데일리 TOP10
3위
쿠팡 전 직원, 3367만명 정보유출 확정
뉴스보이
2026.02.10. 15:15
뉴스보이
2026.02.10. 15:15
쿠팡 개인정보 유출, 민관 합동 조사 결과 발표
1
쿠팡 전 직원이 지난해 4월부터 11월까지 자동화 도구로 개인정보를 무단 유출함
2
과기정통부 민관 합동 조사 결과, 이용자 이름, 이메일 3367만여 건이 유출된 것으로 잠정 확인됨
3
배송지 주소, 전화번호 등 1억 4800만여 건이 조회되었으며, 제삼자 정보도 다수 포함된 것으로 파악됨
4
쿠팡은 침해 인지 후 24시간 내 신고 의무를 위반하고 자료 보전 명령을 불이행하여 과태료 및 수사 의뢰 조치됨
5
과기정통부는 쿠팡에 보안 시스템 보완 및 재발 방지 대책 이행 계획 제출을 요구하며, 미이행 시 ISMS 인증 취소 가능성을 언급함
쿠팡 정보유출, 왜 막지 못했나?
범인의 범행 수법과 기간은?
쿠팡의 보안 관리 미흡점은?
쿠팡의 법규 위반 및 조치 사항은?
범인의 범행 수법과 기간은?
•
범인은 쿠팡 재직 당시 이용자 인증 시스템 설계를 담당했던 개발자였습니다. 그는 지난해 1월부터 쿠팡 서버의 인증 취약점을 발견하고 공격 가능성을 시험했으며, 4월 14일부터 11월 8일까지 자동화된 웹 크롤링 도구를 이용해 개인정보를 무단으로 수집했습니다.
•
이 과정에서 다수의 IP가 사용되었고, 유출된 정보가 외부 클라우드로 전송되었는지 여부는 아직 확인되지 않았습니다. 공격자의 국적이나 공범 여부는 경찰 수사 영역으로 특정되지 않았습니다.
쿠팡의 보안 관리 미흡점은?
•
조사단은 쿠팡이 인증 취약점을 악용한 대규모 무단 접근이 장기간 지속되었음에도 이를 인지하지 못했다고 지적했습니다. 특히 정상 절차를 거치지 않은 전자 출입증(토큰)이 사이버 공격에 악용될 가능성이 사전 모의 해킹에서 드러났으나 개선되지 않았습니다.
•
또한, 쿠팡은 정보보호 및 개인정보보호 관리체계(ISMS) 인증을 취득했음에도 접근 권한별 직무 분리와 암호 정책 수립이 미흡했던 것으로 확인되었습니다. 과기정통부는 이에 대한 보완을 요구했으며, 미이행 시 ISMS 인증 취소 가능성도 언급했습니다.
쿠팡의 법규 위반 및 조치 사항은?
•
쿠팡은 사이버 침해 사고를 인지한 시점으로부터 24시간 이내에 당국에 신고해야 하는 의무를 위반했습니다. 인지 후 만 이틀이 지나서야 신고하여 과태료 처분 대상이 되었습니다.
•
또한, 과기정통부의 자료 보전 명령에도 불구하고 2024년 7월부터 약 5개월 분량의 웹 접속 기록과 특정 기간의 앱 접속 기록이 삭제된 사실이 확인되어 수사 의뢰되었습니다. 과기정통부는 쿠팡에 재발 방지 대책 이행 계획 제출을 요구했습니다.
범인의 범행 수법과 기간은?
•
범인은 쿠팡 재직 당시 이용자 인증 시스템 설계를 담당했던 개발자였습니다. 그는 지난해 1월부터 쿠팡 서버의 인증 취약점을 발견하고 공격 가능성을 시험했으며, 4월 14일부터 11월 8일까지 자동화된 웹 크롤링 도구를 이용해 개인정보를 무단으로 수집했습니다.
•
이 과정에서 다수의 IP가 사용되었고, 유출된 정보가 외부 클라우드로 전송되었는지 여부는 아직 확인되지 않았습니다. 공격자의 국적이나 공범 여부는 경찰 수사 영역으로 특정되지 않았습니다.
쿠팡의 보안 관리 미흡점은?
•
조사단은 쿠팡이 인증 취약점을 악용한 대규모 무단 접근이 장기간 지속되었음에도 이를 인지하지 못했다고 지적했습니다. 특히 정상 절차를 거치지 않은 전자 출입증(토큰)이 사이버 공격에 악용될 가능성이 사전 모의 해킹에서 드러났으나 개선되지 않았습니다.
•
또한, 쿠팡은 정보보호 및 개인정보보호 관리체계(ISMS) 인증을 취득했음에도 접근 권한별 직무 분리와 암호 정책 수립이 미흡했던 것으로 확인되었습니다. 과기정통부는 이에 대한 보완을 요구했으며, 미이행 시 ISMS 인증 취소 가능성도 언급했습니다.
쿠팡의 법규 위반 및 조치 사항은?
•
쿠팡은 사이버 침해 사고를 인지한 시점으로부터 24시간 이내에 당국에 신고해야 하는 의무를 위반했습니다. 인지 후 만 이틀이 지나서야 신고하여 과태료 처분 대상이 되었습니다.
•
또한, 과기정통부의 자료 보전 명령에도 불구하고 2024년 7월부터 약 5개월 분량의 웹 접속 기록과 특정 기간의 앱 접속 기록이 삭제된 사실이 확인되어 수사 의뢰되었습니다. 과기정통부는 쿠팡에 재발 방지 대책 이행 계획 제출을 요구했습니다.
#쿠팡
#개인정보
#과학기술정보통신부
#정보보호 관리체계 인증
#쿠팡 전 직원
