네이버 웹사이트 상위노출 일반 직원에게 ‘마스터키’가 있었다?…쿠팡은 뭘 감추고 있나 > 자유게시판

네이버 웹사이트 상위노출 일반 직원에게 ‘마스터키’가 있었다?…쿠팡은 뭘 감추고 있나

페이지 정보

작성자 또또링2
댓글 0건 조회 73회 작성일 25-12-05 00:04

본문

네이버 웹사이트 상위노출 3370만명의 이름·주소·전화번호가 유출된 쿠팡 사태의 핵심은 ‘서버 출입 마스터키’에 해당하는 서명키 접근 구조다. 쿠팡은 탈취당한 서명키가 악용된 사실은 인정했지만, 정작 이 서명키를 그간 어떻게 관리해왔는지는 밝히지 않고 있다. 아무나 손대서는 안 되는 ‘마스터키’가 어떻게 일반 직원 손에 넘어갔는지를 밝혀야 쿠팡의 보안 소홀 책임이 명확해질 것으로 보인다.
3일 정보기술(IT) 업계에 따르면 쿠팡 내부의 ‘서명키’ 보안에 어떻게 구멍이 뚫렸는지가 ‘쿠팡 미스터리’를 풀 실마리 중 하나로 거론되고 있다.
전날부터 이틀간 국회 과학기술방송통신위원회·정무위원회가 연 긴급 현안질의에 출석한 쿠팡 박대준 대표, 브랫 매티스 최고정보보호책임자(CISO)의 말을 종합하면 지금까지 드러난 사실은 이렇다. 유출 사태를 일으킨 것으로 추정되는 직원 A씨는 인증 시스템 개발자였으며, 지난해 12월 퇴직한 뒤 올해 6월부터 ‘고객’으로 가장해 시스템에 접속, 개인정보를 대량 수집했다. 이 과정에서 A씨는 서명키로 가짜 토큰을 생성했는데, 토큰이 있으면 아이디·비밀번호 입력 없이도 로그인이 가능하다. A씨는 퇴사 전 이 서명키를 확보했던 것으로 보인다.
문제는 서명키가 민감한 보안 자산이라는 점이다. 전 고객의 개인정보가 담긴 ‘방’에 자유롭게 드나들게 해주는 ‘마스터키’와 같은 역할을 하기 때문이다. 김승주 고려대 정보보호대학원 교수는 “서명키는 HSM(Hardware Security Module)과 같은 하드웨어 보안장치에 보관해야 하고, 개발자를 포함한 누구도 이 장치 밖으로 키를 추출할 수 없어야 한다”며 “그럼에도 불구하고 어떻게 키 탈취가 가능했는지가 규명돼야 한다”고 말했다.
사태 초기에는 퇴사자 발생 후 서명키를 교체하지 않은 점에 초점이 맞춰졌으나 진짜 문제는 일반 직원이 이 서명키에 접근할 수 있었다는 사실 그 자체에 있다는 얘기다. 쿠팡의 박 대표는 국회 현안질의에서 서명키 입수 경로와 관련해 “어떻게 입수했는지 알 수 없다”고 말했다.
박 대표는 “(서명키 등으로) 고객정보 전체를 볼 수 있는 사람이 몇 사람이냐 되느냐”(강민국 국민의힘 의원)는 질문에는 “예외적으로 승인돼 있고 저도 그런 접근권은 갖고 있지 않다”고 말했다. 법인 대표에게도 없는 ‘마스터키’ 접근 권한이 일반 직원에게 있었다는 얘기가 된다.
5개월간 이어진 대규모 유출을 전혀 탐지하지 못한 것도 문제다. 정보 유출은 올해 6월24일부터 지난달 8일까지 이어졌으나, 쿠팡은 같은 달 18일 “정보가 유출된 것 같다”는 고객 민원을 받고서야 이 사실을 알게 됐다.
쿠팡은 그간 이상징후를 탐지하지 못한 이유에 대해 “공격자가 여러 개의 IP 주소를 사용했다”(매티스 CISO)고 말하지만 이 설명만으로는 납득하기 어렵다는 평가가 나온다. 휴면·탈퇴 계정 정보도 유출됐기 때문에 해당 계정에 대한 대량의 로그인 징후가 이어졌을 가능성이 크기 때문이다.
