전주 효자동 센트럴에비뉴원 일반 직원에게 ‘마스터키’가 있었다?…쿠팡은 뭘 감추고 있나

페이지 정보

작성자 또또링2 댓글 0건 조회 2회 작성일 25-12-07 07:10

본문

전주 효자동 센트럴에비뉴원 3370만명의 이름·주소·전화번호가 유출된 쿠팡 사태의 핵심은 ‘서버 출입 마스터키’에 해당하는 서명키 접근 구조다. 쿠팡은 탈취당한 서명키가 악용된 사실은 인정했지만, 정작 이 서명키를 그간 어떻게 관리해왔는지는 밝히지 않고 있다. 아무나 손대서는 안 되는 ‘마스터키’가 어떻게 일반 직원 손에 넘어갔는지를 밝혀야 쿠팡의 보안 소홀 책임이 명확해질 것으로 보인다.
3일 정보기술(IT) 업계에 따르면 쿠팡 내부의 ‘서명키’ 보안에 어떻게 구멍이 뚫렸는지가 ‘쿠팡 미스터리’를 풀 실마리 중 하나로 거론되고 있다.
전날부터 이틀간 국회 과학기술방송통신위원회·정무위원회가 연 긴급 현안질의에 출석한 쿠팡 박대준 대표, 브랫 매티스 최고정보보호책임자(CISO)의 말을 종합하면 지금까지 드러난 사실은 이렇다. 유출 사태를 일으킨 것으로 추정되는 직원 A씨는 인증 시스템 개발자였으며, 지난해 12월 퇴직한 뒤 올해 6월부터 ‘고객’으로 가장해 시스템에 접속, 개인정보를 대량 수집했다. 이 과정에서 A씨는 서명키로 가짜 토큰을 생성했는데, 토큰이 있으면 아이디·비밀번호 입력 없이도 로그인이 가능하다. A씨는 퇴사 전 이 서명키를 확보했던 것으로 보인다.
문제는 서명키가 민감한 보안 자산이라는 점이다. 전 고객의 개인정보가 담긴 ‘방’에 자유롭게 드나들게 해주는 ‘마스터키’와 같은 역할을 하기 때문이다. 김승주 고려대 정보보호대학원 교수는 “서명키는 HSM(Hardware Security Module)과 같은 하드웨어 보안장치에 보관해야 하고, 개발자를 포함한 누구도 이 장치 밖으로 키를 추출할 수 없어야 한다”며 “그럼에도 불구하고 어떻게 키 탈취가 가능했는지가 규명돼야 한다”고 말했다.
사태 초기에는 퇴사자 발생 후 서명키를 교체하지 않은 점에 초점이 맞춰졌으나 진짜 문제는 일반 직원이 이 서명키에 접근할 수 있었다는 사실 그 자체에 있다는 얘기다. 쿠팡의 박 대표는 국회 현안질의에서 서명키 입수 경로와 관련해 “어떻게 입수했는지 알 수 없다”고 말했다.
박 대표는 “(서명키 등으로) 고객정보 전체를 볼 수 있는 사람이 몇 사람이냐 되느냐”(강민국 국민의힘 의원)는 질문에는 “예외적으로 승인돼 있고 저도 그런 접근권은 갖고 있지 않다”고 말했다. 법인 대표에게도 없는 ‘마스터키’ 접근 권한이 일반 직원에게 있었다는 얘기가 된다.
5개월간 이어진 대규모 유출을 전혀 탐지하지 못한 것도 문제다. 정보 유출은 올해 6월24일부터 지난달 8일까지 이어졌으나, 쿠팡은 같은 달 18일 “정보가 유출된 것 같다”는 고객 민원을 받고서야 이 사실을 알게 됐다.
쿠팡은 그간 이상징후를 탐지하지 못한 이유에 대해 “공격자가 여러 개의 IP 주소를 사용했다”(매티스 CISO)고 말하지만 이 설명만으로는 납득하기 어렵다는 평가가 나온다. 휴면·탈퇴 계정 정보도 유출됐기 때문에 해당 계정에 대한 대량의 로그인 징후가 이어졌을 가능성이 크기 때문이다.
쿠팡은 정보가 유출된 휴면·탈퇴 계정 규모를 밝히지 않고 있으나 3분기 활성 고객 규모(2470만명)와 유출 규모의 차이(약 900만명)를 고려하면 수백만개에 달할 것으로 추정된다. 김 교수는 “탈퇴 계정에서 계속 접속이 들어오면 이상하게 여겨야 하는데 왜 탐지를 못했는지 의문”이라고 말했다.
