쿠팡 퇴사 직원은 어떻게 고객 정보를 빼 갔나…“접근권한 관리 부실 때문”

페이지 정보

작성자 이민종 작성일25-12-03 20:24 조회3회 댓글0건

본문

고객 3370만명의 이름·전화번호·주소 등을 유출당한 쿠팡이 데이터 접근 권한을 부실하게 관리했다는 지적이 나왔다. 이번 정보 유출은 인증 업무를 담당했던 직원의 소행으로 알려졌는데, 퇴사 이후에도 접근 권한이 유지돼 대규모 정보 수집이 가능했던 것으로 추정된다.
1일 국회 과학기술정보방송통신위원장인 더불어민주당 최민희 의원이 쿠팡으로부터 받은 자료에 따르면, 쿠팡은 인증 업무 담당자에게 발급되는 토큰의 인증키 유효기간에 대해 “5~10년으로 설정하는 사례가 많다는 걸로 알고 있다”면서 “로테이션(주기적 교체) 기간이 길며, 키 종류에 따라 매우 다양하다”고 밝혔다.
‘토큰’은 전자 출입증과 같아서, 토큰이 있으면 아이디·비밀번호 입력 등 정상적 로그인 절차를 거치지 않고도 내부 시스템 접근이 가능하다. 이 토큰을 신뢰할 수 있는지 여부는 ‘인증키’가 검증하는데, 인증키를 제때 교체하지 않아 퇴사자의 토큰도 ‘정상’으로 간주됐을 가능성이 있다.
인증키 방치 의혹은 정부가 내놓은 설명과도 맥을 같이한다. 과학기술정보통신부는 전날 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 3000만개 이상의 고객 계정 정보를 유출한 것으로 확인했다”고 밝힌 바 있다. 퇴사자는 토큰을 통해 정상적 로그인을 건너뛰었을 가능성이 있고, 인증키를 잘 교체하지 않아 이 같은 진입이 어렵지 않다는 것을 미리 알고 악용했을 수 있다.
쿠팡은 이날 “인증키가 5~10년간 방치되었다는 것은 사실이 아니다”라고 반박했으나, 정부가 ‘서버 인증 취약점’을 공식 언급한 만큼 퇴사 직원에 대한 접근 통제 부실이 유출로 이어졌다는 지적을 피하기는 어려워 보인다.
‘인증 부실’은 KT의 무단 소액결제에서도 드러난 국내 보안 시스템의 고질적 문제다. KT는 모든 초소형 기지국(펨토셀)에 동일한 인증서를 사용하면서 유효기간을 10년으로 설정하는 등 인증 관리를 허술하게 했다. 이 때문에 불법 펨토셀의 KT 통신망 접속이 가능했고, 무단 소액결제 사태가 이어졌다.
최민희 위원장은 “(쿠팡 정보유출 사태는) 내부 직원의 단순한 일탈이 아니라, 쿠팡이 인증체계를 방치한 결과”라며 “KT 펨토셀 사태에서 드러난 인증키 방치 문제가 쿠팡에서 재현된 것은 우리 기업들의 낮은 보안 의식을 보여준다. IT기업들은 인증키 로테이션을 포함해 전반적인 보안체계를 긴급히 재정비해야 한다”고 말했다.

댓글목록

등록된 댓글이 없습니다.

댓글쓰기

이름 필수
비밀번호 필수
비밀글사용
자동등록방지	자동등록방지 자동등록방지 숫자를 순서대로 입력하세요.
내용


		회사소개 회사소개 회사개요 특허/인증 현황 장비 보유 현황 생산 현황 공사실적 현황 제품소개 원형 FAN 롱 FAN 행거 FAN 슬림 FAN 직구동 슬림 FAN 덕트인라인 FAN SIROCCO FAN AIR FOIL FAN 내열성 FAN 내열성 유인 FAN 홍보센터 공지사항 카달로그 고객지원 견적요청 찾아오시는길

페이지 정보

관련링크

본문

댓글목록