금전 요구는 안 한 용의자 퇴사에 앙심 품고 범행? [쿠팡 개인정보 유출 파장]

베일 싸인 동기에 우려 커져

5개월간 잠잠하다 협박메일 보내
다크웹에 팔아 이득 챙겼을 수도

쿠팡측 “아직 2차피해 파악 안 돼”
경찰, IP 추적… 피싱 연관성 조사

쿠팡 개인정보 유출 사태와 관련해 협박 메일을 보낸 용의자가 금전 요구를 하지 않았던 것으로 알려지면서 범행 동기에 대한 의문과 우려가 커지고 있다. 고객 정보와 구매 이력 등 민감한 정보가 범죄 조직에 팔릴 경우 정교해진 범죄 수법과 맞물려 피해가 확산할 수 있기 때문이다.

2일 서울 시내 한 쿠팡 물류센터 모습. 뉴시스

2일 경찰과 유통업계에 따르면 최근 다수의 고객과 쿠팡 고객센터에 협박 메일을 보낸 용의자는 금품을 요구하지 않았던 것으로 알려졌다. 이 용의자는 지난달 16일 개인 고객들에게 ‘당신의 정보를 알고 있다’는 내용의 메일을 보낸 뒤 25일에는 쿠팡 고객센터에 ‘회원들의 개인 정보를 갖고 있다’, ‘보안을 강화하지 않으면 유출 사실을 언론에 알리겠다’는 협박 메일을 보냈다.

김승주 고려대 정보보호대학원 교수는 CBS 라디오 인터뷰에서 “돈을 노렸으면 자신이 발견되기 전에 회사 측에 돈을 요구했을 텐데 5개월 동안 (가만히) 있다가 쿠팡 일반 이용자들에게 알린 건 돈이 목적이 아닐 수 있다”고 말했다. 그러면서 “(쿠팡) 내부에서 ‘이 중국인 개발자가 퇴사를 당하게 돼서 앙심을 품고 그랬다’는 얘기가 나온다”고 덧붙였다.

브랜 메티스 쿠팡 정보보호최고책임자(CISO)는 국회 과학기술정보방송통신위원회에서 ‘용의자가 앙심을 품고 범행을 저질렀을 가능성이 있느냐’는 의원 질의에 “중국인 직원이 했다고 가정한다면 그것도 가능성이 있을 수 있겠지만, 저희가 범행 동기를 마음대로 추정해서 말씀드릴 수는 없다”고 답했다.

브랫 매티스 쿠팡 최고정보보호책임자(CISO)가 2일 서울 여의도 국회에서 열린 제429회국회(정기회) 과학기술정보방송통신위원회 제18차 전체회의에 출석해 의원 질의에 답변하고 있다. 뉴스1

그러나 보안 전문가들은 범죄 피해 가능성이 여전히 열려있다고 지적했다. 김명주 서울여대 바른 AI센터장은 “다크웹 등에 자료를 쪼개 팔거나 경쟁사들에 고객 정보를 되파는 방식으로 이미 경제적 목적을 달성했을 가능성이 있다”고 했다. 박대준 쿠팡 대표는 이날 과방위 현안질의에서 ‘범죄 조직으로 넘어갔다고 볼 만한 피해사례가 있느냐’는 질문에 “아직까지 2차 피해는 없는 걸로 파악하고 있다”고 답했다.

경찰은 우선 용의자 파악에 수사력을 모으고 있다. 일단 쿠팡으로부터 제출받은 서버 로그 기록을 분석하는 동시에 범행에 쓰인 IP도 추적하고 있다. 고객과 쿠팡 고객센터에 협박 메일을 보낸 계정 2개도 확인해 발신을 확인하는 작업도 진행 중이다. 경찰은 개인정보가 다른 이에게 넘어갔을 가능성이나 피싱 범죄와의 연관성 등에 대해서도 들여다볼 예정이다.

이현미·김승환 기자