3370만 건 털린 ‘쿠팡’… 인증키 방치가 부른 ‘최악의 유출’?

[유형길 기자 @이코노미톡뉴스] 11월30일, 쿠팡에서 3370만 건의 개인정보가 무단 노출된 사실이 드러나면서 사태가 하루 만에 전국적 파장으로 번졌다. 12월1일에는 집단소송 참여가 폭증했고, 뒤늦게 쿠팡의 인증키·서명키가 장기간 방치돼 있었다는 보안 관리 부실 의혹까지 제기됐다. 정부와 국회는 이번 사고를 심각한 관리 실패로 판단하고 조사에 착수한 상황이다.

11월30일 배경훈 과학기술정보통신부 장관은 “공격자가 인증 취약점을 악용해 정상적 로그인 없이 고객명, 이메일, 발송지 전화번호 및 주소 등 정보가 조회된 것으로 파악했다”라며 “정확한 경위는 조사 중”이라고 밝혔다.

쿠팡 향해 소송 움직임 확산

1일 관련 업계에 따르면 개인정보 유출 사실이 공개된 지 하루 만에 온라인 커뮤니티에 ‘쿠팡 소송’이라는 카페가 개설됐다. 이날 오전 9시 기준 가입자는 이미 1만 명을 돌파했다.

카페 내부에서는 집단소송 참여 의향 조사가 진행 중이며, 참여 의사를 밝힌 인원은 개설 이틀도 지나지 않아 6000명을 넘어섰다. 업계에서는 이번 사태가 국내 개인정보 유출 사건 중 최대 규모의 집단소송으로 기록될 수 있다.

“내부 악용 가능성도”

1일 최민희 국회 과학기술정보방송통신위원장이 쿠팡으로부터 제출받은 자료에 따르면 쿠팡은 해킹에 악용된 인증키의 구체적 유효기간에 대해 경찰 수사 중이라며 말을 아끼면서도, 토큰 서명키 유효인증기간에 대해 “5~10년으로 설정하는 사례가 많다는 걸로 알고 있다”라며 “로테이션 기간이 길며 키 종류에 따라 매우 다양하다”라고 말했다.

이어 “출입증이 있어도 출입을 허가하는 인증 도장이 없다면 출입할 수 없다. 하지만 서명키를 오래 방치해서 누가 계속해서 도장인 서명키를 몰래 찍어서 쓴 것과 다름없다”라고 제기했다.

최 위원장은 “서명키 갱신은 가장 기본적인 내부 보안 절차임에도 쿠팡은 이를 지키지 않았다”라며 “장기 유효 인증키를 방치한 것은 단순한 내부 직원의 일탈이 아니라 인증체계를 방치한 쿠팡의 조직적·구조적 문제의 결과”라고 질책했다.

반복되는 사고에 입법 논의

박상혁 더불어민주당 의원은 지난 8월28일 ‘해킹피해방지3법’(전기통신사업법, 정보통신망법 2건 일부개정법률안)을 발의했다. 법안에는 해킹 피해 사실 고객 통지 의무화, 사고 관련 자료 제출 의무, 이용자 피해 예방 조치 강화 등이 담겼다.

박 의원은 “올해 통신사를 비롯한 여러 기업들의 해킹 사고에서 조사와 수습이 미흡해 국민들이 큰 불안에 떨었다”며 “사업자의 해킹 사고 수습과 피해 보상 의무를 강화해 국민을 보호하겠다”고 강조했다.