과학기술정보통신부가 2월 10일 쿠팡 침해사고 민관합동조사단의 최종 조사결과를 발표했다. 지난해 11월 발생한 이번 사고는 쿠팡 전 직원이 이용자 인증체계의 취약점을 악용해 정상 로그인 없이 대규모 개인정보를 무단 유출한 것으로 확인됐다.
유출 규모 3367만건, 배송지 조회 1.4억회
조사단은 쿠팡의 웹 접속기록 25.6테라바이트(TB), 6642억건을 분석한 결과, △내정보 수정 페이지에서 성명·이메일 3367만여건 △배송지 목록 페이지 1억4805만여 회 조회(성명, 전화번호, 주소 등) △배송지 목록 수정 페이지 5만여 회 조회(공동현관 비밀번호 포함) △주문목록 페이지 10만여 회 조회가 이뤄진 것으로 파악했다.
배송지 목록에는 계정 소유자 외에도 가족, 친구 등 제3자의 개인정보가 다수 포함돼 있어 실제 피해 규모는 더 클 것으로 예상된다. 개인정보 세부 유출규모는 개인정보보호위원회에서 최종 확정할 예정이다.
사고 원인은 서명키 탈취 후 '전자 출입증' 위변조
공격자는 재직 당시 이용자 인증 시스템 설계·개발 업무를 담당했던 SW 개발자(Staff Back-end Engineer)로, 당시 관리하던 서명키를 탈취해 '전자 출입증'(토큰)을 위·변조하는 방식으로 공격했다.
정상적인 이용자는 로그인(ID/PW) 절차를 거쳐 '전자 출입증'을 발급받고, 쿠팡의 관문서버가 이를 검증해 서비스 접속을 허용한다. 하지만 공격자는 탈취한 서명키로 '전자 출입증'을 위·변조해 정상적인 로그인 없이 이용자 계정에 무단 접속했다.
공격자는 2025년 1월 공격 테스트를 진행한 후, 4월 14일부터 11월 8일까지 자동화된 웹크롤링 공격 도구를 이용해 대규모 정보를 유출했다. 이 과정에서 총 2313개 IP를 사용한 것으로 확인됐다.
쿠팡의 보안 체계 문제점은 무엇?
조사단은 쿠팡의 정보보호 체계에서 여러 문제점을 발견했다.
먼저 위·변조된 '전자 출입증'에 대한 검증 체계가 부재했고, 모의해킹에서 발견한 취약점 개선이 미흡했다.
또 서명키를 '키 관리시스템'에만 보관해야 하는 내부 규정이 있었으나, 현재 재직 중인 개발자 노트북에 서명키가 저장(하드코딩)된 사실이 확인됐다. 또한 키 발급·폐기 등 이력 관리 체계가 부재했으며, 공격자가 이용자 인증 관련 시스템 개발자였음에도 퇴사 후 서명키를 즉시 갱신하지 않았다.
더불어 동일한 서버사용자 식별번호가 반복 사용되고 위·변조된 '전자 출입증'을 활용한 비정상 접속행위가 발생했음에도 이를 탐지·차단하지 못했다. 접속기록(로그)도 일관된 기준 없이 저장·관리돼 피해 규모 산정에 어려움이 발생했다.
신고 지연과 자료 삭제에 과태료 부과
쿠팡은 침해사고를 인지한 시점(2025년 11월 17일 16:00)으로부터 24시간이 지난 후인 11월 19일 21시 35분에 KISA에 신고해 정보통신망법을 위반했다. 이에 따라 3000만원 이하의 과태료가 부과될 예정이다.
더 심각한 것은 자료보전 명령 위반이다. 과기정통부가 11월 19일 22시 34분 자료보전을 명령했음에도 쿠팡은 자동 로그 저장 정책을 조정하지 않아 약 5개월분(2024년 711월) 웹 접속기록과 2025년 5월 23일6월 2일 간 애플리케이션 접속기록이 삭제됐다. 과기정통부는 이에 대해 수사기관에 수사를 의뢰했다.
이행계획 제출과 별도...경찰 추사는 계속
조사단은 쿠팡에 △정상 발급절차를 거치지 않은 '전자 출입증'에 대한 탐지 및 차단체계 도입 △모의해킹에서 발견한 취약점의 근본적 개선 △서명키 발급·폐기 등 관리 체계 강화 △비정상 접속행위 탐지 모니터링 강화 △로그 저장관리 정책 수립 등을 요구했다.
과기정통부는 쿠팡에 재발방지 대책에 따른 이행계획을 2월 중 제출하도록 하고, 3~5월 이행 여부를 6~7월 점검할 계획이다. 이행점검 결과 보완이 필요한 사항에 대해서는 정보통신망법에 따라 시정조치를 명령할 방침이다.
한편 개인정보보호위원회는 개인정보보호법에 따른 유출 규모 및 법 위반 여부를 조사 중이며, 경찰청은 침해사고 관련 증거물 분석 등 수사를 진행 중이다.
