중복 뺀 3367만건 ‘최소치’…선물한 지인 정보까지 털렸다

정부 조사결과 발표…피해 규모 예측불가
개인정보 포함 배송지 목록 1.4억건 조회
한 페이지 최대 20개 정보 기입할 수 있어
직원 퇴사 이후 서명키 갱신 안해 화 키워
최종 유출 규모는 개인정보보호위서 확정

서울 송파구 쿠팡 본사 인근 신호등에 빨간불이 켜져 있다. [헤럴드DB]

쿠팡의 개인정보 유출 피해 규모가 ‘예측불가’ 수준으로 번질 수 있다는 우려가 커졌다.

정부 조사 결과 확인된 쿠팡의 개인정보 유출 규모는 성명과 이메일 기준 3367만 건에 달하지만, 1억4000여건에 달하는 배송지 조회 기록 등을 아우를 경우 실제 피해자는 이를 훨씬 상회할 것으로 보인다.

특히 선물 배송 등을 이유로 이용자가 등록한 지인의 배송지 정보까지 유출 범위에 포함되며 최종 피해 규모는 눈덩이처럼 불어날 전망이다.

▶선물 보낸 ‘지인’ 정보까지 털렸다…3367만건 유출은 ‘최소치’=11일 과학기술정보통신부에 따르면 쿠팡 전 직원에 의한 정보통신망 침해사고 조사 결과 ‘내 정보 수정 페이지’를 통해 빠져나간 성명과 이메일은 총 3367만3817건이다. 중복을 제외한 수치로 사실상 쿠팡 가입자 3367만3817명의 정보가 유출됐다고 해도 과언이 아니다.

과기정통부는 이번 조사에서 공격자가 1억4800만여 회에 걸쳐 ‘배송지 목록 페이지’를 조회한 사실도 확인했다. 해당 페이지에는 가입자 본인뿐 아니라 가족, 지인 등 제3자의 성명과 전화번호, 주소가 포함돼 있다. 또한 페이지에 최대 20개의 배송 정보를 기입할 수 있다. 한 페이지 당 최대 피해 인원이 20명일 수도 있으며, 피해 대상이 회원 뿐 아니라 비회원까지 광범위하게 뻗어있음을 시사한다.

최우혁 과학기술정보통신부 정보보호네트워크정책실장은 “‘조회’ 행위 자체가 이미 쿠팡의 통제권을 벗어난 ‘유출’에 해당한다”며 “(해당 페이지에)들어간 순간 고객 정보가 시스템에 전송 되기 때문”이라고 말했다.

이동근 한국인터넷진흥원(KISA) 본부장은 “공격자가 처음에는 내 정보 수정 페이지 등을 통해 이름과 이메일 등을 수집하다가 이후 배송지 목록 페이지에 직접 접속해 개인정보를 무작위로 조회했다”면서 “1억4800여 건에는 3367만 명의 회원 외에도 내 정보 수정 페이지가 유출되지 않은 회원, 쿠팡에 가입하지 않은 사용자까지 포함돼 있다”고 설명했다.

여기에 공동현관 비밀번호까지 포함된 배송지 목록 수정 페이지 조회 5만여 건, 최근 주문한 상품목록이 담긴 주문 목록 페이지 조회 10만여 건 등도 확인됐다. 중복 접속 및 피해자를 제외하더라도 최소 3367만명 이상의 개인정보가 유출됐을 가능성이 높다.

특히 공동현관 비밀번호의 경우 쿠팡 측이 그간 유출 가능성을 부인해온 부분이다. 쿠팡은 개인정보보호위원회의 권고에 따라 최근 정보가 유출된 고객들에게 “결제 및 로그인 정보, 공동현관 비밀번호, 이메일, 주문목록은 유출되지 않았음을 확인했다”고 안내했지만, 이번 정부 조사 결과와 정면으로 배치되면서 피해 규모를 축소하려 했다는 지적을 피하기 어렵게 됐다.

▶재직 당시 저장한 서명키로 쿠팡 ‘안방’처럼 드나들었다=조사 결과 쿠팡의 전직 개발자인 공격자는 재직 당시 탈취한 ‘서명키’를 활용해 전자 출입증(인증 토큰)을 위조하는 방식으로 내부망에 무단 접속한 것으로 파악됐다.

본격적인 정보 탈취 과정에는 자동 데이터 수집 방식인 ‘웹크롤링’을 동원했다. 또 이 과정에서 수사망을 피하기 위해 총 2313개의 아이피(IP)를 변칙적으로 사용했다. 탈취된 정보의 해외 유출 여부는 명확히 확인되지 않았다. 범인이 정보를 해외 클라우드 서버로 전송하도록 시스템을 설정한 사실은 확인됐으나, 실제 전송 여부를 증명할 로그 기록이 남아있지 않기 때문이다.

공격자가 이처럼 손쉽게 쿠팡을 ‘안방’처럼 드나들 수 있었던 배경에는 쿠팡의 허술한 보안 체계와 안일한 보안 인식이 있었다. 쿠팡은 서명키를 보안 시스템이 아닌 개발자 노트북에 저장해뒀고 해당 직원이 퇴사한 후에도 이를 갱신하지 않고 방치하는 등 관리 부실이 심각했던 것으로 드러났다.

또 개인정보 유출을 사전에 잡아낼 수 있는 시스템도 없었다. 여러 차례의 모의 해킹도 진행했지만 토큰 기반 인증 체계의 취약점을 찾고도 정작 해결책을 마련하지도 않은 채 기존 체계를 방치해 사고를 키웠다.

최우혁 정책실장은 “이번 정보유출 사태는 분명 관리의 문제”라며 “지능화된 문제로 보기는 어렵다”고 지적했다.

한편 개인정보의 세부적인 최종 유출 규모는 이번 기술 조사 결과를 바탕으로 개인정보보호위원회에서 확정된다. 박혜림 기자