- 최민희 의원실 “보안 관리 부실
- 취약성 악용해 서버 접근 추정”
- 경찰, 범행 사용 추정 IP 확보
- 대통령실 “징벌적 손배 손볼 것”

쿠팡에서 3370만 명의 개인정보가 대규모 유출된 원인으로 인증토큰 및 서명키 관리 부실 의혹이 도마 위에 오른다. 경찰은 유출에 사용된 IP 주소를 확보해 유출자를 추적 중이다.

국내 이커머스(전자상거래) 시장 1위 업체인 쿠팡에서 고객정보 약 3370만 개가 유출된 가운데 1일 서울 시내 쿠팡 물류센터에서 직원이 물품을 옮기고 있다. 연합뉴스

1일 정보통신기술(ICT) 업계와 과학기술정보방송통신위원장 최민희 의원실에 따르면 쿠팡 고객 정보를 빼돌린 건 현재는 퇴사한 인증 관련 담당자로 알려졌다. 이 추정이 맞다면 이 직원이 인증 관련 권한을 갖고 있어 퇴사 이전부터 로그인 없이 취약점에 접근하기 쉬웠을 것으로 업계는 본다.

최 의원실 등에 따르면 이 직원은 인증토큰 서버인증키와 보안 취약점을 악용한 것으로 추정된다. 인증토큰은 로그인할 때 발행되는 출입증으로, 통상 토큰을 갖고 있으면 시스템에 로그인 없이 접근할 수 있다. 인증 관련 담당자가 퇴사 후에도 인증토큰을 활용해 시스템에 접근했다면, 쿠팡이 인증 토큰 생성에 필요한 서명키를 부실하게 관리했을 가능성이 크다. 인증 토큰은 생성과 폐기가 빠르면 1시간 이내로 완료되는 등 주기가 짧은데 이를 생성하기 위해 필요한 게 서명키다. 쿠팡이 해당 직원 퇴사 후에도 서명키를 삭제하거나 갱신하지 않았다면 해당 직원이 인증 토큰을 악용, 데이터베이스(DB)에 접속할 수 있게 되는 것이다.

보안 전문가는 “(인증토큰과 서명키를 악용하면) 외부에서 접근해서 자신의 (인증) 권한을 행사할 수 있었을 것”이라며 “로그인 없이 데이터베이스를 빼냈다는 건 인증토큰을 활용했다는 가능성이 높다는 의미”라고 말했다.

서울경찰청 관계자는 이날 정례 간담회에서 “쿠팡 측의 서버 로그기록을 제출받아서 분석 중이며 범행에 사용한 IP도 확보해 추적하고 있다”고 밝혔다. 경찰은 개인정보 유출자가 개인정보 유출 사실을 알리겠다는 협박성 이메일을 쿠팡에 보낸 인물과 동일인인지 등을 확인 중이다. 협박성 메일은 지난달 16일 일부 사용자들에게 발송됐고 같은 달 25일과 28일엔 쿠팡 고객센터에도 보내졌다. 이용자들에게 보내진 이메일과 고객센터에 발송된 이메일의 계정은 각각 1개로 경찰은 계정의 접속기록 등을 추적 중이다.

경찰은 개인정보 유출자가 중국 국적의 전직 직원으로 지목된 점에 대해서도 “확인된 바 없다”며 신중한 입장이다. 경찰 관계자는 “피의자를 특정하기 위한 수사를 진행 중”이라며 “IP 추적을 위한 해외 공조도 벌이고 있다”고 설명했다. 경찰은 쿠팡 내부 고객정보 관리 시스템의 기술적 취약성에 대해서도 수사할 방침이다.

경찰은 현재까지 쿠팡에서 유출된 개인정보가 피싱이나 주거침입 등 범죄에 악용되는 2차 피해 신고는 접수된 바 없다고 밝혔다. 박성주 국가수사본부장은 “이번 사건은 단순한 ‘기업 보안 사고’가 아니라 한 사람 한 사람의 일상과 안전이 위협받는 문제”라며 “사건 수사와 2차 피해 예방에 최선을 다하겠다”고 말했다.

한편 강훈식 대통령 비서실장은 이날 주재한 수석보좌관회의에서 “징벌적 손해배상제가 사실상 작동하지 않고 있고 이로 인해 대규모 유출 사고를 막는 데에도 한계가 있다”며 관련 제도 보완을 지시했다.