“쿠팡이 방치한 인증키로 3천만명 정보 털렸다”…수사 난항 우려 작성일 12-01 30 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">“쿠팡 대규모 유출, 유효 인증키 방치가 원인”<br>유력 용의자 前 직원 출국해 수사 난항 우려<br>정보 유출 분통에 소비자들 집단소송 움직임</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="qFQKs69UA8"> <figure class="figure_frm origin_fig" contents-hash="6c3eb2fc0e18f63837a693171ae9b482e86d8d2b6fb00f112723e1f50ffb52fd" dmcf-pid="Bw1TxZyOk4" dmcf-ptype="figure"> <p class="link_figure"><img alt="서울 송파구 쿠팡 본사. 연합뉴스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/01/segye/20251201105029216zrbp.jpg" data-org-width="860" dmcf-mid="06aRGoe4NR" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/01/segye/20251201105029216zrbp.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 서울 송파구 쿠팡 본사. 연합뉴스 </figcaption> </figure> <div contents-hash="d958e43bf6146c8a3e22b15dbc6a19e2867d3a4d4c2c662ca0cd232c10690735" dmcf-pid="brtyM5WIcf" dmcf-ptype="general"> <br> 경찰이 쿠팡에서 발생한 대규모 개인정보 유출 사태의 유력 용의자로 지목된 전 직원 A씨를 추적하고 있는 가운데, 해당 직원은 쿠팡 측이 제때 갱신하거나 폐기하지 않은 ‘액세스 토큰 인증키’를 통해 퇴사 후 범행을 저지른 것으로 파악됐다. </div> <p contents-hash="fb01eb9b17a171d3c998ad21b131de661914b245d5cdd18b2039ab461b2b30d8" dmcf-pid="KCUXi0ZvNV" dmcf-ptype="general">1일 국회 과학기술정보방송통신위원회 최민희 위원장이 쿠팡으로부터 제출받은 자료에 따르면, 쿠팡 인증 업무 담당자에게 발급되는 액세스 토큰의 유효 인증키가 장기간 방치된 것으로 나타났다.</p> <p contents-hash="69e9904ce4b473c17d44b7ee6eecb94aac86a8d075eb58264f7b1a972a4c7c29" dmcf-pid="9huZnp5To2" dmcf-ptype="general">액세스 토큰은 사용자가 한 번 로그인하면 일정 시간 재인증 없이 서비스를 이용할 수 있는 일종의 ‘디지털 인증키’다.</p> <p contents-hash="00062a39a2a27ae07fdbf7ba780d5ba8d5a84e90f4c543114a8a1882c6374db2" dmcf-pid="2l75LU1yo9" dmcf-ptype="general">내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라고 한다면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 인증 도장 역할을 한다.</p> <p contents-hash="c9b28fa50c612da5240436d064c15a437ddc82007a9a92a4bc2f512da40c27c0" dmcf-pid="VCUXi0ZvNK" dmcf-ptype="general">앞서 지난 21일 한국인터넷진흥원(KISA)은 최 위원장에게 제출한 신고서에서 “기존 로그인 사용자에게 발급되는 서명된 액세스 토큰을 악용해 인증을 우회한 것으로 추정된다”고 보고했다.</p> <figure class="figure_frm origin_fig" contents-hash="cba8b31dab5a3f235435f7ea6d4ab7aaaf84f2ebaaab44a05344c7a160a25e34" dmcf-pid="fhuZnp5Tcb" dmcf-ptype="figure"> <p class="link_figure"><img alt="쿠팡이 보낸 문자메시지 고객 계정 3370만개가 무단으로 유출된 사실이 드러난 쿠팡이 고객들에게 보낸 개인정보 노출 통지 관련 문자메시지. 최상수 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/01/segye/20251201105029429jqis.jpg" data-org-width="860" dmcf-mid="UDaRGoe4ax" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/01/segye/20251201105029429jqis.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 쿠팡이 보낸 문자메시지 고객 계정 3370만개가 무단으로 유출된 사실이 드러난 쿠팡이 고객들에게 보낸 개인정보 노출 통지 관련 문자메시지. 최상수 기자 </figcaption> </figure> <div contents-hash="e42f5b165a5eaf1884e447a2b8554a04e4e38c280c5dc4ad86bfda3d9b8503b4" dmcf-pid="4l75LU1ycB" dmcf-ptype="general"> <br> 최 위원장은 “서명키 갱신은 가장 기본적인 내부 보안 절차임에도 불구하고, 쿠팡은 토큰 생성에 필요한 서명 정보를 담당 직원 퇴사 시 삭제하거나 갱신하지 않고 이를 방치했다”며 “3370만건의 개인정보 유출 해킹이 가능했던 이유는 내부 직원이 이를 악용했기 때문”이라고 지적했다. </div> <p contents-hash="75d54c880773de34b428c6d0771cfa966d88c4c21a1b33596f2ee8bb1f5f96df" dmcf-pid="8WK0jBpXgq" dmcf-ptype="general">쿠팡 측은 토큰 서명키 유효 인증 기간에 대해 “키 종류에 따라 다양하다”며 “5~10년으로 설정하는 사례가 많은 것으로 알고 있다”는 입장이다.