(주)에이치에스해성

일반 직원에게 ‘마스터키’가 있었다?…쿠팡은 뭘 감추고 있나

페이지 정보

작성자 또또링
댓글 0건 조회 57회 작성일 25-12-08 01:29

본문

3370만명의 이름·주소·전화번호가 유출된 쿠팡 사태의 핵심은 ‘서버 출입 마스터키’에 해당하는 서명키 접근 구조다. 쿠팡은 탈취당한 서명키가 악용된 사실은 인정했지만, 정작 이 서명키를 그간 어떻게 관리해왔는지는 밝히지 않고 있다. 아무나 손대서는 안 되는 ‘마스터키’가 어떻게 일반 직원 손에 넘어갔는지를 밝혀야 쿠팡의 보안 소홀 책임이 명확해질 것으로 보인다.
3일 정보기술(IT) 업계에 따르면 쿠팡 내부의 ‘서명키’ 보안에 어떻게 구멍이 뚫렸는지가 ‘쿠팡 미스터리’를 풀 실마리 중 하나로 거론되고 있다.
전날부터 이틀간 국회 과학기술방송통신위원회·정무위원회가 연 긴급 현안질의에 출석한 쿠팡 박대준 대표, 브랫 매티스 최고정보보호책임자(CISO)의 말을 종합하면 지금까지 드러난 사실은 이렇다. 유출 사태를 일으킨 것으로 추정되는 직원 A씨는 인증 시스템 개발자였으며, 지난해 12월 퇴직한 뒤 올해 6월부터 ‘고객’으로 가장해 시스템에 접속, 개인정보를 대량 수집했다. 이 과정에서 A씨는 서명키로 가짜 토큰을 생성했는데, 토큰이 있으면 아이디·비밀번호 입력 없이도 로그인이 가능하다. A씨는 퇴사 전 이 서명키를 확보했던 것으로 보인다.
문제는 서명키가 민감한 보안 자산이라는 점이다. 전 고객의 개인정보가 담긴 ‘방’에 자유롭게 드나들게 해주는 ‘마스터키’와 같은 역할을 하기 때문이다. 김승주 고려대 정보보호대학원 교수는 “서명키는 HSM(Hardware Security Module)과 같은 하드웨어 보안장치에 보관해야 하고, 개발자를 포함한 누구도 이 장치 밖으로 키를 추출할 수 없어야 한다”며 “그럼에도 불구하고 어떻게 키 탈취가 가능했는지가 규명돼야 한다”고 말했다.
사태 초기에는 퇴사자 발생 후 서명키를 교체하지 않은 점에 초점이 맞춰졌으나 진짜 문제는 일반 직원이 이 서명키에 접근할 수 있었다는 사실 그 자체에 있다는 얘기다. 쿠팡의 박 대표는 국회 현안질의에서 서명키 입수 경로와 관련해 “어떻게 입수했는지 알 수 없다”고 말했다.
박 대표는 “(서명키 등으로) 고객정보 전체를 볼 수 있는 사람이 몇 사람이냐 되느냐”(강민국 국민의힘 의원)는 질문에는 “예외적으로 승인돼 있고 저도 그런 접근권은 갖고 있지 않다”고 말했다. 법인 대표에게도 없는 ‘마스터키’ 접근 권한이 일반 직원에게 있었다는 얘기가 된다.
5개월간 이어진 대규모 유출을 전혀 탐지하지 못한 것도 문제다. 정보 유출은 올해 6월24일부터 지난달 8일까지 이어졌으나, 쿠팡은 같은 달 18일 “정보가 유출된 것 같다”는 고객 민원을 받고서야 이 사실을 알게 됐다.
쿠팡은 그간 이상징후를 탐지하지 못한 이유에 대해 “공격자가 여러 개의 IP 주소를 사용했다”(매티스 CISO)고 말하지만 이 설명만으로는 납득하기 어렵다는 평가가 나온다. 휴면·탈퇴 계정 정보도 유출됐기 때문에 해당 계정에 대한 대량의 로그인 징후가 이어졌을 가능성이 크기 때문이다.
