쿠팡, 정보유출 '3천367만 건' 확인...셀프조사 '3천 건' 뒤집혀

전직 개발자, 배송지 목록 1억 4천만 회 이상 무단 조회
인증 시스템 허점 악용...3367만 건 정보 빼돌려
서명키 관리 부실·이상 접속 탐지 실패
늑장 신고·로그 삭제 논란...정부, 과태료·수사의뢰

과학기술정보통신부와 쿠팡 CI [사진=과학기술정보통신부, 쿠팡] (포인트경제)

[포인트경제] 쿠팡에서 발생한 대규모 개인정보 유출 사고의 조사 결과가 발표됐다. 당초 쿠팡이 추산했던 피해 규모보다 훨씬 큰 3300만 건 이상의 이용자 정보가 유출된 것으로 확인됐다.

과학기술정보통신부는 10일 정부서울청사에서 진행된 민관합동조사단의 최종 조사 결과 브리핑을 통해 이같이 밝혔다. 조사 결과에 따르면, 쿠팡의 전직 소프트웨어 개발자였던 중국인 A씨가 지난해 4월부터 11월까지 웹페이지에 무단 접속해 성명과 이메일 등 3367만여 건의 가입자 정보를 유출한 것으로 파악됐다.

△ 인증 시스템 취약점 노린 전직 직원의 범행

이번 사고는 쿠팡의 이용자 인증 시스템을 설계하고 개발했던 내부자가 해당 시스템의 보안 취약점을 미리 인지하고 퇴사 후 이를 악용한 사례다. A씨는 재직 당시 관리하던 인증 시스템의 서명키를 확보한 뒤, 이를 이용해 정상적인 로그인 절차를 거치지 않고도 서비스에 접속할 수 있는 위·변조된 '전자 출입증'을 만들어 사용했다.

쿠팡 측은 전자 출입증의 위·변조 여부를 확인하는 검증 절차를 제대로 갖추지 않았던 것으로 나타났다. 또한, 업무 담당자가 퇴사할 경우 기존 서명키를 즉각 폐기하거나 갱신해야 했으나 관련 규정과 이행이 미흡했다. 조사 과정에서는 현재 재직 중인 개발자의 노트북에 서명키가 저장돼 있는 등 전반적인 키 관리 체계의 부실함도 확인됐다.

△ 배송지 정보 등 1억 4천만 회 이상 무단 조회

조사단은 유출자가 자동화된 웹 크롤링 도구를 이용해 광범위한 정보를 수집했다고 설명했다. A씨는 성명, 전화번호, 배송지 주소 등이 포함된 '배송지 목록 페이지'를 약 1억 4805만 회 조회했으며, 공동현관 비밀번호가 노출된 '배송지 목록 수정 페이지'도 5만여 차례 확인했다.

해당 페이지에는 계정 소유자뿐 아니라 가족이나 지인 등 제3자의 정보도 포함돼 있어 실제 정보가 노출된 인원은 가입자 수를 상회할 것으로 예상된다. 유출자는 이 과정에서 2300여 개의 IP를 사용했으나, 쿠팡은 비정상적인 접속 패턴을 조기에 탐지하거나 차단하지 못했다.

△ 지연 신고·로그 삭제에 따른 행정 조치

정부는 사고 대응 과정에서 쿠팡의 법 위반 사항에 대해 엄정 조치를 예고했다. 쿠팡은 침해 사고를 인지한 지 48시간이 지나서야 신고해 정보통신망법상 24시간 이내 신고 의무를 위반했다. 이에 따라 정부는 과태료를 부과할 예정이다.

또한, 정부의 자료보전 명령 이후에도 쿠팡이 자동 로그 저장 정책을 변경하지 않아 수개월 분량의 접속 기록이 삭제된 사실이 확인됐다. 과기정통부는 이와 관련해 자료보전 명령 위반 혐의로 수사기관에 수사를 의뢰했다.

쿠팡은 이번 조사 결과에 따라 이달 내로 재발 방지 대책 이행 계획을 제출해야 하며, 정부는 오는 7월까지 이행 여부를 철저히 점검할 계획이다. 한편, 개인정보 유출에 따른 최종 과징금 부과는 개인정보보호위원회에서 별도로 확정할 예정이다.