사진은 6일 서울 시내의 한 쿠팡 물류센터. 연합뉴스

쿠팡 전 직원이 유출한 개인정보 규모가 당초 정부가 발표한 3300만 건을 넘어서고 범인이 들여다본 배송지 주소 등의 정보는 1억5000만 건에 달하는 것으로 파악됐다.

과학기술정보통신부는 10일 정부 서울청사에서 쿠팡 침해 사고에 관한 민관 합동 조사 결과를 발표했다.

과기정통부는 지난해 11월 29일부터 남아있는 쿠팡의 웹 접속기록(로그)25.6테라바이트(TB) 분량(데이터 6642억 건)을 분석한 결과 쿠팡 ‘내 정보 수정 페이지’에서 이용자 이름, 이메일 3367만여 건이 유출된 것을 확인했다.

조사 대상에는 범행에 쓰인 것으로 추정되는 PC저장장치 4대가 포함됐고 현재 재직 중인 쿠팡 개발자 노트북도 포렌식 조사했다.

‘배송지 목록 페이지’에서는 이름, 전화번호, 배송지 주소, 특수문자로 비식별화된 공동현관 비밀번호 등 개인정보를 범인이 1억4800만 여 차례 조회해 정보가 유출된 것으로 파악했다.

쿠팡 계정 소유자 본인 외에 물품을 대신 구매해 배송한 가족, 친구 등의 이름, 전화번호, 배송지 주소 등 제삼자 정보도 다수 포함돼 있어 유출 대상자 범위가 확대될 가능성이 제기된다.

조사단이 파악한 개인정보 유출 규모는 쿠팡이 최근 추가로 밝힌 16만5000여 계정 유출 건은 포함되지 않은 것으로 알려졌다.

공동현관 비밀번호는 ‘배송지 목록 수정 페이지’를 통해 이름, 전화번호, 주소와 함께 5만여 건 조회됐다. 최근 주문한 상품 목록은 10만여 차례 조호됐다.

조사단이 파악한 유출 규모는 중국 인 전 직원이 이메일에서 주장한 유출 규모보다는 작다.

그는 이메일에서 “1억2000만 개 이상의 배송 주소 데이터, 5억6000만 개 이상의 주문 데이터, 3300만 개 이상의 이메일 주소 데이터를 확인했다”고 밝혔다.

조사단은 그가 시스템 장애 시 백업을 위한 이용자 인증 시스템 설계를 맡은 개발자였다며 지난해 1월부터 쿠팡 서버 취약점을 발견해 4월 14일부터 본격적인 무단 유출에 나섰다고 전했다.

조사단은 이용자 인증 취약점을 이용해 정상적인 로그인 없이 이용자 계정에 접속, 대규모 정보 유출을 했는데도 쿠팡 측이 이를 인지하지 못했다고 지적했다.

또 ‘전자출입증(토큰)’이 사이버 공격에 악용될 가능성이 있다는 점을 쿠팡이 사전에 실시한 모의 해킹에서 드러난 바 있지만 쿠팡이 이를 개선하지 않았다고 했다.

조사단은 쿠팡에 인증키 발급·사용 이력 관리와 비정상 접속행위 탐지 모니터링을 강화할 것과 보안규정 준수 여부에 대한 정기 점검 실시를 요구했다. 24시간 내 신고 규정을 위반한 데 대한 과태로 처분도 할 계획이다.

과기정통부가 자료 보전을 명령했지만 쿠팡이 보전하지 않고 삭제한 자료에 대해서는 수사를 의뢰했다.

조사 결과를 토대로 과기정통부는 쿠팡에 재발 방지 대책에 따른 이행계획을 이달 중 제출하도록 하고 올해 7월까지 이행 결과를 점검할 계획이다.

개인정보 세부 유출 규모는 개인정보보호위원회에서 확정해야 한다고 조사단은 설명했다.

개인정보위는 배송지 목록·상품목록 조회 기록 등을 토대로 실제 몇 개 계정의 정보가 열람됐는지와 제3자 정보 포함 여부 등을 종합적으로 분석해 최종 피해 규모를 확정할 방침이다.