방치 인증키 → 해킹 치트키…“구조적 취약점”
퇴사 직원 서명키 악용 '인재'
최민희 “권한 방치 근본 원인”
정부, 민관 합동조사단 구성
국회, 과징금 상향 입법 대응
대형 플랫폼 등 규제 강화 전망
쿠팡에서 3379만 건에 이르는 대규모 개인정보 유출이 '장기 방치된 인증키'에서 비롯된 것으로 드러나면서, IT·테크 기업 전반의 보안 체계가 도마 위에 올랐다.
서명된 액세스 토큰에 사용되는 서명키를 제때 교체하거나 폐기하지 않아 이미 퇴사한 중국 국적 전 직원이 이를 악용했다는 것이 국회와 정부의 잠정 분석이다. 장기간 방치된 인증키와 허술한 내부 통제가 부른 전형적인 '인재(人災)'라는 비판이 커지는 모양새다.
1일 국회 과학기술정보방송통신위원장인 최민희 더불어민주당 의원이 쿠팡으로부터 제출받은 자료에 따르면, 쿠팡은 토큰 서명키 유효기간에 대해 "5~10년으로 설정하는 사례가 많다"며 "키 종류에 따라 로테이션 기간이 매우 다양하다"고 해명했다.
그러나 정작 이번 침해 사고에 쓰인 서명키의 구체적 유효기간에 대해서는 "경찰 수사 중"이라며 답변을 피한 것으로 전해졌다.
최 의원실은 "로그인에 쓰이는 토큰이 '일회용 출입증'이라면 서명키는 그 출입증을 찍어주는 '도장'"이라며 "퇴사자 계정·권한 정리도 하지 않은 채 서명키를 장기간 방치한 게 근본 원인"이라고 지적했다.
실제로 쿠팡 로그인 시스템에서 토큰은 생성 직후 폐기되지만, 토큰 발급에 필요한 서명키는 담당 직원이 퇴사한 뒤에도 삭제·갱신되지 않은 채 남아 있었던 것으로 알려졌다. 이 허점을 이용해 전 직원 A씨가 해외 서버를 통해 계정 프로필에 무단 접근, 이름·이메일·전화번호·배송지 주소 등을 대량으로 빼냈다는 게 당국 설명이다.
KT 펨토셀 해킹 때도 인증키 유효기간이 10년으로 드러난 바 있어, '장기 유효 인증키 방치'가 통신·플랫폼 업계를 관통하는 구조적 취약점이라는 지적도 나온다.
정부도 즉각 대응에 나섰다.
배경훈 부총리 겸 과학기술정보통신부 장관 주재로 관계부처 긴급회의를 연 정부는 민관 합동조사단을 꾸려 침해 경위와 재발 방지 대책 마련에 착수했다. 과기정통부와 개인정보보호위원회는 쿠팡이 최초 신고 당시 밝힌 4500여 계정이 아니라, 총 3379만 개 계정의 개인정보가 유출된 것으로 확인했다고 밝혔다.
결제 수단과 비밀번호는 포함되지 않은 것으로 알려졌지만, 정부는 "쿠팡 서버의 인증 취약점을 악용해 정상 로그인 없이 대량 계정 정보에 접근한 사실을 확인했다"며 정보통신망법상 안전조치 의무 위반 여부를 조사 중이다.
당국은 연락처·주소 유출을 악용한 피싱·스미싱 등 2차 피해 가능성도 우려하고 있다. 정부는 비정상 링크 클릭과 추가 개인정보 요구에 응하지 말 것을 당부하는 한편, 향후 3개월을 '인터넷상 개인정보 노출·불법유통 모니터링 강화 기간'으로 운영하기로 했다. 국가 배후 해킹, 내부 공모 가능성 등도 모두 열어둔 채 수사에 속도를 내고 있다.
국회에서는 제재 수위를 끌어올리는 입법 대응도 병행된다.
국회 정무위원회 소속 김승원(경기 수원시갑) 더불어민주당 의원은 이날 개인정보보호법 일부개정안을 대표 발의해, 개인정보 유출 기업에 부과할 수 있는 과징금 상한을 현행 '매출액 3%·최대 20억 원'에서 '매출액 4%·최대 30억 원'으로 높이도록 했다.
김 의원은 "전 국민의 65% 개인정보가 털린 쿠팡 사태는 기업들의 안일한 보안 의식에 경종을 울리는 사건"이라며 "매출 4%까지 과징금을 매길 수 있어야 기업들이 더는 값싼 비용으로 개인정보를 다루지 못한다"고 강조했다.
또 "과징금 상향뿐 아니라 징벌적 과징금 도입 등 강력한 제재 체계를 준비해 반복되는 개인정보 유출 관행을 근본적으로 끊어내겠다"며 "기업들이 인증키 로테이션, 접근권한 관리, 암호화 등 기본 보안을 허투루 할 경우 '매출 4% 철퇴'를 맞을 수 있는 환경을 만들어야 한다"고 말했다.
쿠팡 사태를 계기로 입법·행정·수사가 동시에 가동되면서, 대형 플랫폼·통신기업을 향한 규제의 강도도 한층 높아질 것이란 전망이 나온다.
/라다솜 기자 radasom@incheonilbo.com
Copyright © 인천일보 All rights reserved - 무단 전재, 복사, 재배포 금지