쿠팡 정보 유출 규모.[사진=과기정통부]


지난해 발생한 쿠팡 침해사고로 유출된 개인정보가 3000만건이 넘는 것으로 조사됐다.
과학기술정보통신부는 10일?정부서울청사에서 '쿠팡 침해 사고에 관한 민관합동조사 결과'?발표를 통해?쿠팡 웹 및 애플리케이션의 '내정보 수정' 페이지에서 성명, 이메일이 포함된 이용자 정보 3367만3817건이 유출됐다고 밝혔다.
성명, 전화번호, 배송지 주소 등이 포함된 '배송지 목록'은 1억4805만6502회 조회됐고 공동현관 비밀번호 등이 포함된 '배송지 목록 수정' 페이지는 5만 바다이야기하는법 474회 조회됐다. 또 이용자가 최근 주문한 상품 목록이 포함된 '주문 목록' 페이지는 10만2682회 조회된 것으로 확인됐다.
조사단은 사고원인을 정보 유출 경로 분석, 공격자 행위 분석 2가지 측면에서 조사했다. 정보 유출 경로 분석 결과, 공격자는 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 이용자 계정에 비정상 접속 후 릴게임무료 정보를 무단 유출한 걸로 확인됐다.
정상적으로 접속하는 경우?이용자는 로그인 절차를 거쳐 일종의 '전자 출입증'을 발급받는다. 쿠팡의 관문 서버는 발급받은 전자 출입증의 유효 여부를 검증하고 이상이 없을 시에 서비스 접속을 허용한다.??
그러나 공격자는 재직 당시 관리하던 이용자 인증 시스템의 서명키를 탈취한 후 이를 활 바다이야기게임2 용해 전자 출입증을 위·변조해 쿠팡 인증 체계를 통과, 쿠팡 서비스에 무단 접속했다.
조사단은 사고 원인을 쿠팡 서버의 이용자 인증 취약점이라고 분석했다. 쿠팡 관문 서버에 전자 출입증 위·변조 확인 절차가 없었다는 설명이다. 또 전자 출입증 발급에 필요한 '서명키' 업무 담당자가 퇴사할 경우 해당 서명키를 더 이상 사용하지 못하도록 갱신 모바일릴게임 절차가 진행돼야 하나 관련 체계 및 절차가 미비한 것으로 조사됐다.
이에 조사단은 재발 방지를 위해 서명키 발급·사용 이력 관리와 통제 체계를 강화하는 등 운영관리 기준을 명확히 하고 상시 점검을 시행해야 한다고 밝혔다.
또한 조사단은 쿠팡의 정보보호 관리체계가 미흡했다고 판단했다.?공격자가 동일한 서버 사용자 식별번호 바다이야기꽁머니 를 반복적으로 사용하고 위·변조된 전자 출입증을 활용한 비정상 접속 행위가 발생했음에도 해당 공격 행위를 통한 정보 유출을 탐지·차단하지 못했고?접속기록을 일관된 기준 없이 저장·관리해 피해 규모 산정에 어려움이 발생했다는 설명이다.
이에 조사단은 비정상 접속 행위 모니터링을 강화하고 사고원인 분석 및 피해 규모 식별 등 목적에 맞는 로그 저장관리 정책을 수립 및 정비하며 자체 보안규정 준수 여부에 대한 정기 점검 등이 필요하다고 밝혔다.
과기정통부는 쿠팡이 침해사고를 인지한 후 24시간 이내에 과기정통부 또는 한국인터넷진흥원에 신고해야 한다는 정보통신망법 제48조의3을 위반했다고 판단, 정보통신망법 제76조에 따라 최대 3000만원의 과태료를 부과할 예정이다.
이와 함께 지난해 11월 정보통신망법 제48조의4에 따라 침해사고 원인 분석을 위해 자료 보전을 명령했으나 쿠팡이 자사 접속기록의 자동 로그 저장 정책을 조정하지 않아 2024년 7~11월 약 5개월 분량의 웹 접속 기록과 2025년 5월23일~6월2일 간의 앱 접속 기록이 삭제됐다고 밝혔다. 이에 과기정통부는 자료 보전 명령 위반과 관련해 수사기관에 수사를 의뢰했다.
과기정통부는 이번 조사 결과를 바탕으로 쿠팡에 오는 2월까지 재발 방지 대책에 따른 이행 계획을 제출하도록 하고 6~7월 쿠팡의 이행 여부를 점검할 계획이다.
[신아일보] 임종성 기자