'쿠팡 정보유출' 인증키 방치 의혹...경찰 "수사 대상"

경찰, "유출 피의자 파악 중…모든 가능성 수사"
쿠팡 퇴사 중국인 유력…"유효 인증키 유지 의혹"
경찰 "서명키 범행 활용 여부도 수사 대상"

[앵커]
3천만 명이 넘는 쿠팡 고객들의 개인 정보가 유출되면서 파장이 커지고 있습니다.

쿠팡 내부망에 접근할 수 있는 인증키가 방치돼 범행이 가능했다는 의혹도 불거지는데, 경찰도 이를 들여다볼 것으로 보입니다.

취재기자 연결하겠습니다. 김이영 기자!

경찰 수사 상황 먼저 전해주시죠?

[기자]
경찰은 정보를 유출한 피의자가 누군지 모든 가능성을 열어두고 수사하고 있다고 밝혔습니다.

일단은 쿠팡을 퇴사한 중국인 직원이 유력한 용의 선상에 올라가 있는 상태인데요.

퇴사한 뒤에도 이 직원에게 발급된 '액세스 토큰의 서명키'가 폐기되지 않으면서 대규모 정보 유출이 가능했다는 분석이 나오고 있습니다.

경찰 관계자는 이에 대해 서명키가 실제로 범행에 활용됐는지 여부와 함께 평소 쿠팡의 토큰 서명키 관리 실태도 들여다볼 예정인데요.

'액세스 토큰 서명키'는 쿠팡 서버 내부 정보에 접근 권한을 주는 증명서를 만드는 비밀 암호입니다.

전문가들은 A 씨가 퇴사 이후에도 서명키가 유효하게 유지된 취약점을 이용해 정보를 빼돌렸을 가능성이 큰 것으로 보고 있습니다.

앞서 경찰은 지난달 21일 입건 전 조사에 착수한 지 4일 만에 쿠팡 측 고소장을 접수해 정식 수사로 전환했고, 지난달 28일 고소인 조사를 진행했습니다.

우선은 쿠팡으로부터 서버 로그 기록을 제출받아 분석하고 있는데, 양이 방대한 만큼 시간이 걸릴 것으로 보입니다.

경찰은 범행에 쓰인 IP도 추적하고 있는데요.

일부 고객들과 쿠팡 고객센터가 각각 받은 협박 메일도 누가 보냈는지 살펴보고 있습니다.

[앵커]
이번 유출은 14년 만의 최대 규모죠. 2차 피해는 없을까요?

[기자]
일단 현재까지 경찰이 접수한 2차 피해 신고는 없는 것으로 파악됐습니다.

다만 앞서 YTN 단독 보도로 전해드렸듯, 2차 피해로 의심되는 상황들은 있었는데요.

한 피해자는 유출 통지를 받고 이틀 만에 쿠팡 공식 이벤트라면서 유튜브 시청 등을 요구하는 연락이 왔지만, 고객센터에 확인하니 가짜였다고 설명했습니다.

정보가 처음 유출된 것으로 추정되는 지난 6월에도 비슷한 사례가 있었던 것으로 파악됐습니다.

앞서 지난달 16일에는 유출 피해 고객이 4천5백 명 정도로 알려졌는데, 알고 보니 3천370만 개 계정이 피해를 본 것으로 드러났죠.

이름과 전화번호, 배송지 주소, 이메일, 주문 정보 등 다양한 개인 정보가 빠져나간 만큼 2차 피해에 대한 우려도 계속 커지고 있습니다.

피해자들의 집단 소송 움직임도 본격화되고 있는데, 어제(1일) 첫 손해배상 청구 소장이 법원에 제출됐습니다.

경찰은 아직 다크웹상에 유통된 정보는 없는 것으로 보인다면서도 관련 모니터링을 계속하면서 2차 피해를 예방하기 위한 맞춤형 예방 활동도 병행하겠다고 밝혔습니다.

지금까지 사회부에서 YTN 김이영입니다.


YTN 김이영 (kimyy0820@ytn.co.kr)