최우혁 과학기술정보통신부 정보보호네트워크정책실장이 10일 서울 종로구 정부서울청사에서 쿠팡 침해사고 민관합동조사단 조사결과를 브리핑하고 있다. (사진 : 연합뉴스)



쿠팡 대규모 정보유출 사태를 조사해온 민관합동조사단이 어제(10일) 조사 결과를 내놨습니다. 총25TB(테라바이트) 분량의 접속 흔적을 분석한 결과, 용의자가 1억번 넘게 회원들 배송지 목록을 뒤지고 다녔다는 내용 등 자세한 내막이 공개됐습니다.

그 중엔 쿠팡의 심각한 보안 불감증을 드러내는 내용도 여럿 포함됐습니다.
골드몽사이트
쿠팡 용의자 팀원들, 사건 터진 뒤에도 '서명 키' PC 보관


조사단에 따르면 쿠팡 사태가 벌어진 뒤에도, 일부 쿠팡 개발자들이 위험한 방식의 서명 키 보관 행태를 유지한 것으로 조사됐습니다. 지난해 11월 사건 발생 이후 조사단은 이번에 문제가 된 인증 시스템 릴게임 개발에 참여했던 팀원의 노트북을 포렌식 했는데, 똑같은 위험에 여전히 노출된 정황을 확인한 겁니다.

쿠팡 자체 규정에 따르면 안전한 보관을 위해 서명 키를 '키 관리시스템'에서만 보관하고 개발자 PC에 저장하지 않아야 합니다. 그런데 사건이 터진 뒤에도 개발자가 외부 반출이 가능한 노트북에 서명 키를 저장해온 것으로 게임몰 드러난 겁니다.
조사단 관계자는 "퇴사한 용의자도 같은 형태의 업무를 했기 때문에 같은 방식으로 키를 저장했을 것으로 본다"며 "유출 등 오남용 위험이 상당한 방식"이라고 설명했습니다.
이번 사태의 핵심은 개발자가 내부 인증 시스템 '인증 도장'에 해당하는 '서명 키'를 외부로 탈취해 퇴사 후 1년 가까이 마스터키처 릴게임사이트추천 럼 활용했다는 점입니다. 쿠팡은 누가, 언제, 무엇을 위해 서명 키를 사용했는지 기록하는 관리 시스템을 제대로 갖추지 않아, 공격자가 복사하거나 빼내도 이를 파악하거나 사용 중지시킬 수가 없었던 것으로 드러났습니다. 퇴사자 PC에 남아있던 키가 통제를 벗어난 침입 도구로 손쉽게 돌변할 수 있는 환경이었던 겁니다.

"쿠 사이다쿨바다이야기게임 팡, 모의해킹으로 취약점 발견하고도 땜질 처방"


조사단은 쿠팡이 과거 모의해킹을 통해 '이용자 인증 체계'의 취약점을 발견하고도 제대로 보완하지 않았다고 밝혔습니다. 이번 유출 사태의 핵심이 '인증 시스템'의 취약점이었는데 이를 제대로 보완할 기회를 놓쳤단 겁니다.




쿠팡이 국회 과방위원회에 제출한 모의해킹 결과 보고서 (출처 : 오기형 더불어민주당 의원실)



조사단에 따르면 쿠팡이 과거 모의해킹 과정에서 인지한 건 '토큰 리유즈(Token Reuse·토큰 재사용)' 문제였습니다. 사용자가 로그인하면 서버는 암호화된 서명이 포함된 '인증 토큰'을 주는데, 추가 인증이 필요 없이 서비스 이용하게 하는 일종의 전자 출입증이 됩니다. 이 때 발급된 토큰이 여러 디바이스(휴대폰·PC 등)에서 추가 인증이나 알림 없이 동시에 사용할 수 있게 설계되면, 토큰 탈취 시 '정상 로그인'인지 검증하는 절차가 취약해지는데 이런 문제를 쿠팡 내부에서도 인지했던 거로 보입니다.

쿠팡은 이에 대한 보완책을 마련했지만 땜질 처방이었단 게 조사단 시각입니다. 조사단 관계자는 "토큰과 관련한 게이트웨이(인증 관문) 전반으로 점검 대상을 넓혔어야 했다"고 지적했습니다. "공격자 경로 상에 있는 문제점들을 종합적으로 진단하고 제거해야 했는데 딱 모의해킹에서 드러난 한 부분에 대해서만 관리하다 보니 토큰 검증 체계 검토가 이뤄지지 못했고 이번 사고로 연결됐다고 본다"고 짚었습니다.



쿠팡Inc 김범석 의장



어제 조사단의 결과 발표 후 쿠팡Inc는 곧장 반발 입장문을 냈습니다. 아직 개인정보위가 산정을 끝내지 못한 '공동현관 비밀번호 유출' 인원수를 콕 집어 반박했습니다. 외부업체를 통해 쿠팡이 자체 조사한 결과를 언급하며 "발표에서 누락됐다"고 주장한 겁니다. 또 "아직까지 유출 데이터 사용으로 인한 2차 피해는 없다"며 "대한민국 국민도 아셔야 할 내용"이라고 억울함을 호소하기도 했습니다.

배송지 목록(이름·번호·주소·비식별 공동현관 비밀번호) 1억4800만여 회 조회, 내 정보 수정 페이지(이름·성명) 3367만여 건 유출, 주문 목록 페이지(주문상품) 10만여 회 조회, 배송지 목록 수정 페이지(이름·번호·주소·공동현관 비밀번호) 5만여 회 조회 등 용의자가 제집 드나들듯 고객 계정 정보를 뒤지고 다닌 사실에 대한 반성이나 사과는 한 줄 뿐이었습니다.
조사단은 '쿠팡 사태'를 고도화된 외부 해킹이 아닌 기초적 내부 통제 실패가 부른 사고로 평가했습니다. 취약점을 아는 내부자가 앙심을 품고 공격하면 붕괴될 수 있었던 부실한 보안 시스템이 불러온 인재였단 겁니다. 전문가들은 쿠팡이 사사건건 규제 당국과 각을 세우기보단, 41조 원대 매출 이커머스 업체 위상에 걸맞은 보안 시스템 점검에 심혈을 기울이고 신뢰를 쌓아가야 할 때라고 지적합니다.