쿠팡까지···취약한 국내 보안 실태 드러낸 ‘3대 패턴’ 또 반복

페이지 정보

작성자 이민종 작성일25-12-01 18:30 조회155회 댓글0건

본문

국내 전자상거래 1위 업체인 쿠팡이 고객 3370만명의 이름·주소 등을 탈취당한 사실이 확인되면서 ‘정보유출 공포’가 다시 확산하고 있다.
올해는 ‘해킹의 해’라는 자조가 나올 만큼 통신사, 금융기관, 온라인 서점, 취업 포털, 법무법인, 게임사, 가상자산 거래소 등 업종을 가리지 않고 정보 유출 사고가 잇따랐는데, 국민 대다수가 이용하는 쿠팡까지 뚫린 것이다. 퇴사한 직원 소행 가능성이 제기되고 있으나 비인가 정보 수집을 수개월 간 탐지하지 못했다는 점에서 쿠팡은 책임을 피할 수 없을 것으로 보인다.
30일 업계에 따르면 쿠팡의 이번 사고는 올해 최악의 정보 유출로 평가될 가능성이 높다. 탈취당한 고객 정보 규모가 SK텔레콤(2300만명)을 뛰어넘는 데다 이름·주소·전화번호·e메일·주문정보 등 생활 밀착 정보가 빠져나갔기 때문이다. 이러한 정보를 조합하면 ‘맞춤형 피싱’ 등이 손쉬워진다. 과학기술정보통신부와 개인정보보호위원회가 전날 서둘러 ‘대국민 보안공지’를 밝힌 것도 “2차 피해 방지”를 위해서였다.
쿠팡의 이번 사고에서는 국내 취약한 보안 실태를 드러내는 ‘3대 패턴’이 고스란히 반복됐다. ‘뒤늦은 인지’가 첫 번째다. 쿠팡에 따르면 개인정보 유출이 시작된 시점은 지난 6월24일이다. 그러나 이런 사실을 파악하고 공지한 시점은 지난 29일로, 5개월이 늦었다.
일각에선 중국인 직원이 정보를 유출했을 가능성이 제기되고 있지만, 쿠팡은 이상징후 파악 실패 책임을 면할 수 없다는 지적이 나온다. 김승주 고려대 정보보호대학원 교수는 “주요 키(권한)에 접근할 수 있는 직원이 퇴사했음에도 키를 초기화하지 않은 데다 (이 직원이) 정상 사용자로 위장한 채 수개월 간 지속된 비정상적 크롤링(자동화된 정보 수집)을 했음에도 탐지하지 못했다는 얘기”라고 말했다.
쿠팡이 비정상적 정보 수집을 탐지하지 못했던 배경엔 서버 인증 취약점 문제가 있었던 것으로 보인다. 과학기술정보통신부와 개인정보보호위원회는 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 3000만개 이상의 고객 계정 정보를 유출한 것으로 확인했다”고 30일 밝혔다. 쿠팡이 인증 취약점을 방치한 데 대한 비판이 거세질 것으로 보인다.
사이버 침해를 뒤늦게 알아채는 것은 과거 주요 해킹에서도 반복된 문제였다. 올해 2300만명 개인 정보를 탈취당한 SK텔레콤의 경우 내부망에 해커가 침투하기 시작한 시점은 2021년이다. 지난 4년간 SK텔레콤에선 침입 탐지 및 방어시스템이 가동되지 않았다. 무단 소액결제 사태가 일어난 KT 역시 ‘불법 기지국’(펨토셀) 접속이 지난해 10월부터 시작된 사실을 1년이 지난 뒤 파악했다.
국내 최고 수준의 보안 인증인 ISMS-P(정보보호 및 개인정보보호 관리체계)를 통과하고도 대규모 정보유출이 발생한 점도 역대 주요 해킹과 닮았다. SK텔레콤, KT, 롯데카드 등은 모두 ISMS-P 인증을 받고도 해킹을 피하지 못해 해당 인증의 실효성을 두고 논란이 인 바 있다.
과기정통부와 개보위는 이에 ISMS-P 인증을 서류·체크리스트 중심 심사에서 현장 점검 중심으로 전환하고 중대한 결함이 발견될 경우 인증을 취소하는 등의 대책을 마련했다. 그러나 “ISMS 인증 관련 인력 자체가 부족해 인증 실효성이 제대로 개선될지 의문”(임종인 고려대 정보보호대학원 석좌교수)이란 지적이 계속되고 있다.
