[신문고뉴스] 김성호 기자 = 쿠팡에서 발생한 개인정보 유출 사고의 피해 계정 규모가 당초 쿠팡이 신고한 4536건이 아니라 3367만여 건에 달하는 것으로 최종 확인됐다. 공격자는 배송지 정보 페이지를 1억 4805만여 회 조회하는 등 대규모로 이용자 정보를 들여다본 것으로 파악됐다. 과학기술정보통신부는 신고 지연에 대해 과태료를 부과하고, 자료 보전 명령을 어긴 정황에 대해서는 수사를 의뢰했다.

▲ 최우혁 과기정통부 정보보호네트워크정책실장이 10일 오후 서울 종로구 정부서울청사에서 기자회견을 하고 있다.

과기정통부는 10일 쿠팡 침해사고 민관합동조사단 조사 결과를 발표하며, 공격자가 이용자 인증 취약점을 악용해 정상 로그인 없이 계정에 접근한 뒤 개인정보를 무단 유출했다고 밝혔다. 조사단은 쿠팡의 이용자 인증체계와 접속기록, 전사 차원의 정보보호 관리체계를 집중 점검했다.

조사 결과, ‘내정보 수정’ 페이지에서 성명·이메일 정보가 3367만 3817건 유출된 것으로 파악됐다. 또한 성명·전화번호·주소 등이 포함된 배송지 목록 페이지는 1억 4805만 6502회 조회됐고, 공동현관 비밀번호까지 포함될 수 있는 배송지 목록 수정 페이지는 5만 474회 조회, 최근 주문 상품 목록이 포함된 주문목록 페이지는 10만 2682회 조회된 것으로 확인됐다. 개인정보의 최종 유출 범위와 확정 규모는 개인정보보호위원회에서 확정할 예정이다.

공격 방식은 ‘전자 출입증’으로 설명되는 인증 수단의 위·변조를 가능하게 한 검증 미흡이 핵심 원인으로 지목됐다. 위·변조된 전자 출입증에 대한 검증 체계가 부족해 공격 행위를 사전에 탐지·차단하지 못했고, 모의해킹에서 발견된 취약점 개선도 충분치 않았다는 게 조사단 판단이다.

특히 공격자는 쿠팡의 이용자 인증 관련 시스템을 설계·개발했던 백엔드 개발자로, 재직 당시 발급받은 서명키를 활용해 손쉽게 전자 출입증을 위·변조한 뒤 서버 접근을 이어간 것으로 드러났다. 공격자는 지난해 1월 퇴사 전 사전 테스트 성격의 공격을 몇 차례 진행했고, 퇴사 후 약 7개월 동안 본격적으로 개인정보를 탈취한 정황이 확인됐다. 과기정통부는 퇴사 이후에도 서명키를 즉시 갱신하지 않고 운영한 점을 문제로 지적했다.

과기정통부는 재발 방지 대책으로 ▲정상 발급 절차를 거치지 않은 전자 출입증 탐지·차단 체계 도입 ▲모의해킹 취약점 조치 ▲서명키 발급·폐기 등 관리 체계 강화 등을 쿠팡에 요구했다. 쿠팡에는 이달 안에 이행계획을 제출하도록 했으며, 3~5월 이행 과정을 거친 뒤 6~7월 이행 여부를 점검할 계획이다. 점검 결과 보완이 필요하면 정보통신망법에 따라 시정조치를 명령할 방침이다.

법 위반 사항도 확인됐다. 쿠팡은 침해사고 인지 후 24시간 내 신고 의무가 있음에도 정보보호 최고책임자(CISO)에게 보고한 시점으로부터 24시간이 지난 뒤 한국인터넷진흥원(KISA)에 신고한 사실이 드러나 과태료 처분을 받았다. 또한 자료 보전 명령 이후에도 웹·애플리케이션 접속기록을 삭제해 조사를 제한한 정황이 확인돼, 과기정통부는 해당 사안을 수사기관에 의뢰했다.

이번 발표는 국내 최대 이커머스 플랫폼에서 발생한 대규모 유출 사고의 실체가 정부 조사로 구체화된 것으로, 향후 쿠팡의 보안 체계 전면 정비와 관계기관의 추가 조사, 이용자 보호 조치 강화가 이어질 전망이다.

#쿠팡 #개인정보유출 #과기정통부 #민관합동조사 #정보통신망법 #KISA #자료보전명령 #수사의뢰 #사이버보안 #전자출입증 #배송지정보 #CISO