쿠팡 유출자, 1.4억회 고객 배송지 들춰봤다…지인 전화번호·주소까지(종합) 작성일 02-10 26 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">과기정통부 민관합동조사단 쿠팡 침해사고 조사결과 발표<br>고객 배송지 목록 페이지 약 1.4억건 접근…수정 페이지는 5만건<br>배송지 입력된 비회원 성명·번호·주소 추가 유출 가능성 커</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="FPpJoETsZH"> <figure class="figure_frm origin_fig" contents-hash="2b6b1aebeb8565f6de64b0afb285c3c34325ff5928ab2370851a026cfb24f4c9" dmcf-pid="3QUigDyOtG" dmcf-ptype="figure"> <p class="link_figure"><img alt="[서울=뉴시스] 김명년 기자 = 쿠팡 전 직원이 일으킨 침해 사고로 성명, 이메일이 포함된 쿠팡 이용자 정보 3367만3817건이 유출됐다고 정부 민관합동조사단이 발표했다. 해당 직원은 전화번호, 배송지주소, 특수문자로 비식별호된 공동현관 비밀번호 등이 포함된 배송지 목록 페이지를 약 1억4800만건 조회한 것으로 드러났다. 사진은 10일 오후 서울 송파구 쿠팡 본사. 2026.02.10. kmn@newsis.com" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/10/newsis/20260210172725986apno.jpg" data-org-width="720" dmcf-mid="t9ZPRgOcYX" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/10/newsis/20260210172725986apno.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [서울=뉴시스] 김명년 기자 = 쿠팡 전 직원이 일으킨 침해 사고로 성명, 이메일이 포함된 쿠팡 이용자 정보 3367만3817건이 유출됐다고 정부 민관합동조사단이 발표했다. 해당 직원은 전화번호, 배송지주소, 특수문자로 비식별호된 공동현관 비밀번호 등이 포함된 배송지 목록 페이지를 약 1억4800만건 조회한 것으로 드러났다. 사진은 10일 오후 서울 송파구 쿠팡 본사. 2026.02.10. kmn@newsis.com </figcaption> </figure> <p contents-hash="ba90645f1f63dbdb1ee5b543df1325d9ff5bc89e6ecaf716923c1c07eee55641" dmcf-pid="0xunawWIGY" dmcf-ptype="general"><br> [서울=뉴시스] 심지혜 기자 = 쿠팡 개인정보를 유출한 전직 직원이 범행 과정에서 회원들의 배송지 목록을 약 1억4805만회 들여다 본 것으로 나타났다. 여기에는 이용자 이름과 연락저, 집주소는 물론 가족이나, 친구, 지인 등 제3자의 정보도 다수 포함돼 있다. 배송지 목록에는 최대 20명의 정보를 등록할 수 있다. 쿠팡에 가입한 회원이 아니더라도 연락처와 집주소가 빠져나갔을 수 있다는 얘기다.</p> <p contents-hash="8169b663d9b65fc18f70bfc8133e44fe28b6a7ac5aff0ceea0f5d1ffdf6314ad" dmcf-pid="pM7LNrYCtW" dmcf-ptype="general">이로 인해 현재 확인된 쿠팡 이용자 성명·이메일 유출 규모 3367만건보다 실제 개인정보 유출 규모가 더 커질 가능성도 배제할 수 없게 됐다.</p> <p contents-hash="0320cdf949189b4dff87fefe3c10191a6be3a74d62a16bbb281efa91815f5f02" dmcf-pid="URzojmGhYy" dmcf-ptype="general">과학기술정보통신부는 쿠팡 침해사고와 관련한 민관합동조사단의 조사 결과를 10일 발표했다.