국내 이커머스(전자상거래) 시장 1위 업체인 쿠팡에서 3천만건이 넘는 대규모 정보 유출 사고가 발생했다. 쿠팡은 현재까지 고객 계정 약 3370만개가 유출된 것을 확인했다. 이는 국내 성인 네 명 중 세 명의 정보에 해당하며, 사실상 쿠팡 전체 계정에 맞먹을 것으로 추정된다. 사진은 지난 30일 서울 송파구 쿠팡 본사 앞에 빨간불이 켜져 있다. [이승환 기자]
쿠팡에서 발생한 ‘3370만개 계정 규모의 개인정보 유출’ 사태가 외부 해킹이 아닌, 회사 내부 보안 체계의 구조적·조직적 허점에서 비롯된 ‘명백한 인재’였다는 분석이
바다이야기APK 잇따르고 있다.
핵심 용의자로 지목된 중국 국적의 퇴직 직원 A씨는 퇴사 후에도 쿠팡이 폐기하거나 갱신하지 않은 장기 유효 ‘서명키’를 이용해 약 5개월 동안 고객 계정 정보에 무단 접근한 것으로 알려졌다.
보안업계에서는 로그인에 필요한 서명키 관리 부실을 “보안 기본을 저버린 치명적 실책”이라고 평
사이다릴게임 가하며, 쿠팡의 안일한 보안 운영으로 ‘최악의 정보유출 사태’가 발생했다는 비판이 쏟아지고 있다.
최민희 국회 과학기술정보방송통신위원회 위원장 [연합뉴스]
1일 최민희 국회 과학기술정보방송통신위
골드몽릴게임릴게임 원회 위원장과 업계에 따르면, 개인정보 유출 용의자로 지목된 A씨는 쿠팡 재직 당시 사용자 인증과 권한 부여 등 핵심 인증 업무를 담당했던 인물이다.
쿠팡은 A씨가 접근하던 액세스 토큰의 유효 인증 키를 그가 퇴사한 후에도 갱신하거나 폐기하지 않았고, A씨는 이를 악용해 총 3370만개에 달하는 고객 계정 정보를 탈취한
황금성게임다운로드 것으로 파악됐다.
특정 정보에 접근할 수 있는 로그인 시스템 구조상 ‘토큰’은 일회용 출입증에 해당하고, 이를 발급·검증하는 ‘서명키’는 출입증에 찍히는 도장과 같은 역할을 한다. 서명키는 서버가 토큰의 진위를 판단하는 핵심 보안 요소다. 이를 보유한 사람은 정상 사용자가 발급받은 것과 동일한 인증 토큰을 임의로 생성할 수 있다.
바다이야기게임방법 서명키를 활용해 서버가 신뢰하는 인증 토큰을 위조하고 마이페이지·주문 정보 등 고객 개인정보에 접근하는 모습. 기사 이해를 돕기 위한 AI 이미지. [챗GPT]
A씨는 서명키를 활용해 서버가 신뢰하는 인증 토큰을 위조했고, 마이페이지·주문 정보 등 고객 개인정보에 접근한 것으로 분석된다. 실제로 쿠팡도 지난 20일 유출 사실을 알리며 “비인가 루트를 통한 접근”이라고 설명해 내부 보안 취약점 가능성을 시사했다.
서명키는 보안 업계에서 가장 엄격하게 관리해야 하는 정보다. 담당 직원이 퇴사하면 즉시 폐기하거나 신속히 갱신하는 것이 원칙이다. 그러나 쿠팡은 이 기본 절차를 지키지 않아 퇴직한 사람이 수개월간 고객 정보에 접근 가능한 권한이 있는 직원처럼 행동할 수 있는 중대한 보안 공백을 만든 것으로 지적된다.
최민희 위원장은 “인증키가 5~10년간 방치된 걸로 보인다”며 “서명키 갱신은 가장 기본적인 보안 절차임에도 쿠팡은 이를 소홀히 했다”고 비판했다. 이에 대해 쿠팡은 “장기 방치 의혹은 사실이 아니다”며 반박했지만, 수사 중이라는 이유로 구체적 설명은 내놓지 않았다.
쿠팡이 고객 정보 유출이 진행되는 동안 이를 전혀 인지하지 못했다. 경찰에 따르면 A씨는 지난달 16일 일부 고객에게 “개인정보를 보유하고 있다”는 협박성 이메일을 보냈고, 고객 신고로 인해 쿠팡은 뒤늦게 유출 정황을 파악했다.
쿠팡은 지난달 19일 4500개 계정의 유출 사실을 신고했으나, 경찰에 따르면 같은 달 25일 A씨는 쿠팡 고객센터로 ‘정보 탈취를 공개할 수도 있다’는 취지의 협박 메일을 보냈다. 이후 조사 과정에서 피해 계정 규모가 3370만개에 이른다는 사실이 확인됐다.
경찰은 발신 이메일 계정이 서로 다른 두 개였다는 점을 고려해 조직적 범행 가능성도 배제하지 않고 수사를 이어가고 있다. 용의자인 A씨는 이미 출국한 것으로 알려졌으며, 경찰은 확보한 IP 정보를 토대로 국제 공조 수사에 착수했다.
사건이 불거지자 온라인 커뮤니티 일각에서는 “쿠팡 정보기술(IT) 조직 내 중국인 비중이 과도하게 높다”는 주장까지 제기되며 논란이 확산됐다. 그러나 쿠팡은 “중국인이 다수를 차지한다는 주장은 사실이 아니다”며 확대 해석을 경계했다.
한 온라인 커뮤니티에서 제기된 쿠팡 개발자 관련 소식이 전해지며 논란이 점차 확산됐다. 이에 쿠팡 측은 확대 해석을 경계했다.
정치권도 사태의 심각성을 고려해 대응에 나섰다. 국회 과학기술정보방송통신위원회는 2일 전체회의에서 유출 경위를 집중 질의할 예정이며, 국회 정무위원회도 3일 쿠팡 관계자를 출석시켜 현안 조사를 진행한다.
소비자단체들 반발도 거세다.
소비자교육중앙회와 한국여성소비자연합 등 12개 단체로 구성된 한국소비자단체협의회는 성명을 내고 “쿠팡은 유출 원인과 피해 규모를 투명하게 공개하고 즉각적이고 실질적인 배상안을 마련해야 한다”며 “이를 이행하지 않을 경우 회원 탈퇴·불매운동을 비롯한 모든 대응에 나서겠다”고 경고했다.
■ 용어 설명 ▶▶ 서명키 : 디지털 서명을 하기 위해 사용하는 비밀키(인증서) ▶▶ 토큰 : 서비스 접근 권한을 부여하는 일회용 디지털 출입증 기자 admin@119sh.info
