'쿠팡 정보유출' 인증키 방치 논란...경찰 "수사 대상"

경찰, "유출 피의자 파악 중…모든 가능성 수사"
쿠팡 퇴사 중국인 유력…"유효 인증키 유지 의혹"
정부 "공격자가 쿠팡 서명키 악용해 정보 유출"

[앵커]
3천만 명이 넘는 쿠팡 고객들의 개인 정보가 유출되면서 파장이 커지고 있죠.

오늘 국회 긴급현안질의에서 정부는 쿠팡 내부망에 접근 가능한 인증키가 범행에 악용됐다고 밝혔는데요.

경찰도 이를 들여다볼 것으로 보입니다.

취재기자 연결하겠습니다. 김이영 기자!

경찰 수사 진행 상황부터 전해주시죠?

[기자]
경찰은 정보를 유출한 피의자가 누군지 밝히기 위해 모든 가능성을 열어두고 수사하고 있다고 밝혔습니다.

일단은 쿠팡을 퇴사한 중국인 직원이 유력한 용의 선상에 올라가 있는 상태인데요.

퇴사한 뒤에도 이 직원에게 발급된 '액세스 토큰의 서명키'가 폐기되지 않으면서 대규모 정보 유출이 가능했다는 분석이 나오고 있습니다.

류제명 과기부 2차관은 오늘 국회에서 진행된 긴급현안질의에서 공격자가 쿠팡 서버 접속에 필요한 서명키를 악용해 범행을 저질렀다고 밝혔는데요.

이와 관련해 경찰 관계자는 서명키가 실제로 범행에 활용됐는지 여부와 함께 평소 쿠팡의 토큰 서명키 관리 실태도 들여다볼 예정이라고 밝혔습니다.

'액세스 토큰 서명키'는 쿠팡 서버 내부 정보에 접근 권한을 주는 증명서를 만드는 비밀 암호입니다.

앞서 경찰은 지난달 25일 쿠팡 측 고소장을 접수해 유출 경위 수사에 착수했습니다.

우선은 쿠팡으로부터 서버 로그 기록을 제출받아 분석하고 있는데, 양이 방대한 만큼 시간이 걸릴 것으로 보입니다.

경찰은 또 범행에 쓰인 IP를 추적하고, 일부 고객들과 쿠팡 고객센터가 각각 받은 협박 메일도 누가 보냈는지 살펴보고 있습니다.

[앵커]
이번 유출로 인한 2차 피해는 없을까요?

[기자]
일단 현재까지 경찰이 접수한 2차 피해 신고는 없는 것으로 파악됐습니다.

다만 앞서 YTN 단독 보도로 전해드렸듯, 2차 피해로 의심되는 상황들은 있었는데요.

한 피해자는 유출 통지를 받고 이틀 만에 쿠팡 공식 이벤트라면서 유튜브 시청 등을 요구하는 연락이 왔지만, 고객센터에 확인하니 가짜였다고 설명했습니다.

정보가 처음 유출된 것으로 추정되는 지난 6월에도 비슷한 사례가 있었던 것으로 파악됐습니다.

앞서 지난달 16일에는 유출 피해 고객이 4천5백 명 정도로 알려졌는데, 알고 보니 3천370만 개 계정이 피해를 본 것으로 드러났죠.

이름과 전화번호, 배송지 주소, 이메일, 주문 정보 등 다양한 개인 정보가 빠져나간 만큼 2차 피해에 대한 우려도 커지고 있습니다.

피해자들의 집단 소송 움직임도 본격화되고 있는데, 어제(1일) 첫 손해배상 청구 소장이 법원에 제출됐습니다.

경찰은 아직 다크웹상에 유통된 정보는 없는 것으로 보인다면서도 관련 모니터링을 계속하면서 2차 피해를 예방하기 위한 맞춤형 예방 활동도 병행하겠다고 밝혔습니다.

지금까지 사회부에서 YTN 김이영입니다.


YTN 김이영 (kimyy0820@ytn.co.kr)