쿠팡 전 직원, 비번 훔쳐 출입증 만든 뒤 들락날락

3370만 쿠팡 가입자의 이름·이메일·집주소 등 개인정보를 유출한 전 직원은 1년 전 퇴사한 것으로 드러났다. 이 직원이 5개월간 가짜 열쇠를 쥐고 시스템에 접속해 야금야금 정보를 빼내는 동안에도 쿠팡은 이를 전혀 눈치채지 못했다.

2일 열린 국회 과학기술정보방송통신위원회의 쿠팡 정보 유출 사태 긴급 현안질의에서는 지난 6월부터 고객 3370만 명의 개인정보를 유출한 중국 국적의 쿠팡 전 직원이 지난해 12월 이미 퇴사한 것으로 확인됐다. 퇴사 전 훔친 비밀번호(서명키)를 활용해 가짜 출입증(토큰)을 반복 생성하며 쿠팡 시스템에 접속하는 방식으로 고객 정보에 접근했다. 국회에선 “김범석 의장을 체포해야 한다”(김우영 더불어민주당 의원)는 강경한 목소리도 나왔다.

이날 과방위에선 쿠팡의 허술한 퇴사자 관리에 대한 질타가 쏟아졌다. 정보 유출자에 대해 박대준 쿠팡 대표는 “인증 시스템을 개발하는 개발자다. 지난해 12월 퇴사했다”고 말했다. 퇴사자가 쿠팡 시스템에 장기간 접속한 과정에 대해 브랫 매티스 쿠팡 최고정보보안책임자(CISO)는 “쿠팡의 인증 토큰은 개인적인 서명키가 필요하다. 정보 유출자는 회사를 떠나기 전 쿠팡 내부의 서명키를 탈취한 것으로 보인다”며 “이를 활용해 가짜 토큰을 만든 것”이라고 설명했다. 훔친 비밀번호(서명키)를 활용해 현직에 있는 다른 직원인 척 출입증(토큰)을 만들고 시스템에 로그인했다는 의미다.

5개월간 이를 몰랐던 데 대해 매티스 CISO는 “다른 소스에서 다른 IP(네트워크상 기기 고유번호) 주소 여러 개를 사용한 것으로 보인다. 관제 시스템 임계치 밑으로 기록돼 알지 못했다”고 말했다. 출입증을 여러 개 만들어 조금씩 정보를 가져가는 수법을 써서 쿠팡의 감시망을 피했다는 해명이다.

매티스 쿠팡 CISO와 질의를 마친 이준석(개혁신당) 의원은 자신의 페이스북에 “쿠팡의 서명키가 털렸다 한들, (유출자가) 수천만 사용자 계정을 뚫으려면 각 사용자 이메일 주소를 다 알아야 한다. 수천만 규모 개인정보 유출로 이어진 건 쿠팡의 잘못된 유저-인증 시스템 설계 때문”이라고 지적했다. 고객 식별값을 암호화된 난수로 설정하지 않아 가짜 키를 가진 해커가 숫자 1, 2, 3…을 차례로 대입하면 모든 사용자의 이메일 계정에 접근할 수 있었다는 것이다.

김범석 쿠팡Inc. 이사회 의장의 책임론은 더 거세졌다. 김 의장의 직접 사과와 대책 마련을 요구하는 의원들의 질의에 박 대표는 “현재 한국 법인의 대표로서 이 사건에 관해 전체 책임을 지고 있다”며 선을 그었다. 그러면서 “사고 발생 이후 이사회를 통해 관련 내용을 (김 의장에게) 보고했다. 해외에서 글로벌 비즈니스를 담당하고 있어 장소는 모른다”고 덧붙였다. 이에 이상희(국민의힘) 의원은 “사태가 이 정도로 심각한데 소유주 위치도 파악하지 못한다는 게 말이 되느냐”고 질타했다. 김장겸(국민의힘) 의원이 중국 이커머스 타오바오에서 쿠팡 계정이 5000∼4만원에 판매되고 있다며 정보 유출 가능성을 질의했지만, 매티스 CISO는 관련성을 부인했다.

이날 현안 질의에선 쿠팡에 최대 1조원대 과징금이 부과될 가능성이 제기됐다. 개인정보보호법에 따르면 개인정보 도난·유출 시 전체 매출의 최대 3%를 과징금으로 부과할 수 있는데, 지난해 쿠팡 매출(41조2901억원)로 과징금은 최대 1조2300억원에 이른다. 이정렬 개인정보보호위원회 부위원장은 “매출 규모 확정뿐 아니라 위반 행위 중대성을 위원회에서 판단해 종합적으로 결정하겠다”고 말했다. 이날 금융감독원은 쿠팡 개인정보 대규모 유출 사태와 관련해 자회사인 쿠팡페이에 대한 현장조사에 들어간다고 밝혔다. 금감원은 결제 정보 유출 여부를 직접 확인하고 정보 관리 실태도 살핀다는 계획이다.





강기헌.김경미.김선미([email protected])