[메디컬투데이=유정민 기자] 쿠팡에서 발생한 대규모 개인정보 유출 사고의 피해 규모가 정부 초기 추정치를 넘어선 3300만 건 이상으로 확인됐다.

특히 배송지 주소 등 민감한 정보는 약 1억4800만 건에 달하는 것으로 조사됐다.

10일 과학기술정보통신부는 서울정부청사에서 민관 합동 조사 결과를 발표하며 이 같은 내용을 밝혔다.

조사에 따르면, 지난해 11월 29일부터 쿠팡 서버에 남아 있던 웹 접속 기록 25.6테라바이트(TB), 약 6642억 건의 데이터 로그를 분석한 결과 이용자 이름과 이메일 주소가 약 3367만 건 유출된 사실이 드러났다.

범행에 사용된 것으로 추정되는 공격자의 PC 저장장치 4대와 쿠팡 내부 개발자 노트북도 포렌식 조사를 거쳤다.

특히 ‘배송지 목록 페이지’에서는 이름, 전화번호, 배송지 주소뿐 아니라 공동현관 비밀번호(특수문자로 비식별화 처리됨)까지 포함된 개인정보가 약 1억4800만 회 이상 조회돼 유출된 것으로 나타났다.

이 정보에는 쿠팡 계정 소유자뿐 아니라 가족, 친구 등 제삼자의 정보도 다수 포함돼 있어 피해 대상이 더욱 확대될 가능성이 있다.

조사단은 “웹 접속 기록을 바탕으로 산정한 유출 규모이며, 정확한 수치는 개인정보보호위원회가 최종 확정해 발표할 예정”이라고 전했다.

또한 공동현관 비밀번호는 ‘배송지 목록 수정 페이지’를 통해 약 5만 건 조회됐고, 최근 주문 내역은 ‘주문 목록 페이지’에서 10만 건 넘게 조회된 것으로 확인됐다.

이번 조사 결과는 지난해 11월 중국인 전 직원이 쿠팡 측에 이메일로 주장한 유출 규모보다 다소 적은 수준이다.

해당 직원은 이메일에서 “1억2000만 개 이상의 배송 주소 데이터와 5억6000만 개 이상의 주문 데이터, 그리고 3300만 개 이상의 이메일 주소 데이터를 확인했다”고 밝힌 바 있다.

조사단은 이 직원이 지난해 초부터 쿠팡 서버 인증 시스템의 취약점을 발견하고 공격을 시도했으며, 본격적인 무단 정보 유출은 지난해 4월 중순부터 시작됐다고 설명했다.

공격자는 지난해 11월 8일까지 자동화된 웹 크롤링 도구를 이용해 대량의 개인정보를 수집했으나, 이 정보가 외부 클라우드로 전송됐는지는 확인되지 않았다.

쿠팡 측은 대규모 정보 유출에도 불구하고 침해 사실을 즉시 인지하지 못했고, 정상 발급 절차를 거치지 않은 전자 출입증(토큰)이 사이버 공격에 악용될 가능성이 있다는 점을 사전 모의 해킹에서 확인했음에도 개선하지 않은 것으로 조사됐다.

과기정통부 조사단은 쿠팡에 인증키 발급 및 사용 이력 관리 강화, 비정상 접속 탐지 모니터링 강화와 자체 보안 규정 준수 여부 정기 점검을 요구했다.

또한 쿠팡이 사고 인지 후 당국 신고를 지연해 관련 법규 위반으로 과태료 처분 계획도 밝혔다.

아울러 정부는 지난해 11월 쿠팡에 자료 보전 명령을 내렸으나 일부 웹 접속 기록과 애플리케이션 접속 기록이 삭제된 사실을 확인하고 수사를 의뢰했다.

과기정통부는 이번 조사 결과를 토대로 재발 방지 대책 이행 계획을 이달 중 제출하도록 하고, 올해 7월까지 이행 상황을 점검할 예정이다.