쿠팡 사태① ‘아이폰 잠금’급 보안책 만들어야

▶ 칼럼을 대화로 들어보세요

지난달 29일 쿠팡은 “고객 계정 약 3,370만 개가 무단 유출된 것으로 확인됐다”고 공식 발표했다. 국내 역대급 규모의 개인정보 유출이다. 쿠팡은 동시에 결제 정보, 신용카드 정보, 비밀번호 등은 유출되지 않은 것으로 확인됐다고 설명했지만, 현재 조사가 진행 중인 만큼 최종 결과를 더 지켜볼 필요가 있다.

SKT를 시작으로 KT, LG유플러스에 이어 업비트, 쿠팡까지, 이제 “다음은 네이버 차례”라는 말까지 나오는 상황이다. 더 심각한 문제는 이번 사태가 일회성 사건이 아니라는 점이다. 일정한 주기를 두고 대형 개인정보 유출 사고가 반복되고 있으며, 그 규모와 파급력은 점점 커지고 있다.

그렇다면 왜 개인정보 유출은 끊임없이 되풀이되는가. 특정 기업의 실수나 일시적 관리 부실을 넘어선 구조적 문제가 있는 것은 아닌지 따져볼 필요가 있다. 이 글에서는 이러한 보안 사고가 지속적으로 발생할 수밖에 없는 근본 원인이 무엇인지, 그리고 앞으로 어떤 수준의 제도적·기술적 대책이 마련되어야 하는지 차분하지만 엄중한 시선으로 살펴보고자 한다.

쿠팡 보안 허점에 대한 분석

이번 사태와 관련하여 현재까지 확인된 사실은 ① 회사 시스템과 내부 네트워크망의 외부 침입 흔적은 없다. ② 해외 서버를 통해 무단으로 개인정보에 접근한 것으로 추정된다. ③ 유력한 용의자는 ‘자기가 개인정보를 입수했고 취약점을 빨리 보완해라. 그렇지 않으면 폭로하겠다’라는 내용으로 협박 이메일을 보냈다. ④ 유력한 용의자는 인증 시스템을 개발하는 개발자였다. ⑤ 정보유출에 쿠팡 서버 접속 시 이용되는 인증용 토큰과 전자서명 키가 사용됐다. 이 정도이다.

이번 쿠팡 사태의 특징은 고객정보가 저장된 서버에 ‘로그인 과정 없이’ 여러 차례 비정상 접속이 이뤄졌다는 점이다. 전통적인 의미의 해킹처럼 외부에서 침입한 것도 아니고, ID와 비밀번호를 탈취해 로그인한 것도 아니다. 공격자는 과거에 본인이 사용하던 인증용 토큰과 전자서명을 활용해 서버에 접근했다.

이해를 돕기 위해 구조를 조금 더 설명해 보자. 개발자가 서버에 접속하거나, 한 서버가 다른 서버의 정보를 조회할 때는 일반적으로 인증용 토큰과 전자서명을 사용한다. 이 과정은 대부분 사용자의 개입 없이 자동으로 이뤄지며, 일단 유효한 토큰과 전자서명을 확보하면 해당 권한 범위 내에서 서버의 정보를 대량으로 가져올 수 있다. 얼핏 보면 “아니, 이렇게 허술한가?”라는 생각이 들 수 있지만, 실제는 전혀 그렇지 않다.

오히려 ‘ID-비밀번호 방식’이 가장 취약한 인증 수단이다. 반대로 토큰·전자서명 기반 인증은 훨씬 더 엄격한 보안 통제를 전제로 한다. 인증용 토큰을 발급받는 절차는 단순 로그인보다 복잡하고, 더 강력한 검증과 권한 관리가 이뤄진다. 따라서 이런 과정을 거쳐서 발급된 인증용 토큰을 신뢰할 수 있다.

문제의 핵심은 인증용 토큰의 유효기간 관리다. 토큰은 정해진 유효기간이 지나면 원칙적으로 더 이상 사용할 수 없고, 해커가 임의로 유효기간을 늘릴 수도 없다. 이 부분에는 블록체인에 쓰이는 것과 유사한 수준의 강력한 위변조 방지 기술이 적용되어 있다. 그래서 토큰 기반 인증의 보안을 높이려면, 애초에 유효기간을 짧게 설정하는 것이 중요하다. 1일, 1주일, 1개월 등으로 기간을 설정하고, 만료되면 다시 엄격한 인증 절차를 거쳐 새로운 토큰을 발급받아야만 서버에 접속할 수 있도록 설계하는 것이 기본 원칙이다.