쿠팡은 정보가 유출된 휴면·탈퇴 계정 규모를 밝히지 않고 있으나 3분기 활성 고객 규모(2470만명)와 유출 규모의 차이(약 900만명)를 고려하면 수백만개에 달할 것으로 추정된다. 김 교수는 “탈퇴 계정에서 계속 접속이 들어오면 이상하게 여겨야 하는데 왜 탐지를 못했는지 의문”이라고 말했다.
이날 정무위 현안질의에서는 쿠팡이 2021년과 지난해 받은 ISMS-P(정보보호 및 개인정보보호 관리체계 인증)를 취소해야 한다는 지적이 잇따랐다. ISMS-P에는 암호키(서명키) 접근 통제, 퇴직자의 정보 접근 제한 등의 내용이 담겨 있다. 한창민 사회민주당 의원은 “ISMS-P 기준을 지키지 않은 쿠팡은 첫 ‘인증 취소’ 기업이 돼야 한다”며 “아울러 과거 과징금 사례를 보면 ISMS-P 인증을 받았다는 이유로 50%씩 감면을 해주었는데 이러한 제도도 바꿔야 한다”고 말했다.
도널드 트럼프 미국 대통령이 온두라스 대선에서 자신이 지지하는 후보에게 투표하라고 주장한 데 이어 개표 과정에 부정이 있는 것 같다는 근거 없는 주장을 펼쳤다. 전문가들은 “미국은 지난 수십년간 전 세계 선거에 은밀히 개입해왔다”며 “그러나 트럼프만큼 노골적으로 개입한 대통령은 없었다”고 지적했다.
트럼프 대통령은 1일(현지시간) 소셜미디어에 온두라스 선거관리위원회가 전날 자정에 개표를 중단한 사실을 전하며 “대선 결과를 바꾸려 하는 것 같다. 만약 그렇게 한다면 엄청난 대가를 치르게 될 것”이라는 글을 올렸다.
온두라스 선관위에 따르면 전날 치러진 대선 예비 개표 결과 개표율 57.03% 기준 우파 국민당의 나스리 아스푸라 후보가 득표율 39.91%(74만9022표)로 1위를 달리고 있고, 중도 자유당의 살바도르 나스랄라 후보는 39.89%(74만8507표)로 뒤쫓고 있다. 선관위는 개표 중단에 대해 시스템이 고장 나 집계가 잠시 중단된 것이며 수작업 개표가 끝날 때까지 인내심을 가져달라고 밝혔다.
두 후보의 득표율 차이가 작은 상황에서 트럼프 대통령이 부정선거 의혹을 제기함에 따라 아스푸라 후보가 패배할 경우 선거 결과에 대한 불복 사태가 빚어질 가능성도 배제할 수 없게 됐다.
인구 약 1100만명인 온두라스의 대선은 트럼프 대통령이 지난달 26일 소셜미디어에 온두라스 국민은 아스푸라 후보를 뽑길 바란다는 글을 올리면서 세계의 주목을 받게 됐다. 또 트럼프 대통령은 마약 밀매 혐의로 징역 45년을 선고받고 미국에서 복역 중인 후안 오를란도 에르난데스 전 온두라스 대통령을 사면한다고 밝혔다. 에르난데스 전 대통령은 아스푸라 후보와 같은 정당 출신이다.
트럼프 대통령의 지지 선언 이후 아스푸라 후보는 당시 1위였던 나스랄라 후보를 따라잡는 데 성공했다.
트럼프 대통령이 다른 나라 선거에 개입한 사례는 온두라스만이 아니다. 지난 10월 아르헨티나 중간선거 당시 트럼프 대통령은 하비에르 밀레이 아르헨티나 대통령의 정당인 자유전진당이 승리하지 않으면 아르헨티나와 체결한 200억달러(약 29조원) 통화스와프 계약을 이행하지 않겠다고 했다. 야당에 밀리던 자유전진당은 트럼프 대통령의 발언 이후 반전을 이뤄내고 압승했다.