기업의 ‘피해 발표 번복’ 역시 반복됐다. 쿠팡은 지난 20일 고객 4536명 이름·전화번호·배송주소·주문내역 5건 등이 노출됐다고 밝혔다. 그러나 불과 9일 만에 피해 고객 규모를 약 3300만명으로 정정했다. 피해 고객 규모가 초기 발표보다 7500배 늘었다.
롯데카드 역시 지난 9월 내부망 침입을 발견 후 “정보 유출은 없다”는 입장을 고수했으나 한 달 뒤 최종적으로 297만명 고객 정보 200GB(기가바이트)가 유출된 사실이 확인됐다. 같은 달 KT 역시 경찰로부터 무단소액 결제 피해 신고를 전달받고도 나흘간 해킹 가능성을 부인하다 뒤늦게 인정했다. 심지어 법무법인 로고스는 1년 전 1.6테라바이트(TB) 규모의 고객 소송자료를 탈취당하고도 이 사실을 고객에게 알리지도 않았다. 그러다 다크웹에 소송 정보가 대량 게시되면서 개인정보위 조사를 받고 지난 21일에야 해킹 사실을 공지했다.
전문가들은 쿠팡 사고를 그간의 보안 대책을 돌아보는 계기로 삼아야 한다고 지적한다. 정부가 지난 10월 국민 다수가 이용하는 공공·민간 1600여개 정보기술(IT) 시스템의 보안 취약점을 직접 점검키로 하는 등의 대책을 발표했지만 이런 대책만으론 보안 수준 개선이 쉽지 않다는 것이다.
김용대 카이스트 전기전자공학부 교수는 “국내에서 보안 투자를 많이 하는 것으로 알려진 기업 중 하나인 쿠팡에서 대규모 유출이 일어났다는 점에서 사태가 심각하다”면서 “정부 대책에는 서비스·제품 개발단계부터 보안을 고민케 하는 등의 전략과 원칙이 빠져있어 보안 역량을 근본적으로 끌어올리기 어렵다. 이번 기회에 대책을 재점검해야 한다”고 말했다.
임 교수는 “정부가 일일이 조사하는 식은 보안 인력 부족으로 겉핥기식 점검으로 흐르기 쉽다”면서 “기업이 보안에 자발적으로 투자할수록 세제 혜택을 주는 방식도 고민해야 하고, 국내 보안 산업을 확실하게 키우는 방향으로의 재설계가 필요하다”고 말했다.
국내 투자자들이 테슬라, 엔비디아 다음으로 많이 보유하고 있는 미국 주식 ‘팔란티어’. 팔란티어는 20년 전 피터 틸 전 페이팔 대표와 미국 CIA의 자금 지원을 받아 설립된 데이터 빅테크 기업이다.
27일 CNN 등에 따르면 최근 JD 밴스 미국 부통령은 팔란티어와의 사적 관계로 정치적 공격을 받고 있다. 밴스 부통령은 팔란티어 창업자 틸의 애제자로 분류돼 ‘친 팔란티어’ 인사로 자주 언급된다. 앞서 파이낸셜타임스(FT)는 팔란티어와 정부부처간 ‘회전문’ 인사 기사를 다루면서 밴스 부통령을 대표적 인물로 소개하기도 했다.
미국 정치권에선 좌우를 막론하고 팔란티어의 감시 역할을 비판하고 있다. 팔란티어가 인공지능(AI)·안면 인식·예측 알고리즘 등을 기반으로 데이터를 처리하고 있는 점에서 ‘빅브라더’ 역할을 하고 있기 때문이다. 미 공화당의 정치 전략가 로저 스톤은 라디오 방송에서 팔란티어를 가리켜 “거대한 감시 체계가 될 수 있다”고 지적했다. 스티브 배넌 전 백악관 수석전략가도 팔란티어를 ‘SF 악당’이라고 표현했고, 코미디언 조 로건은 방송에서 이 회사를 “소름 돋는 존재”라고 언급했다.
팔란티어는 이달 들어 17.5% 넘게 급락했다. 유명 공매도 투자자 마이클 버리가 팔란티어와 엔비디아 하락에 베팅하는 대규모 풋옵션을 들고 있다고 밝히면서다.
유투브 채널 윤지원의 머니터링은 팔란티어에 대해 다뤘다.