그렇다면 이렇게 번거롭고 이해하기도 어려운 절차를, 실제 기업들은 어떻게 운용하고 있을까? 예상하기 어렵지 않다. 많은 기업들이 운영상의 편의와 개발 효율을 이유로 토큰 유효기간을 과도하게 길게 잡는다. 1년, 2년, 심지어 10년 등 사실상 “반영구적”에 가까운 설정도 드물지 않다. 이런 방임을 막기 위해 정부는 ISMS(Information Security Management System의 약자. 정보보호 관리체계를 뜻한다-편집자주), ISMS-P(Information Security Management System- Personal Information의 약자. 정보보호 및 개인정보보호 관리체계를 뜻한다-편집자주)와 같은 정보보호 인증 제도를 두고 일정 수준의 보안통제를 요구하고 있다. 그러나 이 인증은 심사 시점에 맞춰 서류와 절차만 갖추게 만드는 역할에 그치는 경우가 많다. 인증 이후에도 동일한 수준의 통제를 일관되게 유지하는지는 결국 기업의 몫이다.

그렇다보니, 쿠팡 최고정보보안책임자(CISO)의 설명은 예상됐던 대로 심각한 우려를 낳고 있다. 그는 “고객이 정상적으로 로그인을 하면 토큰이 발급되고, 모든 쿠팡 인증 토큰은 프라이빗 키로 서명돼 확인된다. (공격자는) 쿠팡 내부의 프라이빗 키를 취득해 인증을 거쳐 가짜 토큰을 만든 것”이라고 밝혔다. 이 다소 난해한 설명을 풀어 쓰면 이렇다. ‘쿠팡 내부에서 관리하는 프라이빗 키(A Key)로 서명해 인증 토큰을 만들고, 고객이나 개발자는 쿠팡이 발급한 그 토큰과 A Key를 이용해 전자서명을 한 뒤 서버에 접속한다’는 의미다.

CISO의 설명대로라면 서버가 가진 Key와 이용자 측에서 사용하는 Key가 동일한 구조로, 이는 대칭키 방식에 가까운 모델이다. 대칭키 알고리즘은 빠르고 효율적이지만, 키가 한 번 유출되면 누구나 위·변조 토큰을 만들 수 있어 보안상 매우 취약해 오늘날 민감한 인증 영역에서는 거의 사용하지 않는다. 만약 쿠팡이 실제로 이러한 구조를 전제로 보안을 설계했다면 심각한 설계 결함이라고 보아야 한다.

정상적인 설계라면, 쿠팡이 인증 토큰을 생성할 때 사용하는 프라이빗 키(A Key)와 개발자·고객이 서버 접속 시 전자서명에 사용하는 키(B Key)는 서로 달라야 한다. 즉, 서버 쪽과 클라이언트 쪽이 다른 비대칭키 방식이 적용되어야 한다. 이 구조에서는 프라이빗 키(A Key)는 오직 쿠팡 내부에서만 엄격하게 보호·관리되고, 외부에는 공개키(B Key)만 노출된다. 그런 점에서 CISO의 설명이 사실이라면, 공격자는 쿠팡 내부에서만 존재해야 할 프라이빗 키(A Key)를 그대로 들고나온 셈이 된다. 이는 단순한 유효기간 설정 실수가 아니라, 핵심 암호키에 대한 관리 체계 자체가 작동하지 않았음을 의미하는 것이다.

범죄자 행동에 대한 분석

이제 시선을 범죄자의 관점으로 옮겨보자. 이번 사건의 핵심은 퇴사한 개발자의 인증 토큰과 전자서명이 계속해서 유효했다는 점이다. 이는 ① 토큰 자체의 유효기간이 남아 있었거나, ② 범죄자가 내부 프라이빗 키(A Key)를 이용해 신규 토큰을 생성했을 가능성을 말한다.어느 쪽이든 쿠팡의 중대한 관리 부실로 귀결된다.

직장 생활을 해본 사람이라면 알겠지만, 퇴직 절차는 상당히 엄격하다. 퇴사와 동시에 사내 계정과 ID들은 백업 후 일괄 비활성화되고, 퇴직자가 관리하던 시스템·자원에 대한 접근권한도 모두 회수된다. 회사 장비와 문서, 개발용 키, 각종 접속 정보 역시 반환·폐기 절차를 거친다. 이는 인사·보안 관리의 가장 기본적인 절차이며, ISMS-P 등 정보보호 인증 기준에도 명시된 사항이다.

