쿠팡 고객 정보 유출 사태, 왜 이런 일이 가능했을까? 퇴사자 보안 키 삭제와 변경 작업 방치, 경보도 무용지물

쿠팡에서 3천 300만 명이 넘는 고객 개인정보가 대규모로 유출된 사건이 발생했습니다. 이번 사건의 핵심 인물은 쿠팡의 서버 인증 업무를 담당했던 한 외국인 직원으로 확인되었습니다. 문제는 정보 유출이 이 직원의 퇴사 이후에 이루어졌다는 점입니다.

퇴사자는 서버에 접근할 때 필요한 서명키, 일종의 비밀 인증 코드를 알고 있었고, 이 키를 이용해 해외에서 고객 정보를 빼낸 것으로 알려졌습니다. 정상적인 보안 시스템이라면 퇴사자의 접근 권한은 즉시 차단되고, 해당 서명키 역시 변경 또는 삭제되어야 하지만, 쿠팡 내부에서는 이러한 조치가 이루어지지 않았던 것으로 드러났습니다.

내부 감시 체계는 왜 작동하지 않았나

출처:김범석 쿠팡아이엔씨 이사회 의장. 쿠팡 제공.11월30일 오후 경기도 의왕시 쿠팡 물류센터에 주차돼 있는 쿠팡 배송차량들 모습. 김시범기자

 

더 큰 문제는 유출 정황이 수개월 동안 감지되지 않았다는 점입니다.

보도된 내용에 따르면 정보 유출은 이미 지난 6월부터 시작되었지만, 쿠팡 측은 약 5개월이 지난 뒤에야 해커로부터 협박 메일을 받고서야 관련 사실을 인지했습니다.

쿠팡은 최근 4년간 정보 보호 분야에 2,700억 원 이상을 투자한 것으로 알려져 있습니다. 하지만 정작 정보 유출에 대한 자동 경보 시스템은 작동하지 않아, 장기간 외부 접속과 대량 데이터 접근을 감지하지 못했다는 사실은 내부 탐지 시스템의 실효성에 의문을 낳고 있습니다.

퇴사자 계정을 통한 해외 접속 어떻게 가능했나

이번 사건의 핵심은 서버 인증 및 보안 키 관리 부실입니다.
보도에 따르면, 정보 유출의 주요 인물로 지목된 직원은 쿠팡에서 서버 인증 업무를 담당했던 것으로 알려졌습니다. 서버에 접속하기 위해서는 서명 키(Signing Key)라는 형태의 비밀 인증 정보가 필요한데, 이 직원이 퇴사한 이후에도 기존 서명 키가 유지된 상태였던 것으로 전해졌습니다.

즉, 퇴사자 계정에 대한 보안 키 삭제 또는 변경 작업이 제대로 이루어지지 않은 채 방치되었고, 이 허점을 이용해 해외에서 고객 정보에 접근할 가능성이 제기된 것입니다.
보안 관리 체계상 퇴사자 권한을 즉시 철회하는 것은 기본 절차이기 때문에 이번 경우는 관리적 보안의 허점이 크게 드러난 사례라 할 수 있습니다.

역대 최대 규모의 개인정보 유출, 과징금 최대 1조 원대 가능성

현재 유출된 개인정보 규모는 3,300만 명 이상으로, 국내에서 발생한 사건 중 사상 최대 수준으로 평가됩니다. 개인정보보호법에 따르면, 기업은 매출액의 최대 3%까지 과징금을 부과받을 수 있습니다. 쿠팡의 연 매출이 약 40조 원에 달한다는 점을 감안하면 과징금은 최대 1조 원 수준까지 가능한 셈입니다. 이는 국내 유사 사건 중 가장 큰 처벌이 될 수 있습니다. 

과거 SK텔레콤에서 2,300만 명의 개인정보가 유출되었을 때 부과된 과징금은 1,348억 원이었습니다. 이번 쿠팡 사태는 그보다 훨씬 많은 규모라는 점에서  국내 유사 사건 중 가장 큰 처벌이 될 수 있습니다. 

이번 사태를 계기로 기업의 보안 관리 체계와 퇴사자 접근권한 관리에 대한 사회적 논의와 제도적 보완이 필요하다는 목소리가 높아지고 있습니다.

이번 사건이 남긴 보안 관리의 중요성

• 퇴사자 권한 즉시 삭제
• 인증 키 갱신 절차 의무화
• 장기적 비정상 접속 탐지 시스템 강화
• 개인정보 접근 로그에 대한 실시간 분석

마무리

쿠팡 고객 정보 유출 사건은 국내 최대 규모의 개인정보 침해 사례 중 하나로 기록될 가능성이 큽니다. 퇴사자 보안 관리 미흡, 감시 체계의 장기간 미작동 등 기본적인 보안 원칙이 지켜지지 않았다는 지적이 이어지고 있습니다. 앞으로의 조사 결과와 법적 조치가 어떻게 이어질지 많은 관심이 집중되고 있습니다.