쿠팡이 고객 4,500여명의 개인정보가 유출된 침해사고가 발생한 사실을 열흘 넘게 알아채지 못한 것으로 확인됐다.
21일 국회 과학기술정보방송통신위원장 최민희 의원실이 한국인터넷진흥원(KISA)으로부터 제출받은 침해사고 신고서에 따르면 쿠팡은 지난 6일 오후 6시 38분 자사 계정 정보에 대한 무단 접근이 발생했다고 보고했다.
그러나 침해 사실을 인지한 시점은 12일이 지난 18일 오후 10시 52분으로 기록돼 있다. 쿠팡은 전날에서야 피해 고객들에 이 사실을 알렸다.
정보통신망법은 사업자가 침해사고를 알게 된 때부터 24시간 이내 당국에 신고하도록 규정한다. 쿠팡은 이튿날 오후 9시 35분 신고해 기한을 넘기지는 않았다.
한편 쿠팡은 신고서에서 "초기 조사 결과 서명된 액세스 토큰을 악용해 접근한 것으로 추정된다"며 해당 토큰 서명 키 정보는 모두 폐기으며, 토큰의 취득 경로를 조사 중이라고 설명했다. 또 추가 접근에 대비해 탐지 규칙을 강화하고 모니터링을 확대했다고도 했다.
쿠팡의 신고를 토대로 과학기술정보통신부와 KISA, 개인정보보호위원회가 유출 경위와 피해 여부를 들여다보고 있다.
(사진=연합뉴스)