지난 6월 폴란드 대선에서는 크리스티 놈 미 국토안보장관이 극우 정당 후보였던 카롤 나브로츠키 후보를 공개 지지했다. 트럼프 대통령도 나브로츠키 후보를 백악관에 초청하며 힘을 실어줬다.
미국의 해외 선거 개입이 새삼스러운 일은 아니다. 정치학자 도브 레빈은 2021년 저서에서 미국이 2차 세계대전 이후 80차례 이상 해외 선거에 개입해왔다고 분석했다. 하지만 전문가들은 과거에는 중앙정보국(CIA)이 은밀히 공작했다면 트럼프 대통령은 소셜미디어에서 ‘내 친구’를 지지하라고 말한다는 점이 다르다고 지적한다.
윌 프리먼 외교관계위원회 라틴아메리카 연구원은 트럼프 대통령의 선거 개입은 “이미 (전 세계적으로) 세력을 얻고 있는 우경화 추세를 강화하려는 지속적인 시도”라고 AFP에 말했다.
토머스 캐러더스 카네기국제평화재단 연구원은 트럼프 대통령과 비슷한 선거 개입 전술을 쓰고 있는 나라는 “러시아 정도일 것”이라고 지적했다.
지난해 12월3일 불법계엄 이후 수많은 일이 기록으로 남았다. 윤석열 전 대통령의 계엄령 선포와 국회의 계엄 해제 요구 결의안 의결, 그리고 대통령 탄핵소추안 가결에 이은 헌법재판소의 탄핵 결정까지 굵직한 사건들은 모두 언론 등이 기록했다.
이런 큰 사건만 기록으로 남길 가치가 있는 것일까. 시민들이 계엄 사태 이후 보고 듣고 겪은 ‘작은’ 일들은 어디에 기록됐을까. 다행히 소소한 부분까지 놓치지 않고 역사의 한 부분으로 기록하는 사람들이 있었다.
시민 29명이 만든 ‘1203 비상계엄 아카이브’는 12·3 불법계엄 사태가 발생한 다음 날부터 윤 전 대통령 탄핵까지 국회·정당·집회·유튜브 영상·성명서 등을 아카이빙해왔다. ‘민주주의 수호를 위한 기록과 정보·문화 연구모임’이 “내란 세력에 맞선 사람들의 다양한 기록을 모아 민주 사회의 역사적 지표로 삼겠다”며 만들었다. 본업이 따로 있는 29명의 아키비스트(Archivist·기록하는 사람)가 ‘가욋일’로 기록을 모았다. 3일까지 꼭 1년간 기록 총 3787건이 저장됐다. 아키비스트 들은 직접 집회·시민 활동에 참여해 집회 깃발, 시민들의 모습을 기록으로 남겼다. 국회에서 의원들의 활동 뿐 아니라 보좌진, 취재진의 모습도 풍부하게 담았다. 지식인들의 성명서뿐 아니라 일반 시민들이 만든 ‘밈’도 수집 범위에 들어갔다. 이 밖에 인터넷 공론장이던 시사 유튜브, 한국·해외 언론 보도 등도 수집했다.
‘1203 아카이브’를 총괄해 온 김태현씨(56)·박태선씨(37), 운영진 이재윤씨(30)·민현창씨(31)를 지난 2일 서울 여의도 국회에서 만났다. 이들은 “정의로운 일을 했던 시민들의 ‘증거’를 남기는 일이었다”며 “각자의 방식으로 투쟁하던 시민들이 잘 기억되길 바란다”고 말했다.
