쿠팡 침해사고 유출 3367만여 건 확인, 과기정통부 재발 방지 대책 주문

국내 최대 이커머스 플랫폼 쿠팡에서 발생한 개인정보 유출 계정 규모가 당초 신고된 4536건이 아니라 3367만 3817건으로 최종 파악되었습니다. 공격자는 쿠팡 이용자 계정에 정상적 로그인 없이 접속해 대규모 정보를 무단 유출한 것으로 확인되었습니다.

과학기술정보통신부는 쿠팡 침해사고에 대한 민관합동조사단(조사단)의 조사 결과를 10일 발표했습니다. 조사단은 정보통신망에 대한 침해사고 원인을 분석하고 재발 방지 대책을 마련했다고 밝혔습니다.

사건의 구체적 전개

조사단은 이번 사고를 정보통신망법 제48조의4에 따라 분석했으며, 쿠팡 이용자 인증체계와 접속기록, 전사 정보보호 관리체계를 조사했습니다. 조사 과정에는 공격 범위와 유출 규모 파악을 위한 접속기록 확인이 포함되었습니다.

파악된 유출 항목에는 내정보 수정 페이지의 성명·이메일 3367만 3817건이 포함되었습니다. 배송지 목록 페이지는 성명·전화번호·주소 등이 포함된 형태로 1억 4805만 6502회 조회된 것으로 확인되었습니다.

배송지 목록 수정 페이지는 성명·전화번호·주소에 더해 공동현관 비밀번호가 포함된 상태로 5만 474회 조회된 것으로 확인되었습니다. 주문목록 페이지는 이용자가 최근 주문한 상품목록 등이 포함된 형태로 10만 2682회 조회된 것으로 확인되었습니다.

조사 결과에 따르면 공격자는 이용자 인증 취약점을 악용해 정상적 로그인 없이 이용자 계정에 접속한 것으로 확인되었습니다. 위·변조한 전자 출입증에 대한 검증 체계가 미흡해 공격 행위를 사전에 탐지·차단하지 못한 것으로 확인되었습니다.

모의해킹 결과로 파악한 보안 취약점 개선이 미흡했던 것으로 드러났습니다. 공격자가 이용자 인증 관련 시스템 개발자였음에도 퇴사 이후 쿠팡이 서명키를 즉시 갱신하지 않은 채 운영한 사실이 확인되었습니다.

공격자는 지난해 1월 퇴사 전 몇 차례 사전 공격 테스트를 한 뒤 퇴사 후 7개월 동안 본격적으로 개인정보를 탈취한 것으로 나타났습니다. 공격자는 재직 당시 발급 받은 서명키로 위·변조 전자출입증을 발급받고 특별한 제한 없이 서버에 접속할 수 있었습니다.

공격자는 재직 당시 시스템 장애 등 백업을 위한 이용자 인증 시스템 설계·개발 업무를 수행한 소프트웨어 개발자(Staff Back-end Engineer)로 확인되었습니다. 개인정보 세부 유출 규모는 개인정보보호위원회에서 확정할 예정입니다.