쿠팡은 정보가 유출된 휴면·탈퇴 계정 규모를 밝히지 않고 있으나 3분기 활성 고객 규모(2470만명)와 유출 규모의 차이(약 900만명)를 고려하면 수백만개에 달할 것으로 추정된다. 김 교수는 “탈퇴 계정에서 계속 접속이 들어오면 이상하게 여겨야 하는데 왜 탐지를 못했는지 의문”이라고 말했다.
이날 정무위 현안질의에서는 쿠팡이 2021년과 지난해 받은 ISMS-P(정보보호 및 개인정보보호 관리체계 인증)를 취소해야 한다는 지적이 잇따랐다. ISMS-P에는 암호키(서명키) 접근 통제, 퇴직자의 정보 접근 제한 등의 내용이 담겨 있다. 한창민 사회민주당 의원은 “ISMS-P 기준을 지키지 않은 쿠팡은 첫 ‘인증 취소’ 기업이 돼야 한다”며 “아울러 과거 과징금 사례를 보면 ISMS-P 인증을 받았다는 이유로 50%씩 감면을 해주었는데 이러한 제도도 바꿔야 한다”고 말했다.
지난 4일 서울지역에 내린 올겨울 첫눈. 거리는 삽시간에 내린 눈발로 인해 퇴근길이 대혼란에 빠졌다. 밖에 나가기 힘든 날씨다 보니 집에서 배달음식 등을 시키는 주문이 폭주했다. 그리고 이날 ‘배달 대란’은 밤새 벌어졌다. 여기저기서 배달오토바이는 쓰려졌고 바퀴는 헛돌았다. 음식을 제 때 배달하지 못해 고객 불만은 터져나왔고 라이더들의 입은 바짝 탔다. 눈길에 한 끝이면 생명을 잃을 수도 있는 아찔한 순간이 연거푸 벌어졌지만 배달플랫폼 앱에선 ‘악천후 프로모션’ 불빛이 계속 들어왔다. ‘배달해서 대목을 잡으라’는 불빛이었지만 라이더들의 입맛은 달지만은 않았다.
지난 4일 퇴근 시간인 6시 무렵부터 내린 눈은 금세 쌓였다. 퇴근하러 나온 시민들로 서울 도심은 아수라장이 됐다. 곳곳에서 교통사고가 이어졌다. ‘교통 지옥’이라는 말이 절로 나왔다.
시민들이 눈을 피해 발걸음을 재촉하던 그때 배달라이더들은 눈을 뚫고 도로를 누비고 있었다. 라이더들은 갑작스러운 눈에도 ‘일터’인 거리를 지켰다. 눈이 쌓이기 시작한 퇴근 무렵은 배달 주문이 많은 저녁식사 ‘피크 시간대’다. 실제 서울지역 라이더 300여명 가량이 참여한 단체 대화방에선 눈을 뚫고 배달에 나선 라이더들의 ‘인증샷’이 이어졌다. 일부 라이더들은 눈 쌓인 아스팔트를 엉거주춤 기어다니는 차들 사이로 누군가의 저녁식사를 들고 뛰었다. 넘어지거나 미끄러지는 등 아찔한 순간들이 이어졌다.
단체 대화방의 한 참가자는 “슬슬 제꿍(제자리에서 ‘꿍’ 하고 넘어졌다는 오토바이 운전자들의 은어)이 나온다”며 한 오토바이 운전자가 도로에서 미끄러지는 사진을 올렸다. 라이더들은 연이어 “엄청 미끄러워 조심해야 한다” “도보(걸어서 배송)도 너무 힘들다” “네발로 기어 다녀야 한다”는 등 도로 상황을 시시각각 전했다.
오후 7시가 넘어가자 서울 도로 곳곳은 발이 푹푹 빠질 정도로 눈이 쌓였다. 제설작업이 폭설을 따라잡지 못했다. 라이더들은 “도로가 너무 미끄럽다”면서도 일을 멈추지 않았다. 한 라이더는 단체 대화방에 “무서운 분들은 얼른 들어가라, 이런 날은 저 같은 ‘초고수’만 일해 80(만원) 찍는 날”이라고 올리기도 했다. 주요 배달 플랫폼들이 도로 상황이 좋지 않은 날 운임에 추가 인센티브를 부여하니 그걸 노리겠다는 것이다.
5일 오토바이를 이용해 정수기 점검 업무를 다니던 A씨는 경향신문과 만나 “저는 (도로 상황 때문에) 오늘 오전에도 고객들에게 양해를 구해 일을 미뤘다”며 “어제(4일)는 정말 위험했다. (라이더들이) 넘어지는 것도 많이 봤다”고 말했다.
