쿠팡, 정보유출로 배송 정보 1억4000건 노출
이성봉 기자
2026-02-11
쿠팡 개인정보 유출 규모가 당초 정부 추정대로 3300만건을 넘는 것으로 파악됐다.
해킹당한 배송지 주소 등의 정보는 약 1억5000만건에 달했다.
과학기술정보통신부는 10일 정부서울청사에서 쿠팡 침해 사고에 관한 민관 합동 조사 결과를 잠정 발표했다.
과기정통부는 지난해 11월 29일부터 남아있는 쿠팡의 웹 접속기록(로그) 25.6테라바이트(TB) 분량(데이터 6천642억 건)을 분석한 결과 쿠팡 '내 정보 수정 페이지'에서 이용자 이름, 이메일 3천367만여 건이 유출된 것을 확인했다.
여기에 쿠팡이 최근 추가로 밝힌 16만5천여 계정 유출 건은 포함되지 않았다.
‘배송지 목록 페이지’에서는 이름, 전화번호, 배송지 주소, 특수문자로 비식별화된 공동현관 비밀번호가 포함된 개인정보를 범인이 1억4800만회 넘게 조회해 정보가 유출된 것을 파악했다.
이 정보에는 쿠팡 계정 소유자 본인 외에도 물품을 대신 구매해 배송한 가족, 친구 등의 이름, 전화번호, 배송지 주소 등 제삼자 정보도 다수 포함돼 있다.
조사단은 “웹 접속기록 등을 기반으로 유출 규모를 산정했고 정확한 개인정보 유출 규모에 대해서는 향후 개인정보보호위원회에서 확정해 발표할 예정”이라고 밝혔다.
2차 범죄에 악용될 우려가 컸던 공동현관 비밀번호는 ‘배송지 목록 수정 페이지’를 통해 이름, 전화번호, 주소와 함께 5만여건 조회됐고, 최근 주문한 상품 목록은 ‘주문 목록 페이지’에서 10만건 넘게 조회됐다.
조사단이 파악한 정보 유출 규모는 중국인 전 직원이 지난해 11월 25일 쿠팡 측에 보낸 이메일에서 "1억2천만 개 이상의 배송 주소 데이터, 5억6천만 개 이상의 주문 데이터, 3천300만개 이상의 이메일 주소 데이터를 확인했다"고 주장했던 것 보다 작다.
유출한 정보를 외부 클라우드로 전송했는지 여부는 확인되지 않았다.
다만, 조사단은 범인을 중국인이라고 특정해 표현하지는 않았다.
조사단은 그가 쿠팡 재직 당시 시스템 장애 시 백업을 위한 이용자 인증 시스템 설계를 맡은 개발자였다며 지난해 1월부터 시험한 뒤 지난해 4월 14일부터 본격적인 무단 유출에 나섰다고 전했다.
범인은 지난해 11월 8일까지 자동화된 웹 크롤링 공격 도구를 이용해 이용자들의 개인정보를 수집했다. 이를 외부 클라우드로 전송했는지 여부는 확인되지 않았다.
조사단은 정보 유출을 했는데도 쿠팡 측이 이를 인지하지 못했다고 지적했다.
또, 정상 발급 절차를 거치지 않은 ‘전자 출입증(토큰)’이 사이버 공격에 악용될 가능성이 있다는 점이 쿠팡이 사전에 실시한 모의 해킹에서 드러난 바 있지만 쿠팡이 이를 개선하지 않았다고 했다.
조사단은 쿠팡에 인증키 발급·사용 이력 관리와 비정상 접속행위 탐지 모니터링을 강화할 것과 자체 보안규정 준수 여부에 대한 정기 점검을 실시할 것을 요구했다.
아울러, 쿠팡이 24시간 내 신고 규정을 위반한 데 대해 과태료 처분할 계획이다. 과기정통부가 쿠팡에 자료 보전을 명령했지만 따르지 않아 기록이 삭제된 것에 대해 수사를 의뢰했다.
