쿠팡은 최근 3300만 고객 정보 유출 사건의 관련자로 지목된 전 직원을 체포하고 범행에 대한 전모를 자백받았다고 25일 발표했다. 유출자는 재직 시 취득한 내부 보안 키를 악용하여 3300만 고객 계정에 접근, 3000여 명의 개인정보를 저장한 뒤 이후 이를 삭제하고 관련 장비를 하천에 버렸다는 진술을 한 것으로 알려졌다.

쿠팡은 사건 발생 직후 해당 정보가 외부로 전송되지 않았음이 확인되었으며, 고객 정보 보호를 위해 모든 절차를 강화하겠다는 의지를 표명했다. 이 유출자는 개인용 데스크톱 PC와 맥북에어를 사용해 고객 계정 정보를 탈취했으며, 이 과정에서 3000개의 계정에 대한 주문 내역 및 공동현관 출입번호를 알아냈다고 밝혔다.

쿠팡은 사건의 심각성이 커짐에 따라 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 조사를 의뢰하여 해당 계정의 결제 정보나 로그인 관련 데이터는 접근되지 않았음을 확인했다. 이번 사건에서 2609개의 공동현관 출입번호도 유출된 것으로 밝혀졌으며, 유출자는 이후 언론에 보도된 후 정보의 흔적을 지우기 위해 노트북을 물리적으로 파손하고 쿠팡의 로고가 있는 에코백에 넣어 하천에 버렸다고 진술했다.

쿠팡은 유출자가 제공한 정보를 바탕으로 잠수부를 동원하여 하천에서 맥북에어를 회수하였으며, 해당 기기의 일련번호가 유출자의 iCloud 계정과 일치하는 점을 확인하여 물증을 확보했다. 포렌식 조사 결과, 유출자는 1대의 데스크톱 PC와 1대의 애플 시스템에서 불법적으로 쿠팡 시스템에 접근한 것으로 나타났다. 이와 관련하여 유출자는 4개의 하드 드라이브를 제출하였고, 분석 결과 공격에 사용된 스크립트가 발견되었다.

유출자는 "단독 범행"이라고 주장하며, 사건 후 3000개 계정의 고객 정보는 삭제되었으며 외부로 전송된 적이 없다고 재차 강조했다. 쿠팡 측은 현재까지의 조사 결과가 유출자의 진술과 일치하는 점을 밝히며, 고객 정보가 제3자에게 전송되지 않았음을 확실히 했다. 쿠팡은 개인정보 유출로 인한 고객의 불안감을 깊이 이해하며, 이에 대한 책임을 통감하고 진심으로 사과의 뜻을 전했다.

이번 사건은 고객 개인정보 보호에 대한 중요한 경각심을 일깨우는 사례로 남을 것으로 보이며, 쿠팡은 앞으로도 고객 정보를 더욱 철저히 보호하기 위한 조치를 강화할 계획이다.