데일리 TOP10
8위
쿠팡 전 직원, 1.4억회 개인정보 유출 확인
뉴스보이
2026.02.11. 00:56
뉴스보이
2026.02.11. 00:56
정부, 쿠팡 대규모 개인정보 유출 조사 결과 발표
1
과학기술정보통신부 민관합동조사단은 쿠팡 개인정보 침해 사고 최종 조사 결과를 발표했습니다.
2
쿠팡 전 직원이 지난해 4월부터 11월까지 이용자 이름과 이메일 3367만여 건을 유출한 것으로 파악되었습니다.
3
해당 직원은 배송지 목록, 공동현관 비밀번호 등 민감 정보 페이지를 1억 4805만여 회 조회한 것으로 조사되었습니다.
4
정부는 이번 사태의 원인이 쿠팡의 부실한 관리 체계와 인증 체계 취약점에 있다고 지적했습니다.
5
쿠팡은 침해 사고 인지 후 24시간 내 신고 의무를 위반하여 과태료 부과 및 자료 보전 명령 위반으로 수사 의뢰될 예정입니다.
쿠팡 개인정보 유출, 무엇이 문제였나?
전 직원은 어떻게 정보를 유출했습니까?
쿠팡의 관리 부실은 무엇이었습니까?
유출 규모, 왜 논란이 되었습니까?
전 직원은 어떻게 정보를 유출했습니까?
•
쿠팡의 전 직원은 재직 당시 이용자 인증 시스템 설계 및 개발 업무를 담당했습니다. 그는 이 과정에서 시스템의 취약점을 인지하고 서명키(비밀키)를 탈취했습니다. 이 서명키를 이용해 '전자 출입증'을 위·변조하여 정상적인 로그인 절차 없이 쿠팡 서비스에 무단 접속할 수 있었습니다.
•
퇴사 후에도 탈취한 서명키를 활용하여 지난해 4월부터 11월까지 약 7개월간 웹 크롤링 도구를 이용해 대규모 정보를 유출했습니다. 이는 쿠팡의 인증 체계에 위·변조된 전자 출입증을 검증하는 절차가 없었기 때문에 가능했습니다.
쿠팡의 관리 부실은 무엇이었습니까?
•
민관합동조사단은 이번 사태의 원인을 쿠팡의 '관리 부실'로 지목했습니다. 퇴사자의 서명키를 폐기하거나 갱신하는 절차가 미비했고, 재직자 노트북에 서명키를 저장하는 등 보안 관리가 허술했던 것으로 드러났습니다.
•
또한, '전자 출입증' 위·변조 여부를 확인하는 절차가 없었으며, 사전에 모의 해킹을 통해 취약점이 드러났음에도 이를 개선하지 않았습니다. 침해 사고 인지 후 24시간 이내 신고 의무를 위반하고, 자료 보전 명령 이후 접속 기록을 삭제한 정황도 포착되어 수사 의뢰되었습니다.
유출 규모, 왜 논란이 되었습니까?
•
쿠팡은 자체 조사에서 해커가 실제 저장한 정보는 약 3000건이라고 밝혔으나, 정부는 개인정보가 담긴 페이지를 조회한 것 자체를 유출로 판단했습니다. 이에 따라 정부는 이름·이메일 3367만여 건, 배송지·공동현관 비밀번호 등 민감 정보 페이지 1억 4805만여 회 조회를 유출로 보았습니다.
•
정부는 개인정보가 개인정보처리자의 관리·통제를 벗어나 제3자가 그 내용을 알 수 있는 상태가 되면 유출로 간주합니다. 쿠팡은 조회 수가 유출 건수를 의미하는 것은 아니라고 반박하며, 공동현관 출입 코드가 포함된 사례는 2609건에 불과하다고 주장했습니다.
전 직원은 어떻게 정보를 유출했습니까?
•
쿠팡의 전 직원은 재직 당시 이용자 인증 시스템 설계 및 개발 업무를 담당했습니다. 그는 이 과정에서 시스템의 취약점을 인지하고 서명키(비밀키)를 탈취했습니다. 이 서명키를 이용해 '전자 출입증'을 위·변조하여 정상적인 로그인 절차 없이 쿠팡 서비스에 무단 접속할 수 있었습니다.
•
퇴사 후에도 탈취한 서명키를 활용하여 지난해 4월부터 11월까지 약 7개월간 웹 크롤링 도구를 이용해 대규모 정보를 유출했습니다. 이는 쿠팡의 인증 체계에 위·변조된 전자 출입증을 검증하는 절차가 없었기 때문에 가능했습니다.
쿠팡의 관리 부실은 무엇이었습니까?
•
민관합동조사단은 이번 사태의 원인을 쿠팡의 '관리 부실'로 지목했습니다. 퇴사자의 서명키를 폐기하거나 갱신하는 절차가 미비했고, 재직자 노트북에 서명키를 저장하는 등 보안 관리가 허술했던 것으로 드러났습니다.
•
또한, '전자 출입증' 위·변조 여부를 확인하는 절차가 없었으며, 사전에 모의 해킹을 통해 취약점이 드러났음에도 이를 개선하지 않았습니다. 침해 사고 인지 후 24시간 이내 신고 의무를 위반하고, 자료 보전 명령 이후 접속 기록을 삭제한 정황도 포착되어 수사 의뢰되었습니다.
유출 규모, 왜 논란이 되었습니까?
•
쿠팡은 자체 조사에서 해커가 실제 저장한 정보는 약 3000건이라고 밝혔으나, 정부는 개인정보가 담긴 페이지를 조회한 것 자체를 유출로 판단했습니다. 이에 따라 정부는 이름·이메일 3367만여 건, 배송지·공동현관 비밀번호 등 민감 정보 페이지 1억 4805만여 회 조회를 유출로 보았습니다.
•
정부는 개인정보가 개인정보처리자의 관리·통제를 벗어나 제3자가 그 내용을 알 수 있는 상태가 되면 유출로 간주합니다. 쿠팡은 조회 수가 유출 건수를 의미하는 것은 아니라고 반박하며, 공동현관 출입 코드가 포함된 사례는 2609건에 불과하다고 주장했습니다.
#쿠팡
#과학기술정보통신부
#개인정보 유출
#쿠팡 직원
#이용자 정보