과기정통부는 조사 결과를 토대로 쿠팡에 재발 방지 대책에 따른 이행계획을 이달 중으로 제출하도록 하고, 올해 7월까지 이행 결과를 점검할 계획이다.
해킹당한 배송지 주소 등의 정보는 약 1억5000만건에 달했다.
과학기술정보통신부는 10일 정부서울청사에서 쿠팡 침해 사고에 관한 민관 합동 조사 결과를 잠정 발표했다.
과기정통부는 지난해 11월 29일부터 남아있는 쿠팡의 웹 접속기록(로그) 25.6테라바이트(TB) 분량(데이터 6천642억 건)을 분석한 결과 쿠팡 '내 정보 수정 페이지'에서 이용자 이름, 이메일 3천367만여 건이 유출된 것을 확인했다.
여기에 쿠팡이 최근 추가로 밝힌 16만5천여 계정 유출 건은 포함되지 않았다.
‘배송지 목록 페이지’에서는 이름, 전화번호, 배송지 주소, 특수문자로 비식별화된 공동현관 비밀번호가 포함된 개인정보를 범인이 1억4800만회 넘게 조회해 정보가 유출된 것을 파악했다.
이 정보에는 쿠팡 계정 소유자 본인 외에도 물품을 대신 구매해 배송한 가족, 친구 등의 이름, 전화번호, 배송지 주소 등 제삼자 정보도 다수 포함돼 있다.
조사단은 “웹 접속기록 등을 기반으로 유출 규모를 산정했고 정확한 개인정보 유출 규모에 대해서는 향후 개인정보보호위원회에서 확정해 발표할 예정”이라고 밝혔다.
2차 범죄에 악용될 우려가 컸던 공동현관 비밀번호는 ‘배송지 목록 수정 페이지’를 통해 이름, 전화번호, 주소와 함께 5만여건 조회됐고, 최근 주문한 상품 목록은 ‘주문 목록 페이지’에서 10만건 넘게 조회됐다.
조사단이 파악한 정보 유출 규모는 중국인 전 직원이 지난해 11월 25일 쿠팡 측에 보낸 이메일에서 "1억2천만 개 이상의 배송 주소 데이터, 5억6천만 개 이상의 주문 데이터, 3천300만개 이상의 이메일 주소 데이터를 확인했다"고 주장했던 것 보다 작다.
유출한 정보를 외부 클라우드로 전송했는지 여부는 확인되지 않았다.
다만, 조사단은 범인을 중국인이라고 특정해 표현하지는 않았다.
조사단은 그가 쿠팡 재직 당시 시스템 장애 시 백업을 위한 이용자 인증 시스템 설계를 맡은 개발자였다며 지난해 1월부터 시험한 뒤 지난해 4월 14일부터 본격적인 무단 유출에 나섰다고 전했다.
범인은 지난해 11월 8일까지 자동화된 웹 크롤링 공격 도구를 이용해 이용자들의 개인정보를 수집했다. 이를 외부 클라우드로 전송했는지 여부는 확인되지 않았다.
조사단은 정보 유출을 했는데도 쿠팡 측이 이를 인지하지 못했다고 지적했다.
또, 정상 발급 절차를 거치지 않은 ‘전자 출입증(토큰)’이 사이버 공격에 악용될 가능성이 있다는 점이 쿠팡이 사전에 실시한 모의 해킹에서 드러난 바 있지만 쿠팡이 이를 개선하지 않았다고 했다.
조사단은 쿠팡에 인증키 발급·사용 이력 관리와 비정상 접속행위 탐지 모니터링을 강화할 것과 자체 보안규정 준수 여부에 대한 정기 점검을 실시할 것을 요구했다.
아울러, 쿠팡이 24시간 내 신고 규정을 위반한 데 대해 과태료 처분할 계획이다. 과기정통부가 쿠팡에 자료 보전을 명령했지만 따르지 않아 기록이 삭제된 것에 대해 수사를 의뢰했다.
과기정통부는 조사 결과를 토대로 쿠팡에 재발 방지 대책에 따른 이행계획을 이달 중으로 제출하도록 하고, 올해 7월까지 이행 결과를 점검할 계획이다.