"2차 피해 여부, 다수 보안업체가 모니터링해 주간보고…증거 없어"
(서울=연합뉴스) 안용수 조민정 기자 = 쿠팡의 모회사인 쿠팡Inc는 10일 개인정보를 유출한 범인이 들여다본 배송지 주소 등의 정보가 1억5천만건에 달한다는 민관 합동 조사 결과에 대해 주요 내용을 누락했다며 공개적으로 반발했다.
쿠팡Inc는 이날 오후 입장문을 내고 "민관합동조사단 보고서는 (정보를 유출한) 전 직원이 공용현관 출입 코드에 대해 5만건의 조회를 수행했다고 기재하면서도, 해당 조회가 실제로는 2천609개 계정에 대한 접근에 한정된 것이라는 검증 결과를 누락하고 있다"고 주장했다.
과학기술정보통신부는 이날 정부서울청사에서 쿠팡 침해 사고에 관한 민관 합동 조사 결과 쿠팡 전 직원이 유출한 개인정보 규모가 3천300만건을 넘어서고 범인이 들여다본 배송지 주소 등의 정보는 1억5천만건에 이른다고 발표했다.
조사단은 세부적인 개인정보 유출 규모는 개인정보보호위원회에서 확정할 것이라고 하면서도 1억4천만여회의 '조회' 건수를 강조하면서 "조회가 유출을 의미한다"고 했다.
쿠팡Inc 입장문은 조회 수가 정보 유출 규모로 오인될 수 있다는 우려를 내비친 것으로 풀이된다.
쿠팡Inc는 또 "민관합동조사단과 개인정보보호위원회는 회수된 기기 내에 한국 이용자의 개인정보가 저장돼 있지 않음을 확인하는 포렌식 분석 결과도 보유하고 있다"며 "모든 포렌식 증거는 약 3천개 계정의 사용자 데이터를 저장한 후 이를 삭제했다는 전 직원의 선서 자백 진술과 일관되게 부합한다"고 강조했다. 앞서 '3천건의 사용자 데이터 저장'이라는 쿠팡의 자체 조사 결과가 변함이 없다는 것이다.
2차 피해 가능성에 대해서는 "쿠팡 개인정보 사고로 인한 2차 피해의 어떤 증거도 확인되지 않았다"며 "이것은 독립 보안 전문 기업 CNS의 최신 분석에 따른 것"이라고도 했다.
이어 "다수의 독립 인터넷 보안 전문 업체가 다크웹, 딥웹, 텔레그램, 중국 메신저 플랫폼 등을 모니터링한 결과를 주간 단위로 쿠팡에 전달하고 있다"고 강조했다.
합조단도 이날 브리핑에서 쿠팡 개인정보 유출에 따른 2차 피해는 아직 확인되지 않았다고 밝혔다.
쿠팡Inc는 입장문에서 "전 직원은 결제·금융 정보, 사용자 ID 및 비밀번호, 정부 발급 신분증 등 고도 민감 고객 정보(Highly Sensitive Customer Information)에 접근하지 않았다"고 했다.
이어 "이는 클라우드 플랫폼 제공 업체인 아카마이(Akamai)의 보안 로그를 통해 검증됐으며, 해당 로그는 202년 12월 8일 민관합동조사단과 개인정보보호위원회에 전달됐다"고 언급했다.
그러면서 입장문 말미에 "쿠팡은 모든 사실이 명확히 밝혀지기를 고대한다"고 덧붙였다.
쿠팡 관계자는 연합뉴스와의 통화에서 해외 클라우드를 통한 정보 유출 여부와 관련 "당사는 실제 데이터 전송이 이뤄졌다는 증거는 없는 것으로 파악하고 있다"며 "합조단도 데이터 전송 여부를 확인할 수 없다고 밝혔다"고 전했다.
앞서 쿠팡이 지난해 12월 25일 용의자가 개인 정보를 외부에 전송한 증거가 없다고 발표해 '셀프 조사' 논란이 일기도 했는데, 정부가 이번 조사 결과에서 '(클라우드 서버로) 실제 전송이 이뤄졌는지는 기록이 남아있지 않아 확인할 수 없다'고 밝힌 것이 자체 조사 결과와 부합한다는 것이다.
쿠팡Inc가 이날 입장문을 낸 것은 미 하원 법사위 출석과 미국 내 소송 가능성을 염두에 둔 대응이라는 해석도 제기된다.
앞서 미 하원 법사위는 지난 5일(현지시간) 쿠팡 사태와 관련해 한국 정부의 차별을 주장하며 해롤드 로저스 쿠팡 임시 대표에게 보낸 소환장을 공개한 바 있다. 로저스 임시 대표는 오는 23일 미국 하원 법사위에 출석한다.
aayyss@yna.co.kr, chomj@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>