과학기술정보통신부는 쿠팡 침해사고에 대한 민관합동조사단 조사 결과를 발표하고, 이번 사고가 국내 최대 전자상거래 플랫폼에서 발생한 중대한 침해사고라고 밝혔다. 조사단은 인증 체계 취약점 악용과 키 관리 미흡 등을 사고 원인으로 제시했으며, 신고 지연과 자료 보전 명령 위반 등 법 위반 사항에 대해 과태료 부과와 수사 의뢰 방침을 밝혔다.
과학기술정보통신부(이하 과기정통부)는 쿠팡 침해사고에 대한 민관합동조사단(이하 조사단)의 조사 결과를 이월 열흘 발표했다고 밝혔다. 조사단은 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 따라 침해사고 원인을 분석하고 재발 방지 대책을 마련했다.
과기정통부는 개인정보보호위원회가 개인정보보호법에 따른 유출 규모와 법 위반 여부를 조사 중이며, 경찰청은 관련 증거물 분석 등 수사를 진행하고 있다고 설명했다. 다른 관계 부처도 소관 쟁점에 대한 검토를 이어가고 있다고 덧붙였다.
이용자 신고로 사고 인지…초기 신고보다 유출 규모 확대
조사단에 따르면, 쿠팡은 지난해 십일월 십육일 이용자로부터 개인정보 유출 의심 이메일을 받았다는 고객의 소리(VOC)를 접수했다. 이후 쿠팡은 자체 조사를 거쳐 십일월 십칠일 침해사고 발생을 인지했고, 십일월 십구일 고객명, 이메일, 주소 등 정보가 유출된 계정이 사천오백삼십육개라는 내용으로 한국인터넷진흥원에 침해사고를 신고했다.
그러나 한국인터넷진흥원이 현장 조사로 추가 피해 여부를 확인한 결과, 유출 규모는 최초 신고된 사천오백여 개 계정이 아니라 삼천만 개 이상의 계정으로 확인됐다고 과기정통부는 밝혔다. 과기정통부는 이를 대규모 정보 유출이 동반된 중대한 침해사고로 판단하고, 지난해 십일월 삼십일 민관합동조사단을 구성해 피해 현황과 사고 원인 등을 조사했다고 설명했다.
웹·앱 로그 분석과 포렌식 병행…관리체계 점검도 포함
조사단은 공격자가 악용한 쿠팡의 이용자 인증 체계를 정밀 분석하고 공격 범위와 유출 규모를 파악하기 위해 웹 및 애플리케이션 접속기록(로그) 등 자료를 종합적으로 분석했다. 또한 쿠팡으로부터 제출받은 공격자 개인용 컴퓨터 저장장치(HDD, SSD)와 현재 재직 중인 쿠팡 개발자 노트북에 대한 디지털 증거 분석도 병행했다.
이와 함께 정보통신망법상 정보보호 조치 지침, ISMS-P 기준, 쿠팡 내부 규정 준수 여부를 포함해 전사적 정보보호 관리체계도 점검했다고 밝혔다.
내정보·배송지·주문 목록서 유출 확인…이메일로 일부 전송
조사단은 공격자가 쿠팡에 “정보를 유출했다”는 이메일을 지난해 십일월 십육일과 십일월 이십오일 두 차례 보냈고, 유출 정보 일부를 이메일 본문에 적었다고 밝혔다. 조사단은 사실관계 확인을 위해 쿠팡의 웹 접속기록을 분석했으며, 공격자가 내정보 수정 페이지와 배송지 목록 페이지, 주문 목록 페이지 등에서 정보를 유출한 뒤 일부를 이메일에 기재해 쿠팡 측에 보낸 정황을 확인했다고 설명했다.
조사단은 로그 분석 결과, 내정보 수정 페이지에서 성명과 이메일이 포함된 이용자 정보 33,673,870건이 유출됐다고 밝혔다. 배송지 목록 페이지는 성명, 전화번호, 주소, 특수문자로 비식별화된 공동현관 비밀번호가 포함된 화면을 다수 조회한 것으로 확인됐으며, 조사단은 이 페이지에 계정 소유자 외에도 가족·지인 등 제삼자의 정보가 다수 포함돼 있다고 설명했다.
또한 배송지 목록 수정 페이지(공동현관 비밀번호 포함) 조회와 주문 목록 페이지(최근 주문 상품 목록 포함) 조회도 확인됐다고 조사단은 밝혔다. 조사단은 웹 접속기록 등을 바탕으로 유출 규모를 산정했으며, 향후 개인정보 유출 규모는 개인정보보호위원회가 확정해 발표할 예정이라고 설명했다.
“서명키 탈취해 전자 출입증 위·변조”…로그인 없이 인증 통과
조사단은 사고 원인을 정보 유출 경로와 공격자 행위로 나눠 분석했다. 공격자는 재직 당시 시스템 장애 등 백업을 위한 이용자 인증 시스템 설계·개발 업무를 수행한 소프트웨어 개발자로 확인됐다고 밝혔다.
