쿠팡이 이용자 4500여명의 개인정보가 노출됐는데도 열흘 넘게 이를 알아채지 못한 것으로 드러났다.
21일 국회 과학기술정보방송통신위원장 최민희 의원실이 한국인터넷진흥원(KISA)으로부터 제출받은 침해사고 신고서에 따르면 쿠팡은 지난 6일 오후 6시38분 자사 계정 정보에 대한 무단 접근이 발생했다고 보고했다. 하지만 침해 사실을 인지한 시점은 18일 오후 10시52분이라고 적었다. 사고가 발생하고 12일이 지나서야 이를 인지한 것이다.
앞서 쿠팡은 피해 이용자들에게 “11월 18일 고객님의 개인정보가 비인가 조회된 것으로 확인됐다”고 문자메시지를 보내 사실을 알렸다. 그러나 정확한 유출 시점은 알리지 않았다.
아울러 쿠팡은 신고서에 “초기 조사 결과 서명된 액세스 토큰을 악용해 접근한 것으로 추정된다”고 기재했다. 그러면서 무단 접근에 사용된 토큰의 취득 경로를 조사 중이며 해당 토큰 서명 키 정보는 모두 폐기됐다고 밝혔다. 추가적인 접근 시도에 대비해 탐지 규칙을 강화하고 모니터링을 확대했다고도 설명했다.
과학기술정보통신부와 KISA, 개인정보보호위원회는 쿠팡의 신고를 토대로 유출 경위와 피해 여부를 들여다보고 있다.
신주은 기자 june@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