</p> <h3 contents-hash="a0aafcb68a18b712a05ca4edd4639604fde179861af9a3ea6ef6d34b90c30c21" dmcf-pid="ueqgAsHlHT" dmcf-ptype="h3"><strong> "3367만건은 최소치"…배송지 목록 1.4억회 조회 고려하면 더 커질 듯</strong></h3> <div contents-hash="4ceeceecdcdb0727e20e8ea999b45aaa77568ffd9fc3a7aa06068d6d1ecb3395" dmcf-pid="7iKjEC5TXv" dmcf-ptype="general"> <strong> 조사단이 파악한 개인정보 유출 규모는 쿠팡 전 직원이 조회한 ‘내정보 수정’ 페이지에 담긴 성명·이메일 정보를 기준으로 한다. 해당 페이지는 특정인의 성명과 이메일이 1쌍으로 노출돼 있어 산정 기준이 명확해 33673817건 유출을 확인할 수 있었다는 설명이다. <br><br> 하지만 해당 직원은 배송지 목록 페이지에도 약 1억4805만6502회 접근했다. 배송지 목록 페이지에는 이용자 본인뿐 아니라 가족, 친구 등 제3자의 성명과 전화번호, 배송지 주소 정보 등이 함께 포함돼 있다.<br><br> 이와 함께 성명, 전화번호, 배송지 주소 외에 공동현관 비밀번호가 포함된 배송지 목록 수정 페이지는 5만474회 조회했다. <br><br> 이를 고려하면 실제 유출 규모는 더 늘어날 가능성이 크다. 유출 개인정보 규모는 개인정보보호위원회가 개인정보보호법에 따라 산정·발표할 예정이다. <br><br> 임정규 국장은 "3367만건 유출은 내정보 수정 페이지에 담긴 성명과 이메일 쌍으로 정확하게 식별할 수 있어서 카운팅 할 수 있었다"며 배송지 목록에는 이용자당 최대 20개의 주소가 등록될 수 있는 등 다양한 개인정보가 포함돼 있다. 해당 정보의 유출 규모 산정은 개인정보보호위원회에서 담당한다"고 설명했다. <br><br> 아울러 조사단은 쿠팡 전 직원이 개인정보를 조회한 행위 자체도 정보 유출로 판단했다.<br><br> 최우혁 과기정통부 정보보호네트워크실장은 "이용자 정보를 조회한 것도 유출된 것과 같은 의미"라며 "쿠팡 시스템에 저장돼 있던 정보가 타인에 의해 조회돼 외부로 나간 만큼, 이는 통제권을 벗어난 상황”이라고 말했다.<br><br> 이어 "회원, 비회원 등에 대한 개인정보에 대한 최종 유출 범위와 건수는 개인정보보호위원회가 판단할 사안”이라며 “조사단은 침해사고의 원인 분석과 유출 정보 범위 확인, 재발방지 대책 마련을 맡고 있다"고 덧붙였다.<br><br> </strong> </div> <h3 contents-hash="af5dbd0b44ff1059b42fad276c70adf27cd493d8d7f853e25e812fe39b54d87e" dmcf-pid="zn9ADh1yGS" dmcf-ptype="h3"><strong><strong> 개발자였던 전 직원이 해킹…인증취약점 알고 악용</strong></strong></h3> <div contents-hash="97ca530f8ce0a75e6914ddbbddfa8b521a05ec1b9803ba8f05e76c106d1757f1" dmcf-pid="qL2cwltWHl" dmcf-ptype="general"> <strong> 이번 침해사고는 쿠팡에서 시스템 장애 대응과 백업 등을 위해 이용자 인증 시스템 설계·개발 업무를 수행했던 소프트웨어(SW) 개발 전 직원의 소행으로 확인됐다. 해당 직원은 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 절차 없이 이용자 계정에 접속하고 개인정보를 무단으로 유출했다.<br><br> 쿠팡은 담당자가 퇴사한 이후에도 서명키를 사용하지 못하도록 갱신하지 않았고, 위·변조된 전자출입증을 활용한 비정상 접속 행위도 탐지하지 못한 것으로 조사됐다.