수원변호사 퇴사자도 내부망 들락날락…쿠팡 ‘인증키 방치’ 의혹

페이지 정보

작성자 황준영 날짜25-12-03 12:25 조회3회 댓글0건

본문

수원변호사 고객 3370만명의 이름·전화번호·주소 등을 유출당한 쿠팡이 데이터 접근 권한을 부실하게 관리했다는 지적이 나왔다. 이번 정보 유출은 인증 업무를 담당했던 직원의 소행으로 알려졌는데, 퇴사 이후에도 접근 권한이 유지돼 대규모 정보 수집이 가능했던 것으로 추정된다.
1일 국회 과학기술정보방송통신위원장인 최민희 더불어민주당 의원이 쿠팡에서 받은 자료를 보면, 쿠팡은 인증 업무 담당자에게 발급되는 토큰의 인증키 유효기간에 대해 “5~10년으로 설정하는 사례가 많다는 걸로 알고 있다”면서 “로테이션(주기적 교체) 기간이 길며, 키 종류에 따라 매우 다양하다”고 밝혔다.
‘토큰’은 전자출입증과 같아서, 토큰이 있으면 아이디·비밀번호 입력 등 정상적 로그인 절차를 거치지 않고도 내부 시스템 접근이 가능하다. 이 토큰을 신뢰할 수 있는지 여부는 ‘인증키’가 검증하는데, 인증키를 제때 교체하지 않아 퇴사자의 토큰도 ‘정상’으로 간주됐을 가능성이 있다.
인증키 방치 의혹은 정부가 내놓은 설명과도 맥을 같이한다. 과학기술정보통신부는 전날 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 3000만개 이상의 고객 계정 정보를 유출한 것으로 확인했다”고 밝혔다. 쿠팡은 이날 “인증키가 5~10년간 방치되었다는 것은 사실이 아니다”라고 반박했다. 그러나 정부가 ‘서버 인증 취약점’을 공식 언급한 만큼 퇴사 직원에 대한 접근 통제 부실이 유출로 이어졌다는 지적을 피하기는 어려워 보인다.
‘인증 부실’은 KT의 무단 소액결제에서도 드러난 국내 보안 시스템의 고질적 문제다. KT는 모든 초소형 기지국(펨토셀)에 동일한 인증서를 사용하면서 유효기간을 10년으로 설정하는 등 인증 관리를 허술하게 했다. 이 때문에 불법 펨토셀의 KT 통신망 접속이 가능했고, 무단 소액결제 사태가 이어졌다. 앞서 2014년에는 KT 홈페이지 해킹으로 980만명의 개인정보가 유출된 사건에서 해커가 ‘퇴사자 아이디’를 통해 정보를 조회한 사실이 드러나기도 했다.
최민희 위원장은 “KT 펨토셀 사태에서 드러난 인증키 방치 문제가 쿠팡에서 재현된 것은 우리 기업들의 낮은 보안 의식을 보여준다. 전반적인 보안체계를 긴급히 재정비해야 한다”고 지적했다.
이재명 대통령은 3일 “세계사에 유례없는 민주주의 위기를 평화적인 방식으로 극복해 낸 대한국민들이야말로 노벨평화상을 수상할 충분한 자격이 있다고 확신한다”고 말했다.
이 대통령은 12·3 불법계엄 1년을 맞은 이날 대국민 특별성명을 통해 이같이 밝히며 “만약 대한국민이 민주주의를 살리고 평화를 회복하며 온 세계에 민주주의의 위대함을 알린 공로로 노벨평화상을 받는다면 갈등과 분열로 흔들리는 모든 국가들에게 크나큰 전환점이 될 것”이라고 말했다.
이 대통령은 “우리 국민께서 평화적인 수단으로 헌법과 법률이 정한 절차에 따라 불법계엄을 물리치고 불의한 권력을 몰아낸 점은 세계 민주주의 역사에 길이 남을 일대 사건”이라고 말했다.
이 대통령은 “빛의 혁명으로 탄생한 국민주권정부는 우리 국민의 위대한 용기와 행동을 기리기 위해 12월 3일을 ‘국민주권의 날’로 정할 것”이라고 밝혔다.
이 대통령은 그러면서 “대한민국이 존재하는 한 헌정질서와 민주주의를 지켜낸 것을 함께 기념하고 더 굳건한 민주주의를 다짐하는 계기로 삼겠다”고 말했다.

댓글목록

등록된 댓글이 없습니다.

QnA

입주문의/상담

수원변호사 퇴사자도 내부망 들락날락…쿠팡 ‘인증키 방치’ 의혹

페이지 정보

본문

댓글목록