현재 수사 상황을 보면, 용의자는 인증 시스템을 개발하던 내부 개발자로 좁혀지는 분위기다. 이 경우 가능한 시나리오는 여러가지다. 첫째, 해당 개발자가 재직 중 접근 권한을 이용해 프라이빗 키(A Key)를 복사해 개인적으로 보관했다는 의심을 지울 수 없다. 둘째, 인증 시스템의 구조와 취약점을 가장 잘 알고 있는 위치에서, 이를 악용해 인증 토큰과 전자서명을 지속적으로 재발급했을 가능성도 있다. 셋째, 애초에 유효기간이 사실상 ‘영구’에 가깝게 설정된 토큰을 만들어 퇴사 후까지 사용했을 가능성도 배제하기 어렵다. 어느 경우든, 토큰과 키만 있으면 서버를 제집 드나들 듯 할 수 있는 것이다.

정부의 해결 능력에 대한 분석

사태가 터지자 정부 관계자의 입에서 징벌적 손해배상 얘기가 먼저 나오고 있다. 꼭 필요하기는 한데, 지금 단계에서 필요한 얘기는 아니다고 할 것이다. 변호사로 오래 일해본 경험상, 법과 배상은 설거지나 장례식처럼 항상 가장 나중에 따라오는 절차에 가깝다. 지금 해야 할 일은 사태의 중심을 정확히 파고들어 핵심 원인을 규명하고 구조를 손보는 일이다. 기술·보안에 대한 이해가 부족한 사람일수록 누구나 할 수 있는 ‘징벌적 배상’ 같은 문구를 앞세우는 경향이 있다.

그렇다면 정부, 특히 방송미디어통신위원회(이하 ‘방미통위’), 개인정보보호위원회(이하 ‘개보위’), 그리고 쿠팡 내부에 이 복잡한 사안을 기술적으로 분석하고 핵심을 짚어낼 역량과 의지가 실제로 존재하는지부터 점검해야 한다.

정부의 관련 조직과 국회 과학기술정보방송통신위원회(과방위) 위원들 가운데 이번 사건을 이해할 만한 지식과 경험을 가진 인물이 과연 얼마나 되는가? 실제로 해킹 공격을 수행해 본 사람, 해킹을 막아본 사람, 대규모 서버를 운영해 본 사람, 인증 시스템을 설계·개발해 본 사람이 이들 중에 있는가? 없다면, 그 보좌진 중에는 있는가? 그렇지 않다면, 대체 누가 이 사태의 기술적·구조적 핵심을 파헤치고, 현실적인 해결책과 정책 대안을 설계할 수 있겠는가? 결국 이번에도 관행대로, 학계의 ‘저명한 교수’ 몇 명을 불러 의견을 듣고, 그 내용을 정리하는 수준에서 대책이 마무리되는 것은 아닌지 우려를 갖지 않을 수 없다.

쿠팡 내부 관리체계는 과연 어떨까. 지난여름 쿠팡, 업비트 등 주요 기업의 CISO(최고정보보안책임자)들이 모여 한국CISO협의회 포럼을 진행했다. 이 자리에서 쿠팡 CISO는 작년에 860억 원을 정보보호에 투자해, 삼성전자·KT에 이어 국내 보안 투자 규모 3위 기업이 되었다고 강조했다. 업비트를 운영하는 두나무 CISO는 국내 보안 인력 부족이 심각하다면서, 단순한 인원수의 문제가 아니라 핵심 기술 역량의 부족이 더 큰 문제라고 지적했다. 하지만 업비트도, 쿠팡도 결국 대형 사고를 막지 못했다. 돈을 쏟아붓고, 인재를 모았다고 해서 자동으로 안전해지는 것이 아니라는 사실이 적나라하게 드러난 셈이다.

결론적으로, 이번 사태의 본질을 바꾸려면 ‘지루하고’ ‘고된’ 변화 과정을 감수할 각오가 필요하다. 무엇보다 보안은 애초에 “불편하고 비효율적인 것”이라는 현실을 직시해야 한다. 효율성과 속도만을 추구하는 문화에서는 보안이 설 자리가 없다. 쿠팡이 급속히 성장하는 과정에서 속도만을 추구했다는 것은 알만한 사람은 다 안다. 과거를 돌아보자. 올해 SKT 사태 이후 무엇이 달라졌는가? 보안담당 임원의 위상과 의사결정 권한은 얼마나 높아졌으며, 이사회에 보안 전문가가 정식으로 참여하고 있는가? 이사회 안건 중에 보안·개인정보 보호 이슈가 정기적으로 논의되는 구조가 마련되어 있는가? 기업이 스스로 내놓은 대책에 답하지 못하는 한, 이번 사태의 반복은 막을 수 없다.