</p> <p contents-hash="8649f4dd9b9540154225e59d2f3177d464a9f3f702cf1f6379d8c5e87409d074" dmcf-pid="6Y9pAbUZoz" dmcf-ptype="general">서울경찰청 사이버수사대는 최근 고소인 조사를 통해 쿠팡으로부터 서버 기록 등 관련 자료를 임의 제출받아 유출 경위 분석에 들어갔다.</p> <p contents-hash="62b43190a81af35c5f56d9f5e2bcc24ed80ea4779d08255874c0bf6ef54d0549" dmcf-pid="PLSwbhrNc7" dmcf-ptype="general">앞서 쿠팡은 지난 25일 정보통신망법상 정보통신망 침입 혐의로 ‘성명불상자’에 대한 고소장을 경찰에 제출했다. 쿠팡은 유출 정황 조사 과정에서 중국 국적의 전 직원 A씨를 특정한 것으로 알려졌다.</p> <p contents-hash="a65372dd452dd49dda1b305eedfa85bcd1cbd0fc90a57a566baa0292e61547a2" dmcf-pid="QovrKlmjAu" dmcf-ptype="general">경찰은 유력 용의자로 지목되는 A씨의 행적을 확인한다는 방침이다. 그러나 A씨가 쿠팡을 퇴사해 이미 한국을 떠난 상태인 것으로 전해져 신병 확보에 난항을 겪을 것으로 보인다.</p> <p contents-hash="fa8f76409b833c85df15f25d8bf37cf035a9821fcc16ad97b261adb564ac6b11" dmcf-pid="xBLQyix2oU" dmcf-ptype="general">핵심 피의자가 해외에 나가 있는 상황에서 계좌 추적·통신기록 확보·기기 포렌식 등의 강제 수사는 사실상 불가능하다. 결국 국제 공조나 범죄인 인도 절차에 의존할 수밖에 없는 상황이다.</p> <figure class="figure_frm origin_fig" contents-hash="cc82e90687b6e8e88f71a3c36ccb3276480d38cbe5acd6c53c7db6758788991e" dmcf-pid="yUefhM4qNp" dmcf-ptype="figure"> <p class="link_figure"><img alt="쿠팡 해킹 피해자 집단소송 카페 홈페이지 캡처" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/01/segye/20251201105029653lkni.png" data-org-width="1614" dmcf-mid="uTUXi0ZvjQ" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/01/segye/20251201105029653lkni.png" width="658"></p> <figcaption class="txt_caption default_figure"> 쿠팡 해킹 피해자 집단소송 카페 홈페이지 캡처 </figcaption> </figure> <div contents-hash="1847d18400d7584d351507fc82cdee3fb53e094cb0efef8d5b7f14c5c86c93ba" dmcf-pid="Wud4lR8BN0" dmcf-ptype="general"> <br> 유출 사고 규모가 커진 데 대한 수사도 불가피해 보인다. </div> <p contents-hash="4e60cf63973ac8359af5f64097c6e3a40def8aa64da1b0187a9b531aa333dc8f" dmcf-pid="YXf7E2ztg3" dmcf-ptype="general">쿠팡은 지난 19일 개인정보 유출 관련 첫 신고에서 고객명·연락처·주소 등 4536개 계정의 정보가 유출됐다고 보고했으나, 이후 조사 과정에서 유출 계정 수가 3370만개로 무려 7500배나 불어났다.</p> <p contents-hash="5b3bbba17e11919d8831a6dedf98ffd46473194d08ac28a6a01bf8102fa90bd4" dmcf-pid="GZ4zDVqFAF" dmcf-ptype="general">쿠팡은 노출된 정보에 고객의 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했지만, 추가 피해에 대한 우려는 여전히 크다.</p> <p contents-hash="129c34ae21ab09581cd1097ddd47bd03fe40d8f261e2513d73ee278a00a63379" dmcf-pid="HZ4zDVqFAt" dmcf-ptype="general">쿠팡을 상대로 한 소비자들의 집단 대응 움직임도 본격화하고 있다.</p> <p contents-hash="cd1ddd232bff0ac9790e5a2f515d2e6a97e09dee5d7c503dfd4eedecc06e03c8" dmcf-pid="X58qwfB3N1" dmcf-ptype="general">네이버에는 쿠팡에 대한 소송을 준비하는 카페가 잇따라 개설되고 있다. 한 카페는 이날 오전 10시 기준 가입자 수가 7만 명을 돌파했다.</p> <p contents-hash="2e90768b198e95635b76d0b5f1db90016293994d1d753d8fe500fd8e37c88c67" dmcf-pid="ZTBFaz3Go5" dmcf-ptype="general">소비자들 사이에서는 쿠팡 회원 탈퇴 요령과 배송지 삭제 방법부터 공동현관 비밀번호 변경 안내까지 대응 매뉴얼이 빠르게 공유되고 있다.</p> <p contents-hash="6da4b9db57e534c72371dadfb1b85130e0561f2d2d6c5c97c0be8754d40a74a2" dmcf-pid="5yb3Nq0HcZ" dmcf-ptype="general">국윤진 기자 soup@segye.com</p> </section> </div> <p class="" data-translation="true">Copyright © 세계일보. 무단전재 및 재배포 금지.</p> 관련자료 이전 스키즈, K팝 신기록 경신…'빌보드 200' 8연속 1위 12-01 다음 부품값 상승에 보급폰 '직격탄'…신흥국 시장 성장세 제동 12-01 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
