쿠팡 이용자 3,300만여 명의 이름과 이메일 등 개인정보가 대규모로 유출되고, 가족과 지인의 정보가 포함된 배송지 목록이 1억 5,000만 회 가까이 조회된 것으로 드러났다. 이번 사고는 인증 시스템을 담당했던 전직 직원이 보안 취약점을 악용해 저지른 내부 소행으로 밝혀졌다.

과학기술정보통신부(이하 과기정통부)는 10일 정부서울청사에서 민관합동조사단의 ‘쿠팡 침해사고 조사 결과’를 발표했다. 조사단이 25.6테라바이트(TB) 분량의 접속 기록(로그)을 분석한 결과, 지난해 4월부터 11월까지 대규모 정보 유출이 지속된 것으로 확인됐다.

유출 규모… “이름·번호부터 공동현관 비밀번호까지”

조사 결과에 따르면, ‘내 정보 수정’ 페이지를 통해 성명과 이메일이 포함된 가입자 정보 3,367만 3,817건이 유출됐다. 이는 쿠팡이 당초 주장했던 4,500여 건을 수천 배 상회하는 수치다.

특히 성명, 전화번호, 배송지 주소 등이 담긴 ‘배송지 목록’ 페이지는 무려 1억 4,805만 6,502회나 조회됐다. 해당 페이지에는 계정 주인뿐 아니라 선물하기 등을 통해 등록된 가족과 지인 등 제3자의 정보도 다수 포함되어 있어 2차 피해 우려가 커지고 있다. 또한, 공동현관 비밀번호가 비식별화되지 않은 상태로 노출된 페이지도 5만 회 이상 조회된 것으로 나타났다.

범행 수법… 전직 개발자가 만든 ‘가짜 출입증’에 뚫려

공격자는 쿠팡에서 백엔드 엔지니어로 근무하며 인증 시스템을 개발했던 전직 직원 A씨로 확인됐다. A씨는 재직 당시 관리하던 시스템의 ‘서명키’를 탈취한 뒤, 이를 이용해 정상 로그인 없이도 접속이 가능한 ‘전자 출입증’을 위·변조했다.

쿠팡 측은 모의해킹 등을 통해 이러한 인증 체계의 취약점을 사전에 인지하고 있었음에도 근본적인 개선 조치를 취하지 않은 것으로 드러났다. 이로 인해 A씨는 자동화된 공격 도구(웹 크롤링)와 2,300여 개의 IP를 동원해 장기간 정보를 빼낼 수 있었다.

정부 대응… 신고 지연 과태료 및 수사 의뢰

정부는 쿠팡의 사후 대응 과정에서도 심각한 결함이 있었다고 지적했다. 쿠팡은 지난해 11월 17일 사고를 인지했으나, 법정 신고 기한인 24시간을 넘겨 19일에야 신고했다. 이에 과기정통부는 과태료를 부과할 예정이다.

또한 쿠팡은 정부의 자료보전 명령에도 불구하고 로그 저장 정책을 수정하지 않아 약 5개월 분량의 웹 접속 기록을 삭제하는 등 조사를 방해한 혐의로 수사기관에 의뢰된 상태다.

과기정통부 관계자는 “쿠팡에 이달 내로 재발 방지 이행 계획을 제출받고 철저히 점검할 것”이라며 “개인정보 유출에 따른 구체적인 과징금 처분 등은 개인정보보호위원회에서 별도로 확정할 예정”이라고 밝혔다.