조사단은 공격자가 쿠팡 서버의 인증 취약점을 이용해 정상 로그인 절차 없이 이용자 계정에 비정상 접속하고 정보를 무단 유출했다고 결론 내렸다. 조사단 설명에 따르면, 정상 접속 시 이용자는 로그인 절차를 거쳐 ‘전자 출입증’을 발급받고 관문 서버는 해당 출입증의 유효성을 확인한 뒤 접속을 허용한다.
하지만 공격자는 재직 당시 관리하던 인증 시스템의 서명키를 탈취한 뒤 이를 이용해 ‘전자 출입증’을 위·변조해 인증 체계를 통과한 것으로 조사됐다. 그 결과 정상 로그인 절차 없이 서비스에 무단 접속할 수 있었던 것으로 확인됐다.
공격자 행위와 관련해 조사단은 공격자가 재직 당시 인증 체계와 키 관리체계의 취약점을 인지하고 있었고, 퇴사 이후 탈취한 서명키와 내부 정보를 활용해 위·변조와 사전 시험을 진행했다고 밝혔다. 이후 자동화된 웹크롤링 공격 도구를 사용해 대규모 정보 유출을 진행했으며, 다수의 인터넷 규약 주소를 사용한 것으로 조사됐다고 설명했다.
인증 검증 부재·키 관리 미흡 지적…모니터링·로그 정책 개선 요구
조사단은 쿠팡의 정보보호 체계에서 문제점을 확인하고 재발 방지 대책을 제시했다. 우선 ‘전자 출입증’ 기반 인증에서 정상 발급 절차를 거친 출입증인지 확인하는 검증 체계가 부족했다고 밝혔다. 모의해킹을 통해 취약점 개선을 추진했지만, 발견된 문제에 한해 대응하는 수준에 머물러 관문 서버 이용자 인증 체계 전반에 대한 점검이 충분히 이뤄지지 않았다고 지적했다. 조사단은 정상 발급 절차를 거치지 않은 ‘전자 출입증’ 탐지·차단 체계 도입과, 취약점에 대한 근본 개선 방안 마련을 요구했다.
키 관리체계에서는 개발자 개인 장치에 서명키가 저장돼 키 유출 및 오남용 위험이 있다고 조사단은 밝혔다. 또한 키 발급 내역 기록·관리 규정이 있음에도 이력 관리체계가 없어 목적 외 사용 파악이 어렵고, 퇴사자 등 내부자에 의한 주요 정보 탈취 위협에 대한 대응체계도 미흡했다고 설명했다. ISMS-P 점검 과정에서는 개발과 운영이 분리되지 않은 상태에서 개발자에게 운영 중인 키 관리 시스템 접근 권한이 부여된 점, 키 수명만 정의하고 변경에 따른 교체 등 세부 운영 절차가 부족한 점도 확인됐다고 밝혔다. 조사단은 키 관리·통제 체계 강화와 상시 점검을 재발 방지 대책으로 제시했다.
정보보호 관리체계와 관련해 조사단은 동일한 서버 사용자 식별번호 반복 사용, 위·변조된 출입증을 활용한 비정상 접속이 있었음에도 정보 유출을 탐지·차단하지 못했다고 밝혔다. 또한 접속기록을 일관된 기준 없이 저장·관리해 피해 이용자 식별과 유출 규모 산정에 어려움이 있었다고 지적했다. 조사단은 비정상 접속 모니터링 강화와 목적에 맞는 로그 저장·관리 정책 정비, 보안규정 준수 여부 정기 점검 및 미준수 시 즉각 개선 체계 구축을 요구했다.
신고 지연·자료 보전 명령 위반 확인…과태료·수사 의뢰
조사단은 법 위반 사항으로 침해사고 신고 지연과 자료 보전 명령 위반을 들었다. 쿠팡은 침해사고 인지 후 이십사시간 이내 과기정통부 또는 한국인터넷진흥원에 신고해야 하지만, 정보보호 최고책임자에게 보고한 시점 이후 24시간이 지난 뒤 한국인터넷진흥원에 신고한 것으로 조사됐다고 밝혔다. 과기정통부는 정보통신망법에 따라 과태료를 부과할 예정이라고 밝혔다.
또한 과기정통부는 침해사고 원인 분석을 위해 자료 보전을 명령했으나, 쿠팡이 접속기록 자동 저장 정책을 조정하지 않아 일정 기간의 웹 접속기록이 삭제됐고, 애플리케이션 접속기록 일부도 삭제됐다고 밝혔다. 과기정통부는 자료 보전 명령 위반과 관련해 수사기관에 수사를 의뢰했다고 설명했다.
과기정통부 “이행계획 제출 요구”…이행 점검 후 시정조치 가능
과기정통부는 조사 결과를 바탕으로 쿠팡에 재발 방지 대책에 따른 이행계획을 제출하도록 하고, 이후 이행 여부를 점검할 계획이라고 밝혔다. 점검 결과 보완이 필요한 사항이 확인되면 정보통신망법에 따라 시정조치를 명령할 계획이라고 덧붙였다.
댓글
0