[앵커]

‘쿠팡 침해사고 민관합동조사단’의 최종 조사 결과가 발표됐습니다.

3,367만여 건의 개인정보가 유출됐을 뿐 아니라 배송지 목록 페이지를 1억 4천만 회 조회하는 등 민감 이용자 정보가 대량으로 수집된 정황도 확인됐습니다.

보도에 문형민 기자입니다.

[기자]

쿠팡에서 발생한 개인정보 유출 계정 규모가 당초 사측이 신고한 4,536개가 아닌, 3,367만 3천여 개인 것으로 파악됐습니다.

유출자는 쿠팡 이용자의 이름과 전화번호, 주소 등이 적힌 배송지 목록 페이지를 1억 4,805만 회 넘게 들여다본 것으로 확인됐습니다.

또, 공동 현관 비밀번호가 포함된 배송지 목록 수정 페이지를 5만여 회 조회한 사실도 드러났습니다.

공격은 지난해 4월부터 11월까지 약 7개월 동안 이어졌는데, 쿠팡 서버의 인증 취약점을 악용한 것으로 확인됐습니다.

유출자는 재직 당시 관리하던 이용자 인증 시스템의 서명키를 탈취한 뒤, 이를 활용해 로그인에 필요한 ‘전자 출입증’을 위·변조했고 쿠팡 인증 체계를 통과한 것으로 드러났습니다.

조사단은 “쿠팡의 검증 체계가 미흡해 유출자의 공격 행위를 사전에 탐지·차단하지 못했고, 유출자가 이용자 인증 관련 시스템 개발자임에도 퇴사 이후 서명키를 즉시 갱신하지 않은 채 운영했다”고 지적했습니다.

또, 쿠팡이 정부의 자료 보전 명령이 내려진 이후 지난해 7월부터 11월까지의 웹과 애플리케이션 접속 기록을 삭제해 조사를 방해한 것으로 파악됐습니다.

이에 대해 정부는 수사기관에 수사를 의뢰했다고 전했습니다.

아울러 정부는 쿠팡이 침해사고를 인지한 시점으로부터 24시간이 지난 이후에 한국인터넷진흥원에 신고한 것과 관련해 정보통신망법상 신고 지연에 따른 과태료를 부과할 예정입니다.

한편, 개인정보의 세부적인 최종 유출 규모와 개인정보보호법 위법 여부 등은 이번 기술 조사 결과를 바탕으로 개인정보보호위원회에서 확정할 계획입니다.

연합뉴스TV 문형민입니다.

[영상취재 김동화]

[영상편집 박진희]

연합뉴스TV 기사문의 및 제보 : 카톡/라인 jebo23

문형민(moonbro@yna.co.kr)