전직 직원, 해외 서버 통해 고객 정보 무단 접근 시작

쿠팡 전직 직원이 해외 서버를 경유하여 고객 계정에 비정상적으로 접속하고 개인정보를 무단 조회하기 시작했다. 무단 접근은 2025년 6월 24일부터 시작되어 11월 초까지 약 5개월간 이어졌으며, 이 과정에서 약 3,370만 건의 고객 계정 정보가 비인가 조회 방식으로 유출되었다.

유출된 정보 항목에는 고객의 이름, 이메일 주소, 전화번호, 배송지 주소 및 일부 주문 내역이 포함되었으며, 일부 사례에서는 공동현관 비밀번호까지 노출된 것으로 확인되었다. 다만 결제 수단 정보나 로그인 비밀번호 등 민감한 데이터는 유출되지 않았다고 쿠팡은 밝혔다.

이번 사고는 퇴직자의 접근 권한을 즉시 회수하지 않고 인증키를 그대로 방치한 보안 거버넌스의 허점이 결정적인 원인으로 분석된다. 특히 쿠팡은 스스로 침해 사실을 발견하지 못하고 고객의 제보를 통해 11월 18일에서야 상황을 인지했으며, 초기에는 유출 규모를 4,500건으로 과소 발표했다가 이후 3,370만 건으로 정정하며 대응 부실 논란을 빚었다.