정부가 해야할 일

정부가 해야 할 일은 실제로 효과를 내는 제도적 장치를 만드는 것이다. 개보위 보다는 방미통위와 과기정통부가 해야 할 일이 많고, 부처 간 협업도 필요하다.

첫째, “털리더라도 쓸 수 없게” 만드는 구조를 강제해야 한다. 아이폰은 분실해도 원격 잠금과 활성화 잠금 때문에 기기를 열어볼 수도, 공장 초기화도 할 수 없다. 이는 개인정보를 보호하는 동시에, 범죄의 유인을 차단한다. 마찬가지로 민감정보는 서버에 저장되는 순간부터 익명화·암호화를 의무화하는 제도를 서둘러 도입해야 한다. 당연히 비용이 들고 속도가 느려지겠지만, 그 대가를 감수하지 않고서는 구조적인 개선은 불가능하다.

둘째, 한 사람이 단기간에 민감정보를 대량조회하는 것 자체를 구조적으로 막아야 한다. “계정 × 시간 × 업무 목적 × 데이터 양” 단위로 기술적·암호학적 제약을 걸어, 일정 기준을 초과하면 자동으로 차단하는 시스템을 제도화해야 한다. 이렇게 하면 범죄자가 유출 과정에서 발각될 수밖에 없다.

셋째, 국가는 보안 인재에 대한 ‘공유 풀(pool)’을 구축해야 한다. 보안 인력의 수와 능력이 모두 부족하다는 얘기는 어제오늘의 얘기가 아니다. 높은 연봉을 주고 그에 맞는 능력을 키울 수 있도록 국가 차원의 관리가 필요하다.

기업이 해야할 일

기업이 해야 할 일은, 반드시 지켜지는 내부 절차와 통제 체계를 만드는 것이다. 감시 감독은 정부의 몫이다.

첫째, 기업은 보안 사고를 임원 보상과 직접 연동해야 한다. 중대한 보안 사고가 발생하면 CEO·CISO는 물론 관련 임원의 연봉·보너스·스톡옵션에 즉각 반영되도록 제도를 설계하는 방식이다. 보안 리스크를 재무적 인센티브와 연결해 두어야, 경영진이 일상적으로 보안 리스크를 점검하고 질문하는 문화가 만들어진다.

둘째, 기업은 내부자 위험 관리를 HR·총무·IT·법무·보안이 함께 담당하는 통합 시스템으로 재구성해야 한다. 입사, 퇴사 등 이벤트가 발생하면, 관련 부서의 시스템이 자동으로 연동되어 계정 비활성화, 권한 회수, 자산 반납·폐기, 비밀유지 의무 확인 등이 일괄 처리되도록 만드는 것이다.

그리고 마지막으로 당부로, 요즘에는 컴퓨터공학 전공에 법률 소양까지 갖춘 변호사를 찾는 것이 그리 어렵지 않다. 기업은 적극적으로 찾아 나서고, 내부 보안·법무 전략에 과감하게 활용하면 된다.

P.S. 필자는 소싯적에 ‘해킹’을 조금 경험해 봤고, 인터넷 보안회사에서 3년간 근무한 이력도 있다. 지금은 변호사로서 전직금지, 영업비밀침해 사건도 다뤄봤다. 그 과정에서 기업 보안의 핵심이 몇 가지로 정리된다. 첫째, 보안은 100% 막을 수 없다. 둘째, 보안은 본질적으로 힘들고 귀찮은 일이다. 셋째, 보안은 직접 돈을 벌어주지 않지만, 돈은 많이 들어간다. 돈을 많이 써도 사고는 터질 수 있고, 돈을 줄이면 더 자주 터진다. 사고가 터지면 그 이후에는 더 많은 비용을 들여야 한다. 그럼에도 많은 기업은 늘 ‘필요 최소한’만 하려 하고, 사고가 터지면 땜질식 수습에 급급하다. 그렇기에, 입만 앞세우는 사람이 아니라, 경험과 지식을 갖추고 문제의 핵심을 제대로 이해하는 사람들을 모아 더 정교하고, 더 철저한 절차와 체계를 설계해야 한다.