"쿠팡 개인정보 유출, 중국인 퇴사자 앙심 범행 가능성"

▲쿠팡 이용자 3370만여 명의 이름과 전화번호, 주소 등의 개인정보가 유출된 가운데 1일 서울의 한 쿠팡 물류센터 인근에 차량이 주차돼 있다. 신태현 기자 holjjak@

쿠팡에서 발생한 3370만 명 규모의 개인정보 유출 사건과 관련해 퇴사한 중국인 개발자의 보복성 범행 가능성이 크다는 분석이 나왔다.

김승주 고려대 정보보호대학원 교수는 2일 CBS 라디오 ‘김현정의 뉴스쇼’에서 “퇴사를 당하게 된 중국인 개발자가 앙심을 품고 이런 걸 한 것 같다”는 내부 관계자들의 전언을 소개하며 사건의 배경을 설명했다.

김 교수는 이번 유출 방식이 “인증 토큰을 발급하는 비밀번호를 가지고 나간 것”이라고 지적했다. 인증 토큰을 ‘호텔 방 키’에 비유하며 “아이디와 비밀번호로 로그인하면 일정 기간 효력이 있는 방 열쇠를 받는데 그 키를 발급하는 비밀번호 자체를 직원이 갖고 나간 셈”이라고 말했다.

범인이 6월 탈취 후 11월까지 쿠팡이 알아차리지 못한 이유에 대해 그는 돈이 목적이었다면 바로 협박했을 것이라며 “여러 이용자에게 이메일을 보내며 회사에 ‘한번 당해봐라’는 의도가 더 강하다”고 했다. 이어 “내가 듣기엔 돈의 목적이 아니라 앙심의 목적이라는 얘기가 내부에서 나온다”고 전했다.

최근 제기된 외국 경쟁사의 소행 가능성에 대해서는 “쿠팡 내부 인사들은 무게를 두지 않는 분위기”라고 설명했다.

쿠팡이 보유한 개인정보보호 관리 체계 인증(ISMS-P)을 둘러싼 의문도 커지고 있다. 김 교수는 “ISMS-P에는 퇴직자의 접근 권한을 회수해야 한다는 조항이 있다”며 “이번 사고는 그 조항이 제대로 지켜지지 않은 것으로 보인다”고 지적했다. 이어 “심사가 서류 중심으로 이뤄지는 경우가 많아 실제 관리가 제대로 되고 있는지 논란이 반복되고 있다”고 했다.

유출된 정보에는 이름·주소·주문 내역·이메일·공용 현관 비밀번호 등이 포함된 것으로 알려졌다. 쿠팡은 결제정보 유출은 없다고 설명했지만, 김 교수는 “조사가 진행되면 과거 해킹 흔적이 더 발견되는 경우가 많다”며 “현재 상태에서 결제 정보가 안전하다고 단언하는 것은 위험하다”고 우려를 나타냈다. 또 “결제 주문 정보만으로도 취향이 드러나 피싱·전화 사기로 악용될 수 있다”고 경고했다.

개인의 즉각적인 대응책으로는 “쿠팡에 연동된 카드 정보를 삭제하고 쿠팡 로그인 비밀번호와 카드 비밀번호를 모두 다른 것으로 변경하는 것이 최선”이라고 조언했다.

김 교수는 이번 사건을 “외부 해커가 아닌 내부 직원 공격”으로 규정하며 제도적 보완을 강조했다. 그는 “미국은 스노든 사건 이후 내부자 유출에 민감하다”며 “우리도 내부 직원 관련 방어 체계와 처벌 기준을 정비할 필요가 있다”고 말했다.

또 쿠팡과 같은 다국적 기업 구조의 한계도 지적했다. 그는 “상층부에 외국인이 많아 실제 책임자 소환·조사가 쉽지 않다”며 “결국 국내 직원 선에서 책임이 매듭지어질 위험이 있다”고 덧붙였다.

▲박대준 쿠팡 대표가 30일 서울 종로구 정부서울청사에서 열린 쿠팡 관련 긴급 관계부처 장관회의에 참석 후 고개숙여 사과하고 있다. 조현호 기자 hyunho@