[단독] "쿠팡 중국인 피의자, 20년 경력…개발자 위 개발자"

쿠팡 대규모 개인정보 유출 사건을 수사 중인 경찰이 쿠팡의 ‘보안 금고’ 격인 키 관리시스템 내역을 확보한 것으로 14일 파악됐다. 경찰은 또한 “개발자 위의 개발자”로 불리는 직급으로 쿠팡과 해외 유수 기업에서 근무한 중국 국적 피의자가 정보를 유출한 의도와 경위를 파악하고 있다. 민관합동조사단 역시 이번 사태와 관련해 쿠팡이 적절한 보안 조치를 취했는지 들여다보고 있다.

서울경찰청 사이버수사과와 IT 업계에 따르면, 경찰은 인증 시스템 개발 업무를 맡은 중국인 피의자 A(43)와 쿠팡 직원이 지난해 4월 11일부터 지난달 8일까지 키 관리시스템 ‘하시코프 볼트(Hashicorp Vault·이하 볼트)’에 접근한 내역과 계정 사용·반출·폐기·관리 이력 등을 압수수색했다. 볼트는 비밀번호·API 키 등 민감한 정보를 안전하게 보관하고, 필요할 때만 빌려 쓰게 하는 일종의 금고(Vault)와 같은 보안 소프트웨어다. 민감한 정보를 중앙·암호화하고 접근 권한이 있는 사람에게만 임시 인증 키를 발급하는 기능을 제공한다.

전문가들은 경찰이 이번 볼트 사용 내역 입수를 통해 사고의 책임 구조와 쿠팡의 보안 관리 실태를 폭넓게 들여다볼 수 있게 됐다고 말한다. 볼트에는 감사 로그(Audit Log)가 남아 보안사고를 추적할 수 있기 때문이다. 이에 따라 지난해 말 A가 퇴사하면서 만료됐어야 할 권한이 계속 살아 있었는지, 권한 회수는 제대로 됐는지 등 쟁점이 수사로 규명될 수 있다.

정보보안 전문 ‘78리서치랩’ 박문범 수석연구원은 “쿠팡의 개인정보보호 규정과 키관리 시스템의 실제 작동 방식이 일치했는지 등을 가릴 핵심 증거를 경찰이 확보한 것”이라고 설명했다. 다만 “사고 후 로그 기록이 삭제·초기화됐거나 보존 기간이 지났다면 수사에 난항을 겪을 수 있다”고 덧붙였다.

경찰·민관합동조사단 조사 결과, 보안의 형식만 있고 실질이 없는 경우 쿠팡에게 불리하게 작용할 수 있다는 분석도 나온다. 보안 시스템을 도입해놓고 보안 정책은 느슨하게 운영하는 경우가 적지 않다는 게 업계 관계자들의 지적이다. 국내 화이트해킹팀 ‘TeamH4C’ 관계자는 “사실 보안과 편의성은 상충하는 관계”라며 “보안이 너무 엄격하면 사용자가 힘들고 생산성도 저하될 수 있기 때문”이라고 설명했다.

━

경찰, 쿠팡 본사 5일째 압수수색

현재 쿠팡의 정보 유출 사태 이후 경찰은 13일까지 닷새째 압수수색을 이어가고 있다. 중앙일보 취재를 종합하면 A는 약 20년 경력의 중견 개발자인 것으로 파악됐다. 중국의 한 대학교 컴퓨터공학과를 졸업한 뒤 나스닥 상장사에서 경력을 쌓고, 이전 직장에서 중간 관리자 직책을 맡았다. 쿠팡에선 스태프 소프트웨어 엔지니어(Staff Software Engineer) 직급으로 근무했다고 한다. 한 IT 업계 관계자는 “스태프 소프트웨어 엔지니어는 단순 개발자를 넘어 특정 시스템이나 기술 영역에서 높은 자율성과 권한, 책임을 갖는 직책”이라고 설명했다.

경찰은 유출 동기 등을 파악하기 위해 A의 인사 및 성적·징계 등 근무평정 자료와 그가 쿠팡 서울 지사에서 근무할 당시 사용한 PC·노트북·USB 등도 압수수색했다. 또한 2022년 11월부터 2025년 1월까지 쿠팡의 내부 조직도와 IT 관련 부서의 직원 명단·직급·직책·담당 업무·국적·전화번호 등도 폭넓게 확보 중이다.

━

김범석 “청문회 출석 불가…글로벌 CEO로 공식 비즈니스 일정”

한편, 김범석 의장을 비롯한 쿠팡의 주요 경영진은 오는 17일 열리는 쿠팡 청문회에 증인으로 출석하지 않기로 했다. 김 의장은 지난 14일 국회에 제출한 불출석 사유서에서 “본인은 현재 해외 거주하고 근무하는 중으로, 전세계 170여 국가에서 영업을 하는 글로벌 기업의 CEO로서 공식적인 비즈니스 일정들이 있는 관계로 부득이하게 청문회에 출석이 불가함을 양해해 주시기 바란다”고 밝혔다. 박대준 쿠팡 전 대표, 강한승 쿠팡 전 대표도 불출석 사유서를 제출했다.

이날 최민희 국회 과학기술정보방송통신위원장은 페이스북에 “하나같이 무책임한 인정할 수 없는 사유들”이라며 “과방위원장으로서 불허하며, 과방위원들과 함께 합당한 책임을 묻도록 하겠다”고 밝혔다.



이영근.김정재([email protected])