‘비인가 조회’로 접근... 퇴사한 외국 국적 직원 지목
어느 기업도 안심 못해... “질타보다는 해결에 초점 둬야”

[보안뉴스 강현주 기자] 3370만명의 쿠팡 고객 개인정보가 유출된 사고는 내부자 소행에 무게가 실리고 있다. 이에 따라 인증이나 접근권한 관리쪽 문제였을 가능성이 제기된다.

30일 보안뉴스 취재를 종합하면, 서울경찰청 사이버수사대는 쿠팡 해킹 사고에 대해 중국 국적 내부 직원 소행에 무게를 두고 수사에 착수한 것으로 알려졌다. 쿠팡은 지난 25일 수사대에 고소장을 제출했다. 다만 쿠팡 측은 고소장에 피고소인을 ‘성명불상자’로 기재했다.


▲쿠팡 배송 차량 이미지 [자료: 연합]

앞서 쿠팡은 지난 20일 “고객 개인정보가 비인가 조회됐으며, 쿠팡 시스템과 내부 네트워크망의 외부 침입 흔적은 없는 것으로 확인했다”고 밝힌 바 있다.

이번 사고로 3370만명에 달하는 쿠팡 고객들의 계정이 노출됐다. 유출된 정보는 이름과 전화번호, 주소, 일부 주문정보 등이다. 결제 관련 정보는 포함되지 않았다고 쿠팡 측은 밝혔다. 탈취된 시점은 약 5개월 전으로 쿠팡은 파악했다.

지목된 내부자는 이미 쿠팡을 퇴사하고 국외에 거주 중인 것으로 알려졌다.

쿠팡이 사고 요인으로 밝힌 ‘비인가 조회’는 정식 권한이나 승인 없이 데이터에 접근해 조회함을 뜻한다. 이에 따라 보안 전문가들 사이에서는 이번 사고가 인증 및 접근권한 관리쪽 문제였을 가능성이 제기된다.

보안 분야 전문가는 “비인가 조회로 고객 계정에 접근할 수 있었다면, 인증 관리나 접근권한 관리쪽에서 놓친 부분이 있었을 가능성이 있고, 이번 일을 계기로 제로트러스트 등 철저한 접근관리 강화가 다시금 강조될 것으로 보인다”며 “다만 현재로써 자세한 원인을 속단하기는 어려우며, 수사 진행을 지켜봐야할 것”이라고 했다.

또 다른 전문가는 “쿠팡은 보안 투자 규모가 국내 3위일 정도로 보안에 신경쓰는 굴지의 회사임에도 사고를 당했다”며 “아무리 보안을 철저히해도 사고를 완벽하게 막는다는 것은 쉽지않다는 것을 보여준다”고 말했다.

이어 “어느 기업도 불시의 해킹으로부터 자유롭지 못한다는 점에서, 사고를 당한 기업에 대한 질타보다는 탈취 정보 무력화 등 해결에 초점을 맞추는 대응으로 전환해야 할 것”이라고 강조했다.

쿠팡은 고객들에게 문자 메시지를 통해 개인정보 노출을 안내하며 “비정상 접근 경로를 즉시 차단하였고, 내부 모니터링을 한층 더 강화했다”며 “심려를 끼쳐드린 점 다시 한번 진심으로 사과의 말씀을 드린다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>