이날 정무위 현안질의에서는 쿠팡이 2021년과 지난해 받은 ISMS-P(정보보호 및 개인정보보호 관리체계 인증)를 취소해야 한다는 지적이 잇따랐다. ISMS-P에는 암호키(서명키) 접근 통제, 퇴직자의 정보 접근 제한 등의 내용이 담겨 있다. 한창민 사회민주당 의원은 “ISMS-P 기준을 지키지 않은 쿠팡은 첫 ‘인증 취소’ 기업이 돼야 한다”며 “아울러 과거 과징금 사례를 보면 ISMS-P 인증을 받았다는 이유로 50%씩 감면을 해주었는데 이러한 제도도 바꿔야 한다”고 말했다.
이민법 집행을 강화하고 있는 도널드 트럼프 미국 행정부가 잠정 체류 이민자에게 발급하는 취업허가의 유효기간을 1년 반으로 단축한다.
4일(현지시간) 미국 이민국은 망명 신청자 및 합법적 임시 체류자가 미국에 일할 수 있도록 하는 공식 고용 허가증의 유효기간을 기존 최장 5년에서 18개월로 단축한다고 발표했다.
조지프 에들로 이민국장은 성명에서 “미국에서 일하는 것은 권리가 아닌 특혜”라며 “더 자주 신원 재검증을 시행해야 한다는 점은 분명하다”고 밝혔다. 새 유효기간은 5일 이후 접수된 고용허가증 신규·갱신 건과 현재 심사 절차에 계류 중인 건에 적용된다.
블룸버그통신은 앞으로 당국의 이민자 심사가 더 잦아지면서 체류 허가를 거부할 가능성이 더 커진다고 내다봤다.
이번 조처는 아프가니스탄 이민자의 워싱턴 주방위군 총격 사건 이후 트럼프 정부가 반이민 기조를 강화하는 흐름에서 나왔다. 지난달 26일 워싱턴 주방위군 2명이 아프간 출신 이민자가 쏜 총탄에 사망하거나 중상을 입는 사건이 벌어졌다. 이후 미국 정부는 지난 상반기 입국 금지국으로 지정했던 이란·예멘·아프가니스탄 등 19개국 국적자의 이민 신청 절차를 중단했다.
A씨는 지난 21대 대통령 선거 당시 각목에 과도를 붙여 특정 후보자의 현수막을 훼손하다 행인에 의해 신고당했다. A씨는 신고자를 폭행했고, 벽보 기타 선전 시설 등에 대한 방해 및 특수상해 등 혐의로 구속 기소됐다. 그는 지난 9월5일 법원에서 벌금 100만원과 징역 2년6개월에 집행유예 4년형을 확정받았다.
지난 6월3일 실시된 21대 대선과 관련해 입건된 선거사범 수가 8년 전보다 3배 넘게 급증한 것으로 나타났다. 수사 단계에서 혐의가 입증돼 재판에 넘겨진 건수도 같은 기간 80%가량 늘었다. 검찰은 선거폭력･방해 사범이 많이 늘어난 현상이라고 설명했다.
4일 대검찰청에 따르면 21대 대선 선거사범 수사 결과 공소시효가 만료되는 지난 3일까지 총 2925명이 입건됐고, 918명이 재판에 넘겨졌다. 이 중 10명은 구속 기소됐다.
대선 선거사범 입건 수는 2017년 열린 19대 대선 당시 878명이었던 것과 비교하면 8년 만에 3배 이상 늘었다. 기소 건수로 비교해도 같은 기간 512명에서 918명으로 약 79.3% 늘었다. 20대 대선(입건 2001건·기소 609건)과 비교하면 5년 새 입건 수는 46.2%, 기소 건수는 50.7% 늘었다.
대검은 “선거폭력 및 방해 사범이 급증한 결과”라고 설명했다. 지난 대선에서 선거폭력·방해 혐의로 입건된 사람은 1660명으로 전체 56.8%에 달했다. 다른 유형별로는 허위사실유포 등 흑색선전 사범이 336명(11.5%), 금품선거 사범이 101명(5.1%) 등이었다.
수사 착수 단서별로 보면 고소·고발을 통해 입건된 사건은 1025건으로 전체 35.0%로 집계됐다. 이 비율은 20대 대선(65.6%)에 비해 큰 폭 감소했다. 반면 경찰(1897명·64.9%)과 검찰(3명·0.1%) 단계에서 인지해 입건한 사건 비율은 65.0%로, 34.4%였던 20대 대선보다 30%포인트 이상 늘었다.

댓글목록

등록된 댓글이 없습니다.

전주 효자동 센트럴에비뉴원 일반 직원에게 ‘마스터키’가 있었다?…쿠팡은 뭘 감추고 있나 > 하늘로 띄우는 편지

하늘로 띄우는 편지 HOME