퇴직자가 거대 조직이나 산업 스파이와 연계됐을 수 있다는 배후설도 제기된다. 유통 업계 관계자는 “최근 글로벌 기업에서 중국 등에서 온 산업 스파이가 위장 취업을 시도하는 사례가 잇따르고 있다”고 말했다.

고개 숙인 쿠팡 대표 박대준 쿠팡 대표이사가 30일 오후 서울 종로구 정부서울청사에서 열린 ‘쿠팡 개인 정보 유출 관련 긴급 관계 부처 장관회의’에 참석한 뒤, 회의장에서 나와 고개를 숙여 사과하고 있다. 박 대표는 “국민 여러분께 큰 불편과 걱정을 끼쳐드려 진심으로 사과드린다”고 했다. /장련성 기자

유출된 쿠팡 데이터는 최신 정보

쿠팡은 2021년 과학기술정보통신부와 개인정보보호위원회가 인증하는 국내 최고 권위의 보안 인증인 ISMS-P를 취득했고, 2024년 재심사를 거쳐 인증을 갱신했다. 까다롭다는 정부 인증 제도가 유명무실한 요식 행위에 그쳤다는 비판이 나온다.

이번 사태로 유출된 개인 정보에는 이름과 이메일 주소뿐 아니라 전화번호·주소 등 배송지 주소록까지 포함돼 있다. 결제 날짜, 상품명, 수량 등 최근 5건의 주문 정보도 유출됐다. 유통 업계 관계자는 “매일 생필품을 주문하는 쿠팡 데이터 특성상, 유출된 정보는 현재 거주지와 라이프스타일을 완벽히 특정할 수 있는 ‘최신 정보’라 악용 우려가 매우 크다”고 지적했다.

쿠팡은 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않았다”고 밝혔다. 소비자들은 쿠팡의 해명을 그대로 믿을 수 없다는 반응이다. 쿠팡은 당초 “계정이 4500개 노출됐다”고 발표했으나, 불과 11일 만에 피해 규모를 3370만개로 정정했다. 사법 기관, 규제 당국의 조사에 따라 피해 규모나 내용이 달라질 가능성을 배제할 수 없는 것이다.

https://www.chosun.com/economy/industry-company/2025/12/01/IX7EKMREUVBTZN2AIF4DACR6OQ