[기획] ‘시총 76조’ 쿠팡, 보안관리는 ‘구멍가게’

유통공룡 처참한 민낯 드러나 퇴직자 권한관리 규정 어긴듯 로비 활동으로 논란 막았지만 “강력 제재 피할수 없다” 전망 쿠팡에서 3370만명의 개인정보가 유출된 초대형 사고가 퇴직자 관련 권한 관리 규정을 지키지 않은 데서 비롯됐을 가능성이 커지고 있다. 만약 그렇다면 시가총액이 514억달러(약 76조원)에 달하는 미국 나스닥 상장기업이 내부 보안 수준은 구멍가게나 다름 없었다는 비판을 피할 수 없다. 쿠팡은 그간 각종 로비 활동으로 온갖 논란을 틀어막았지만 이번만은 강력 제재가 불가피하다는 전망이 나온다. 1일 정보보호업계와 국회 과학기술정보방송통신위원장 최민희 더불어민주당 의원에 따르면 인증 관련 업무 담당자에게 발급되는 ‘서명된 액세스 토큰의 유효 인증키(서명키)’가 장기간 방치되면서 개인정보 유출이 일어난 것으로 분석된다. 정보보안 업계에 따르면 쿠팡의 한 중국인 개발자는 해고에 앙심을 품고 자신이 보유하던 주요 키 접근권한을 악용해 고객들의 인증토큰을 생성하고 개인정보를 수집한 것으로 보인다. 그럼에도 회사는 리셋 등 필요한 조치를 취하지 않았고, 이후 5개월에 걸쳐 고객정보를 탈취 당했음에도 내부 모니터링 등으로 알아채지 못했다. 인적 보안과 퇴직·직무변경 관리 등에 대단히 소홀했다는 비판을 피할 수 없다. 최민희 의원실이 전날 쿠팡으로부터 받은 자료에서 회사는 서명키 유효인증기간에 대해 “5~10 년으로 설정하는 사례가 많다는 걸로 알고 있다”면서 “로테이션 기간이 길며 키 종류에 따라 매우 다양하다”고 답했다. 로그인에 필요한 토큰이 일회용 출입증이라면, 서명키는 출입증을 찍어주는 도장 같은 역할을 한다. 쿠팡의 로그인 시스템상 토큰은 생성되고 즉시 폐기되고 있었지만, 토큰 생성에 필요한 서명키가 담당직원 퇴사 시 삭제되거나 갱신되지 않고 방치돼 있었을 가능성이 제기된다. 전날 정부도 이번 공격에 서버 인증 취약점이 악용됐고 악성코드는 아직 발견되지 않았다고 발표했다. 그간 쿠팡은 ‘테크 기업’을 표방하면서도 규제를 회피하고 논란을 막는 데 집중하는 태도를 보였다. 사업의 본질과 관계없는 정치권과 정부, 사법부, 언론 고위직 출신 인사를 대거 영입해 ‘로비 기업’이라는 오명도 받았다. 그러면서도 정작 내부 통제에는 실패한 것이라면 ‘유통 공룡’이 처참한 민낯을 드러낸 셈이 된다. 김승주 고려대 정보보호대학원 교수는 “내부자 관리도 매우 중요하다는 것을 보여준 사례”라며 “외부 사이버공격뿐 아니라 내부 관리 소홀도 큰 사고로 이어질 수 있다.”이라고 짚었다. 팽동현 기자 dhp@dt.co.kr