김정은 북한 국무위원장이 “공군에는 새로운 전략적 군사자산들과 함께 새로운 중대한 임무가 부과될 것”이라고 밝혔다. 북한 매체는 사거리 500km 이상인 공대지미사일 ‘타우러스’와 외형이 유사한 미사일을 처음 공개했다.
김정은 위원장은 지난 28일 갈마비행장에서 열린 공군 창설 80주년 행사의 연설에서 “핵전쟁 억제력 행사에서 일익을 담당하게 된 공군에 대한 당과 조국의 기대는 실로 크다”라며 이렇게 말했다고 30일 북한 조선중앙통신이 보도했다. 김 위원장은 “공군은 압도적인 정신력과 공세적인 기세로써 공화국의 영공 주권을 침해하려는 적들의 각종 정탐 행위와 군사적 도발 가능성을 단호히 격퇴 제압해야 한다”라고 했다. 해당 보도는 북한 주민들이 보는 노동신문에도 실렸다.
김 위원장이 새로운 ‘전략자산’과 ‘중대한 임무’가 무엇인지 구체적으로 밝히진 않았다. 다만 북한 매체가 공개한 사진을 보면, 수호이(SU)-25 전투기에 ‘타우러스’와 비슷한 모형의 미사일이 장착된 모습이 처음 포착됐다. 타우러스는 독일산 장거리 순항 공대지미사일로 최대 사거리가 500km 이상인 것으로 알려져 있다. 한국 공군도 도입해 운용 중이다. 타우러스는 상대의 방공망이 미치지 않는 후방 지역에서 발사해 상대의 주요 전략시설을 정밀 타격할 수 있는 전략무기로 꼽힌다.
북한의 해당 미사일이 타우러스와 유사한 용도인 러시아의 ‘Kh-59MK2’ 장거리 공대지미사일에 가깝다는 분석도 나온다. 홍민 통일연구원 선임연구위원은 “타우러스보다 길이가 짧은 것으로 추정되고 정사각형에 가까운 모습으로 볼 때 러시아의 Kh-59MK2에 더 근접하다”라고 말했다.
신형으로 보이는 공대공미사일도 사진에 잡혔다. 또 발사차량에 실린 대공미사일 2종류도 공개됐다. 1개는 기존 ‘별찌-1-2형’의 개량형이고, 다른 1개는 신형으로 추정된다. 핵탄두 탑재가 가능한 것으로 평가되는 ‘화살’ 계열의 전략순항미사일 3개 종류도 등장했다. 홍민 위원은 “전략순항미사일을 공군에서 운용하거나, 순항미사일을 전투기 요격용으로 활용하려는 것일 수 있다”라며 “정확한 의도는 지켜봐야 한다”고 했다.
공중조기경보통제기와 무인기인 ‘샛별-4형’ 및 ‘샛별-9형’ 등도 배치됐다. 공중조기경보통제기는 상대의 공중·지상 위협을 탐지하고 전장 상황을 통제하는 등 ‘하늘의 지휘소’로 불린다. 샛별-4형은 미국의 고고도 무인정찰기 ‘글로벌호크’, 샛별-9형은 미국의 공격용 무인기 ‘MQ-9’(리퍼)와 외형이 유사하다.
북한이 한·미가 압도적인 우위에 있는 공군력 강화를 위해 주력하는 것으로 평가된다. 특히 핵전력뿐 아니라 재래식 전력 증강에도 공을 들이는 모습이다. 이 과정에서 북한이 러시아의 지원을 받고 있다는 관측도 제기되고 있다. 이런 맥락에서 북한이 내년 초 제9차 당대회에서 재래식 무기 현대화 등 재래식 능력 강화와 관련한 메시지도 나올 것으로 전망된다. 김 위원장은 지난 9월 “당 9차 대회에서는 핵무력과 상용무력(재래식) 병진 정책을 제시하게 될 것”이라고 밝힌 바 있다.
이번 공군 창설 80주년 행사에는 김 위원장의 딸 주애도 동행했다. 북한 매체는 주애를 ‘존경하는 자제분’이라고 칭했다. 주애는 김 위원장처럼 검정 가죽 롱코트를 입고 나왔다. 주애의 활동이 공개된 건 지난 9월 초 김 위원장의 중국 방문 동행 이후 약 3개월 만이다.

쿠팡까지···취약한 국내 보안 실태 드러낸 ‘3대 패턴’ 또 반복 > 자료실

제작상담

쿠팡까지···취약한 국내 보안 실태 드러낸 ‘3대 패턴’ 또 반복

페이지 정보

본문