1일 서울 송파구 쿠팡 본사 모습. 쿠팡은 현재까지 고객 계정 약 3천370만개가 유출된 것을 확인했다. [연합뉴스]



쿠팡의 3400만 고객정보가 무단 유출된 배경으로 ‘내부 통제 실패’가 지적되고 있다. 방치된 접근 권한이 악용되며 3370만명의 정보가 빠져나간 것으로 파악된 것이다. 이와 관련 박대준 쿠팡 대표는 국회를 찾아 사건의 경위를 설명하고 해명에 나설 것으로 보인다.



‘액세스 토큰 인증키’ 방치로 인한 실책
1일 릴게임몰 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키가 직원 퇴사 이후에도 폐기·갱신되지 않고 방치된 것으로 나타났다.

토큰은 로그인에 필요한 일회용 출입증이며, 서명키는 출입증을 찍어주는 도장같은 개념이다. 로그인 시스템에서 골드몽 토큰은 생성 즉시 폐기되는데, 이를 생성하는 서명키를 갱신·삭제하지 않고 그냥 방치한 탓에 대규모 개인정보가 유출됐다는 것이다.
최 위원장은 “서명키 갱신은 가장 기본적인 내부 보안 절차임에도 쿠팡은 이를 지키지 않았다”며 “장기 유효 인증키를 방치한 것은 단순한 내부 직원의 일탈이 아니라 인증체계를 방치한 쿠팡의 조직적·구조적 문제의 결 바다이야기릴게임연타 과”라고 지적했다.
쿠팡은 토큰 서명키 유효 인증 기간에 대해 “5~10년으로 설정하는 사례가 많다는 걸로 알고 있다”면서도 “로테이션 기간이 길며, 키 종류에 따라 매우 다양하다”고 답한 것으로 전해졌다.


“내부 보안 통제 제대로 이뤄지지 않아”

사이다쿨



국내 이커머스(전자상거래) 시장 1위 업체인 쿠팡에서 3000만건이 넘는 대규모 정보 유출 사고가 발생했다. 쿠팡은 현재까지 고객 계정 약 3370만개가 유출된 것을 확인했다. 사진은 1일 서울 시내 한 쿠팡 물류센터 인근에 차량이 주차돼 있다. [연합뉴스]
모바일바다이야기


이처럼 액세스 토큰 인증키가 퇴사 후에도 폐기되지 않는 등 내부 보안 통제가 제대로 이뤄지지 않았다는 지적이 일고 있다.

장기 유효 인증키가 방치되면서 외부 침입이 없더라도 내부 시스템만으로도 대규모 개인정보 유출이 발생할 수 있는 위험이 생겼다는 것이다.
이번 사태는 쿠팡이 내부 보안 절차를 제대로 관리하지 못한 결과로, 향후 전사적인 인증 체계 점검과 보안 강화 조치가 시급하다는 문제의식을 불러일으키고 있다.
업계 관계자는 “이번 유출은 외부 해킹이 아니라, 내부 직원의 계정과 인증키 관리 미비에서 비롯된 것으로 보인다”며 “기업 차원에서 보안 의식을 전 직원에게 철저히 교육하고, 인증 체계 전반을 체계적으로 점검할 필요가 있다”고 말했다.


박대준 대표, 국회서 현안 질의 예정





지난달 30일 정부서울청사에서 쿠팡 관련 긴급 관계부처 장관회의가 열린 가운데 박대준 쿠팡대표가 회의장을 나서며 공개 사과하고 있다. [연합뉴스]



고객 정보 유출과 관련해 박대준 쿠팡 대표는 국회를 방문해 사건 경위를 설명할 예정이다. 과학기술정보방송통신위원회(과방위)는 2일 오전 10시에 쿠팡 개인정보 유출 건을 놓고 현안 질의를 진행한다.

이번 질의에는 박 대표뿐 아니라 배경훈 부총리 겸 과기정통부 장관, 한국인터넷진흥원(KISA) 관계자 등이 참석해 정보 유출의 기술적 문제와 관계 당국의 관리 소홀 여부 등을 집중 점검할 계획이다.
특히 쿠팡이 약 5개월 동안 정보 유출 사실을 인지하지 못한 이유와 반복되는 해킹 사고에도 정부 차원의 통제 기능이 부재했던 점이 핵심 질의 대상이 될 전망이다.
이와 함께 3일 오후에는 정무위원회가 관련 현안 질의를 진행할 예정이며, 산업통상자원중소벤처기업위원회(산자중기위)도 조만간 현안 질의를 실시할 계획이다.
정무위는 개인정보 관리와 재발 방지 대책을 중심으로 박 대표와 송경희 개인정보보호위원회 위원장을 불러 집중 추궁할 방침이다. 기자 admin@seastorygame.top