아카이브에는 정치적 콘텐츠를 전혀 올리지 않던 고양이 유튜버, 뜨개질 유튜버, K팝 팬 유튜버가 탄핵 집회에 참여하고 영상을 올린 기록도 저장돼 있다. 김씨는 “일상적 콘텐츠를 다루던 유튜버의 일상이 ‘탄핵 집회’가 됐던 것”이라며 “정치를 정상화해야 일상을 제자리로 돌려놓을 수 있다고 생각했던 것 같다”고 말했다. ‘2차 계엄설’이 돌던 지난해 12월6일 서울 지하철 국회의사당역에서 시민들이 ‘국회를 지키겠다’며 밤을 새우던 모습도 있다. 이씨는 “김밥을 나눠주고, 담요를 덮고 추워하면서도 시민들은 자리를 지켰다”며 “아카이브를 돌이켜보면 비상계엄이라는 행위 자체가 아니라 이로 인한 피해를 본 사람들, 저항하는 사람들의 목소리가 기록으로 남아있는 것 같다”고 말했다.
시민이 직접 남긴 ‘12월3일의 기억’도 저장돼 있다. 지난 2월 민주당 대표였던 이재명 대통령이 한 시사 유튜브 채널에 출연했을 때는 12·3 당일 국회로 달려갔던 사람들이 댓글에 줄줄이 경험을 올렸다. “강원도 횡성에서 항암 치료를 받고 있는데 여의도로 차를 몰고 갔다” “통장 비밀번호와 ‘국회의사당에 다녀올게 여보, 아침 출근 잘해’라는 메모를 남겨두고 청주에서 국회의사당으로 갔다”는 등 댓글이 아카이브에 수집돼 있다. 박씨는 “시민 기록이 유독 많았던 것은 ‘전 국민’이 피해자였기 때문”이라며 “각자의 피해를 말하고, 회복하기 위해 기록을 남긴 것 같다”고 말했다.
시민 활동 기록을 담당한 민씨는 “박근혜 탄핵 이후 문재인 정부가 들어섰을 때 시민단체에 ‘박근혜 때는 가만히 있다가 왜 이제야 싸우냐’며 왜곡하는 목소리가 컸다”며 “그들의 활동을 기억하기 위한 도구가 됐으면 좋겠다고 생각하며 기록을 남겼다”고 말했다. 박씨도 “기록을 남긴다는 것은 ‘주체와 관점’에 따라 권력을 쥐여주는 일이라고 느낀다”며 “시민들의 행동을 기록하고, 역사적 지표로 삼겠다는 것 자체가 시민에게 권력을 주는 일이었다”고 말했다.
이들은 비상계엄 사태에 대한 기록 작업에 적극적으로 나선 기관은 ‘국회’ 뿐이었다는 점이 아쉽다고 말했다. 국회의장실 기록비서관으로 일하는 박씨와 이씨에 따르면, 국회 사무처는 계엄군이 비상계엄 당일 깼던 창문 등을 ‘미술품 수준’으로 현장 보존해 3일 공개했다. 계엄군이 두고 간 탄창, 각종 사진 등 기록도 보존하고 있다. 하지만 국가기록원·민주화운동사업회 등에서는 비상계엄 사태 관련 아카이빙에 적극적으로 나서지 않았다. 김씨는 “현장에서 사진과 영상을 기록한 언론은 있지만, 이는 ‘공적인 기록’이 아니다”며 “시민이 역사의 주인이라고 하지만, 역사적 기록의 주인이 되려면 국가기관에서도 적극적으로 기록을 남겼어야 했다”고 말했다.
김씨는 “국가기록청을 만들어서 시민들의 아카이빙 활동을 지속해서 지원해야 한다”고 말했다. ‘1203 아카이브’에서도 서부지법 사태, 각 대학에서 있었던 시국선언과 이후 탄핵반대 집회 등을 기록하는 데는 한계가 있었다고 봤다. 김씨는 “특히 대학 사회는 학생회가 1년 단위로 바뀌고, 학생들도 졸업하는 등 급격하게 변하는 특징이 있어 기록이 빠르게 소실되고 있다”며 “사라지는 기억을 붙잡기 위해 정부 차원의 지원이 필요하다”고 말했다.

이전글분당성추행변호사 포스코퓨처엠, 미 팩토리얼과 ‘전고체 배터리’ 기술 개발 협약 25.12.05
다음글이혼전문변호사 서울탐정사무소 25.12.05

댓글목록

등록된 댓글이 없습니다.

제휴문의

페이지 정보

본문

댓글목록