경찰, '쿠팡 정보유출' 서버 로그 기록 분석 중...인증키 방치 논란

경찰, "유출 피의자 파악 중…모든 가능성 열어둬"
쿠팡 퇴사한 중국인 유력…"유효 인증키 유지 의혹"
서명키, 내부 접근 권한 증명서 만드는 비밀암호

[앵커]
3천만 명이 넘는 쿠팡 고객들의 개인 정보가 유출되면서 파장이 커지고 있습니다.

경찰이 용의자 파악에 수사력을 모으는 가운데, 내부망 접근이 가능한 인증키가 방치돼 범행이 가능했다는 의혹도 불거지고 있습니다.

취재기자 연결하겠습니다. 김이영 기자!

경찰 수사는 어떻게 진행되고 있죠?

[기자]
경찰은 정보를 유출한 피의자가 누군지 모든 가능성을 열어두고 수사하고 있다고 밝혔습니다.

일단은 쿠팡을 퇴사한 중국인 직원이 유력한 용의 선상에 올라가 있는 상태인데요.

퇴사한 뒤에도 이 직원에게 발급된 '액세스 토큰의 서명키'가 폐기되지 않으면서 대규모 정보 유출이 가능했다는 분석이 나오고 있습니다.

'액세스 토큰 서명키'는 쿠팡 서버 내부 정보에 접근 권한을 부여하는 증명서를 만드는 비밀 암호입니다.

전문가들은 A 씨가 퇴사 이후에도 서명키가 유효하게 유지된 취약점을 이용해 정보를 빼돌렸을 가능성이 큰 것으로 보고 있습니다.

앞서 경찰은 지난달 21일 입건 전 조사에 착수한 지 4일 만에 쿠팡 측 고소장을 접수해 정식 수사로 전환했고, 지난달 28일 고소인 조사를 진행했습니다.

우선은 쿠팡으로부터 서버 로그 기록을 제출받아 분석하고 있는데, 양이 방대한 만큼 시간이 걸릴 것으로 보입니다.

경찰은 범행에 쓰인 IP도 추적하고 있는데요.

경찰은 일부 고객들과 쿠팡 고객센터가 각각 받은 협박 메일과 관련해서도 발신인이 누군지 살펴보고 있습니다.

경찰은 향후 유출 과정과 피해 범위뿐 아니라 쿠팡 시스템의 기술적 취약점 등도 규명할 계획이라고 밝혔습니다.

[앵커]
이번 사태는 14년 만의 최대 유출 규모로 파악됐는데요. 2차 피해도 우려될 것 같습니다.

[기자]
일단 현재까지 경찰이 접수한 2차 피해 신고는 없는 것으로 파악됐습니다.

다만 앞서 YTN 단독 보도로 전해드렸듯, 2차 피해로 의심되는 상황들은 있었는데요.

한 피해자는 유출 통지를 받고 이틀 만에 쿠팡 공식 이벤트라면서 유튜브 시청 등을 요구하는 연락이 왔지만, 고객센터에 확인하니 가짜였다고 설명했습니다.

정보가 처음 유출된 것으로 추정되는 지난 6월에도 비슷한 사례가 있었던 것으로 파악됐습니다.

앞서 지난달 16일 유출 피해 고객은 4천5백 명 정도로 알려졌는데, 알고 보니 3천370만 개 계정이 피해를 본 것으로 드러났죠.

이름과 전화번호, 배송지 주소, 이메일, 주문 정보 등 다양한 개인 정보가 빠져나간 만큼 2차 피해에 대한 우려도 계속 커지고 있습니다.

피해자들의 집단 소송 움직임도 본격화되고 있는데, 어제(1일) 첫 손해배상 청구 소장이 법원에 제출됐습니다.

경찰은 아직 다크웹 상에 유통된 정보는 없는 것으로 보인다면서도 관련 모니터링을 계속하는 동시에 2차 피해 범죄를 예방하기 위한 맞춤형 예방 활동도 병행하겠다고 밝혔습니다.

지금까지 사회부에서 YTN 김이영입니다.


YTN 김이영 (kimyy0820@ytn.co.kr)