<br><br> 다만 조사단은 이번 침해사고와 관련해 현재까지 2차 피해 정황이나 결제정보 유출 사례는 확인되지 않았다고 밝혔다.<br><br> 최 실장은 “다크웹 등에서 2차 피해 사례는 확인되지 않았고, 결제정보 역시 현재까지 조사한 사항으로는 유출된 사실이 없는 것으로 파악하고 있다”고 말했다.<br><br> 다음은 최우혁 실장, 임정규 국장, 이동근 KISA 민관합동조사단 부단장과의 일문일답이다. <br><br> </strong> </div> <h3 contents-hash="01c10fd8d5ac1ff723d363a7ce9dbbe4239d997a8eb159a2d620239f2d472b68" dmcf-pid="BoVkrSFYGh" dmcf-ptype="h3"><strong><strong> 쿠팡 침해사고는 '관리 소홀' 문제…자체 결과발표, '주장'일 뿐</strong></strong></h3> <div contents-hash="c9c55e05a2c9ba4c3360b5734f3c1d4231b8fa7005a38fefc3cb5dc5301723c6" dmcf-pid="bgfEmv3GtC" dmcf-ptype="general"> <strong><strong><br> -쿠팡 침해사고 조사 기간이 길어진 이유는 </strong><br><br> "처음에 자료 협조가 조금 미진한 부분 있었지만 이후에는 충분히 신속하게 대응을 했다. 시간이 걸린 것은 데이터가 방대해서다. 발표한 숫자에서도 보여지듯 기초 데이터들의 숫자량이 많았기 때문에 조사하는 데 어려움이 있었다."<br><br><strong>-쿠팡이 국정원 지시를 받은 것이 맞는지</strong><br><br> "국정원에 확인해야 한다."<br><br><strong>-쿠팡은 자체적으로 정보 3000건만 저장됐다고 했는데 사실인지</strong><br><br> "피조사기관의 주장이다. 조사기관은 그러한 자료도 참고 하지만 모든 자료를 갖다가 다시 한번 검증의 검증과 다른 자료들을 확인하는 과정이 있다."<br><br><strong>-최근 16만5000건의 유출이 이뤄졌다는 발표가 있는데 오늘 발표한 3367만건과 별개인 것인가</strong><br><br> "개보위가 최종적으로 발표하는 개인정보 유출 규모를 통해 정리될 것이다."<br><br><strong>-쿠팡 침해사고는 관리 소홀인가, 지능화된 해킹인가</strong><br><br> "인증체계 관련상 문제점도 강하게 질타를 했다. 키 관리시스템도 제대로 안 되고 있다. 이는 분명히 관리의 문제다. 지능화된 공격으로 보기 어렵다."<br><br><strong>-침해사고가 한 명의 재직자에 의해 벌어진 것이 맞는지, 배후에 다른 조직이 있는 것은 아닌지</strong><br><br> "수사의 영역이다. 경찰 조사 결과를 봐야 한다."<br><br><strong>-부적절하게 서명키를 보관해 온 개발자 규모는 어느 정도로 파악하는가</strong><br><br> "그 팀에 있는 멤버들의 업무 행태를 확인했는데, 해킹을 한 직원이 재직할 당시를 조사할 수 없어 (확인이 어렵다). 해당 직원 노트북 포렌식 결과로는 키를 저장하고 있었다. 결국 쿠팡이 (서명키) 이력관리가 잘 안됐던 것이다."<br><br><br><span>☞공감언론 뉴시스</span> siming@newsis.com </strong> </div> </section> </div> <p class="" data-translation="true">Copyright © 뉴시스. 무단전재 및 재배포 금지.</p> 관련자료 이전 게임 중독 35살 딸에 母 “자폐 성향 의심…조카보다 못해 때렸다” (오은영 리포트) 02-10 다음 박나래, 12일 경찰 출석... 전 매니저와 '상호 고소' 피고소인 조사 02-10 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