하지만 배달 라이더들은 폭우·폭설 등 위험한 교통상황에도 ‘악천후 인센티브’ 때문에 도로에 나선다. 지난 10월에는 폭설 등 악천후에도 인센티브로 운전대를 놓지 못하는 라이더들의 상황이 배달 플랫폼 노동자들의 산업재해 위험으로 이어지고 있다는 연구 결과가 발표됐다.
단체 대화방 뿐 아니라 온라인 커뮤니티에서도 전날 눈을 헤치며 배달에 나선 라이더들의 경험담이 잇따라 올라왔다. 내린 눈이 오토바이 전면 유리에 쌓여 앞이 잘 보이지 않는다며 찍은 사진들도 많았다. “배달이 늦을까 음식을 들고 도보로 뛰었다”며 인증샷을 올리는 라이더들도 있었다. 한 라이더는 “고객님 조금만 기다려달라”는 제목으로 피자를 들고 뛰는 사진을 찍어 올렸고, 다른 라이더도 “위기를 기회로”라며 배달음식을 들고 뛰는 사진을 올렸다.
이 같은 라이더들의 경험담은 ‘눈 오는 날 배달 주문’을 둔 갑론을박으로도 이어졌다. 일부 라이더들은 “이런 날엔 주문 자체가 별로 없어 그냥 쉬는게 낫다”고 하기도 했지만 한편에선 “오히려 이럴 때 일해야 돈을 벌 수 있다” “(배달) 고수들은 이런 날 일해 돈을 번다”는 글도 올라왔다.
악천후와 도로 상황으로 지연 배달이 이어지자 배달 플랫폼에 환불·주문취소를 요구하려 했지만 고객센터 전화가 폭주해 연결이 되지 않았다고 불만을 토로하는 이용자들의 반응도 있었다.
악천후 배달음식 주문·배달 지연에 대한 논쟁도 벌어졌다. “곱창을 주문했는데 (배달이) 한시간 반 걸렸지만 그냥 감사하게 먹었다” 등 라이더들 상황을 배려하자는 반응도 여럿 올라왔다. “이 날씨에 시키는 게 안 미안하나?” “인간적으로 언덕 살면 눈 올때 배달 시키지 말라” 등 주문을 자제해야 한다는 얘기도 나왔다. 그러나 “배달 안 시키면 도리어 저 분들 돈 못 버는것 아니냐” “저게 생업인데 미안하고 말고 할 게 어디있냐”는 반론도 나왔다.
김문성 배달플랫폼노조 조직실장은 “한 조합원은 눈이 내리기 전 경사가 높은 대학에 올라갔다가 눈이 쌓여 고립되기도 했고, 다른 조합원은 이면도로에서 넘어져 어깨 등을 다쳤다”고 전했다. 김 실장은 “현장에서는 ‘큰일나겠다’ 싶어 집으로 돌아가는데도 플랫폼에서는 프로모션 금액을 뿌린다”며 “가맹점에 배달을 약속한 기업 입장에서는 당연한 일인데, 악천후 운행을 기업에게만 맡겨둘 일은 아니다”라고 했다. 그러면서 “기상특보 등이 발동되면 이륜차 운행 종사자들의 배차 중지 권고 등 악천후 특수고용노동자들에게도 일종의 ‘작업 중지권’이 필요하다”며 “이런 상황에도 계속 일을 하라고 독려하며 프로모션을 뿌리는 게 맞는지 우리 사회가 고민해 볼 필요가 있다”고 덧붙였다.

이전글한국, ‘유니콘 기업’ 13개로 세계 11위…코로나 팬데믹 이후 2개 증가에 그쳐 25.12.08
다음글‘퀴어’ 당사자들의 존재 그 자체를 무대로…‘DRAGx남장신사’ [플랫] 25.12.08

댓글목록

등록된 댓글이 없습니다.

고객지원체계적인 경영 및 전사적 품질 혁신으로 고객 감동을 실현하겠습니다.

일반 직원에게 ‘마스터키’가 있었다?…쿠팡은 뭘 감추고 있나

페이지 정보

본문

댓글목록

고객지원
체계적인 경영 및 전사적 품질 혁신으로 고객 감동을 실현하겠습니다.