▲ 사진=쿠팡 제공

쿠팡에서 발생한 대규모 개인정보 유출 사고가 전 직원이 관리하던 인증 체계가 악용되면서 발생한 것으로 정부 조사 결과 확인됐다. 정부는 이번 사건을 국내 전자상거래 플랫폼 가운데 최대 규모의 정보통신망 침해사고로 판단하고, 재발 방지 대책 이행 여부를 집중 점검할 방침이다.

과학기술정보통신부는 10일 민관합동조사단 조사 결과를 발표하고 공격자가 쿠팡 이용자 인증 과정의 취약점을 악용해 정상적인 로그인 절차를 거치지 않고 계정 정보에 접근, 대규모 이용자 정보를 외부로 유출했다고 밝혔다.

사고는 지난해 11월 쿠팡이 개인정보 유출 의심 신고 이메일을 접수하면서 수면 위로 드러났다. 쿠팡은 초기 조사 당시 약 4,500개 계정 정보 유출 가능성을 신고했으나, 이후 한국인터넷진흥원(KISA)의 추가 분석을 통해 실제로는 약 3,367만 개 계정과 관련된 정보가 유출된 것으로 확인됐다.

조사 결과 공격자는 재직 당시 관리하던 인증 시스템의 서명키를 확보한 뒤 이를 이용해 로그인 인증에 활용되는 전자 토큰을 위·변조해 인증 절차를 통과한 것으로 나타났다. 이후 자동화된 웹 크롤링 도구를 활용해 이용자 정보를 대량 조회했고, 이 과정에서 2,000개가 넘는 IP 주소가 동원된 것으로 조사됐다.

유출된 정보에는 이름, 이메일 주소, 전화번호, 배송지 주소, 주문 내역 등이 포함됐으며 일부 배송지 정보에는 공동현관 출입 비밀번호 일부와 가족 또는 지인 정보도 함께 저장돼 있어 실제 피해 범위는 더 확대될 가능성도 제기된다. 최종 유출 규모는 개인정보보호위원회 조사 결과에 따라 확정될 예정이다.

조사단은 사고의 주요 원인으로 인증 토큰 위변조 검증 절차 미비, 서명키 관리 부실, 개발 및 운영 환경 분리 부족, 비정상 접속 탐지 실패 등 전반적인 보안 관리 체계 문제를 지적했다. 일부 개발자가 개인 노트북에 인증 키를 저장하는 등 내부 보안 규정을 위반한 사례도 확인됐다.

또 쿠팡이 침해사고를 인지한 이후 법정 신고 기한을 넘겨 관계 기관에 신고했고, 정부의 자료 보전 명령 이후에도 일부 접속 기록이 삭제된 사실이 드러나 수사기관에 수사가 의뢰된 상태다.

과기정통부는 쿠팡 측에 재발 방지 대책 제출을 요구하고 향후 이행 여부를 점검해 미비 사항이 확인될 경우 시정 조치를 명령할 계획이다. 경찰과 개인정보보호위원회 역시 관련 조사와 수사를 이어가고 있다.