쿠팡 "퇴사 中직원은 인증 시스템 개발자"…해고 앙심에 정보유출 의혹(종합)

국회 과방위 현안질의서 가능성 제기
이메일로 "취약점 폭로할 것"…금전 요구는 안해
쿠팡 CISO "범행동기 섣불리 추정할 순 없어"
퇴직자 권한 리셋 등 내부 관리소홀 무게

3370만건에 달하는 쿠팡의 고객 정보를 유출한 용의자로 중국 국적의 퇴사한 전 직원이 지목되는 가운데, 해당 직원이 해고에 대한 앙심을 품고 이 같은 범행을 시도했을 가능성이 제기된다. 다만 용의자로 지목된 이 직원이 수개월에 걸쳐 고객 정보를 대규모로 탈취한 뒤 금전을 요구하는 등의 별다른 요구가 없다는 사실이 알려지면서 구체적인 범행 동기에 대한 의문은 해소되지 않은 상황이다.

박대준 쿠팡 대표(왼쪽)가 2일 국회 과학기술정보방송통신위원회 전체회의에서 열린 현안질의에 출석해 질의에 답하고 있다. 오른쪽은 브랫 매티스 쿠팡 최고정보보안책임자(CISO). 김현민 기자

브랫 매티스 쿠팡 최고정보보안책임자(CISO)는 2일 국회 과학기술정보방송통신위원회의 현안 질의에서 '퇴직 직원이 해고된 데 앙심을 품고 범행했을 가능성이 있느냐'는 국민의힘 신성범 의원의 질의에 "만약을 가정한다면 그럴 가능성도 있다"면서도 "현재 경찰 조사가 진행 중이라 (범행) 동기를 마음대로 추정할 수는 없다"며 조심스러운 입장을 보였다.

퇴사한 직원의 근무 역할과 이력에 대한 신 의원의 질의에 박대준 쿠팡 대표는 "(해당 직원은) 인증업무 담당이 아니라 인증 시스템을 개발하는 개발자였다"며 "추정되는 인물이 맞다면 지난해 12월 회사를 떠났고, 퇴직 후 권한은 말소했다"고 설명했다. 다만 '공격자로 추정되는 자가 복수인가, 단수인가'라는 노종면 더불어민주당 의원의 질문에는 "단수나 복수라고 단정할 수는 없다"고 답하면서 "혼자 일하는 개발자는 없고 여러 인원으로 구성된 개발팀이 여러 역할을 갖고 팀을 구성한다"고 말했다.

앞서 김승주 고려대 정보보호대학원 교수는 이날 오전 CBS 라디오 '김현정의 뉴스쇼'에 출연해 "쿠팡 내부에서는 중국인 개발자가 해고를 당하게 되니까 앙심을 품고 그랬다는 얘기들이 나오고 있다"고 전했다. 해당 직원이 최근 쿠팡 측에 개인정보 유출 사실을 알리는 이메일을 보내면서 별다른 금전적 요구를 하지 않고 "취약점을 보완하지 않으면 폭로하겠다"는 취지의 발언을 한 것으로 알려지면서 이 같은 추측이 설득력을 얻고 있다.

이날 과방위 현안 질의는 퇴사한 직원이 수개월에 걸쳐 어떻게 고객 정보에 접근하고, 이를 빼돌릴 수 있었는지와 이 같은 범행이 이뤄지는 동안 쿠팡이 해당 사실을 전혀 인지하지 못한 이유가 무엇인지를 추궁하는 데 집중됐다.

김 교수는 "쉽게 얘기하면 호텔에 들어갈 때 주민등록증으로 신원을 확인한 다음 방키를 발급받는데, 이 방키를 발급하는 비밀번호를 내부 개발자가 가지고 나간 것"이라며 "이를 통해 호텔 방키를 무한으로 생성해서 고객 정보를 빼낸 것"이라고 비유했다. 그러면서 "원래 직원이 퇴사하면 호텔 방키를 생성하는 비밀번호를 리셋해야 하는데 쿠팡이 그런 조치를 하지 않았다"며 "전반적으로 관리가 부실했던 것으로 보인다"고 덧붙였다.

매티스 CISO는 "공격자가 각기 다른 소스의 IP 주소를 활용해 데이터를 빼낸 것으로 보인다"며 "저희 시스템상 임계치를 넘지 않아서 발각되지 않은 것 같다"고 주장했다.

2일 국회 과학기술정보방송통신위원회 전체회의에서 쿠팡 보안사고 관련 현안질의가 열리고 있다. 김현민 기자

박 대표는 '유출과 노출 가운데 어느 게 맞느냐'는 질의에는 "유출이 맞다"고 밝혔다. 또 이번 사태로 과징금 1조2000억원이 부과될 수도 있다는 더불어민주당 이훈기 의원의 지적에 "저희의 책임을 회피할 생각은 없다"고 답했다. 휴면·탈퇴 회원의 정보도 유출됐을 가능성과 관련해서는 "일부 포함됐을 것이라고 생각한다"며 "그래서 휴면이나 탈퇴와 상관없이 개별적으로 다 안내를 드렸다"고 밝혔다. 공동 현관의 비밀번호 유출 가능성에 대해서도 "일부 포함된 것으로 알고 있다"고 답했다.

김 교수는 쿠팡 이용자들의 2차 피해를 예방하기 위해 ▲쿠팡에 등록된 결제수단 삭제 ▲카드 결제 비밀번호 변경 ▲쿠팡 계정 비밀번호 변경 등을 권고했다. 그러면서 "추가 피해 가능성을 줄이기 위해서는 등록된 결제 카드를 모두 삭제하는 것이 안전하다"고 조언했다. 반면 쿠팡 측은 "결제 정보는 유출되지 않았고, 아직 2차 피해는 없는 것으로 안다"며 과도한 조치가 오히려 불안감을 키울 수 있다는 입장이다.

한편, 박 대표는 또 쿠팡 창업주인 김범석 쿠팡Inc 의장이 이번 사태와 관련해 사과할 의향은 없느냐는 질의에 "한국 법인에서 벌어진 일이고, 제 책임하에서 벌어져 제가 사과 말씀을 드린다"면서 "한국 법인 대표로서 끝까지 책임을 지고 사태를 해결하도록 최선의 노력을 하겠다"고 말했다.

김흥순 기자 sport@asiae.co.kr