[기사 내용을 토대로 생성된 AI 이미지]
민관 합동 조사기구가 쿠팡 보안 침해 사건의 조사 결과를 내놓으면서, 개인정보가 어떤 경로로 빠져나갔는지와 공격 흐름이 대체로 정리됐다.
공격자가 보낸 협박 메일의 내용, 사건 초기 쿠팡의 미흡했던 대응과 신고가 늦어진 정황까지 함께 드러나며 사건 전개도 구체화됐다.
다만 특정 국적 인물로 거론돼 온 가해자의 신상은 공식 발표에서 빠졌고, 실제 유출된 개인정보의 세부 범위 역시 향후 개인정보보호위원회가 결론을 낼 사안으로 남아 ‘반쪽 발표’라는 지적도 나온다.
일부에서는 미국 의회 차원의 쿠팡 관련 움직임이 본격화되기 전 정부가 먼저 결과를 내놓은 것 아니냐는 관측도 제기됐지만, 조사단은 외부 일정과 무관하게 계획된 절차대로 진행됐다는 입장을 밝혔다.
◇ 영어로 협박한 ‘내부 퇴사자’…수법은 드러났지만 신원은 비공개
정부는 이번 유출 주체를 ‘공격자’ 또는 ‘범인’으로 표현하면서도, 공통적으로 ‘내부 퇴직자’라고만 설명했다.
해당 인물은 재직 당시 이용자 인증 시스템을 설계·개발했던 소프트웨어 개발자로, 자신이 다루던 인증 시스템의 서명키를 빼낸 뒤 이를 악용해 전자 출입증을 위조·변조한 것으로 조사됐다.
그 결과 정상 로그인 절차를 밟지 않아도 퇴사 이후 쿠팡 내부 시스템과 서비스에 비정상적인 방식으로 접근할 수 있었던 것으로 파악됐다.
조사단은 이 퇴사자가 장애나 백업 등 운영 관점에서 인증 시스템 구조를 자세히 알고 있었고, 인증 및 키 관리 체계의 허점을 인지한 상태에서 정보를 빼돌린 것으로 보고 있다.
협박 메일은 지난해 11월 16일과 25일, 두 차례 발송된 것으로 확인됐는데 메일은 한국어가 아닌 영어로 작성됐다. 유출한 정보 일부를 메일 본문에 직접 적어 보내는 방식도 사용된 것으로 알려졌다.
이런 정황은 가해자가 외국인이거나, 일각에서 제기돼 온 ‘중국 국적의 전직 직원’ 가능성을 뒷받침하는 단서로 해석될 여지도 있다. 그러나 조사단은 보도자료에 국적이나 구체 신원을 적시하지 않았고, 질의응답 과정에서도 관련 질문에 대해 “경찰 수사 영역”이라며 선을 그었다.
결국 ‘퇴사자 소행’이라는 틀만 제시된 채, 국적과 신분을 포함한 개인 신상은 공식 확인되지 않은 상태로 발표가 이뤄졌다. 외교적 파장을 고려한 것 아니냐는 해석이 나오는 가운데, 향후 증거물 분석을 진행 중인 경찰이 가해자 정보를 어느 수준까지 공개할지 관심이 쏠린다.
◇ 유출 규모 확정·위법성 판단은 개보위…범인 특정은 경찰 수사로
조사단은 세부 유출 범위의 확정과 개인정보보호법 위반 여부 판단은 개인정보보호위원회가 맡게 된다고 설명했다. 동시에, 실제 범인을 특정하고 처벌로 이어갈 수사 역시 경찰 책임이라고 밝혔다.
조사단이 공개한 현재까지의 확인 내용에 따르면, 성명과 이메일 정보는 3천367만여 건 규모가 언급됐고 배송지 목록 페이지가 1억4천만여 차례 조회된 정황도 제시됐다. 다만 ‘어떤 항목이 어느 범위까지 유출됐는지’ 등 세부 내용은 확정 발표가 이뤄지지 않았다.
또 쿠팡 개인정보 유출과 연계된 2차 피해 사례는 아직 확인되지 않았다고 덧붙였다.
조사단은 이번 사건을 “인증체계 관리 부실에서 비롯된 문제”로 규정하며, 고도화된 외부 공격이라기보다는 내부 관리 취약점이 핵심이었다는 취지의 판단도 내놨다. 발표의 초점이 원인 규명과 재발 방지 대책 마련에 맞춰져 있다는 해석이 나오는 대목이다.
아울러 관련 법 조항에 따라 사고 원인을 분석하고 유사 사고 방지를 위한 대책을 마련했다고 설명했지만, 개인정보보호법 위반 여부를 단정적으로 밝히지는 않았다. 개보위가 유출 규모와 함께 위법성 여부를 추가 조사 중이라는 이유다.
이 때문에 조사 결과 발표가 대중의 의문을 완전히 해소하지 못했다는 평가도 나온다. 업계 일부에서는 발표 시점 자체가 다가오는 미국 의회의 쿠팡 관련 검토 움직임과 무관하지 않을 수 있다는 해석을 조심스럽게 내놓는다.
실제 미국 하원 법사위원회는 최근 쿠팡 사태와 관련해 한국 정부의 ‘차별’을 주장하며, 쿠팡 임시 대표에게 보낸 소환장을 공개한 바 있다. 이를 두고 정부가 조사 주도권을 유지하고, 조사 과정의 객관성과 신뢰성을 대내외에 강조하려는 의도가 담긴 것 아니냐는 관측도 제기된다.
다만 조사단은 “일정은 외부 변수와 무관하다”는 점을 거듭 강조했고, 조사 과정에서 특정 기업을 차별한 사실이 없으며 결과는 원칙대로 투명하게 공개해 왔다고 밝혔다. 이를 두고 가해자 국적 문제와 쿠팡의 지배구조 등 복합적인 대외 변수를 함께 고려해 발표 수위를 조정한 것 아니냐는 해석도 뒤따르고 있다.
댓글
0