[로이슈 이상욱 기자] 20일 쿠팡은 4536개 고객 계정 프로필에서 (이름·전화번호·주소) 등이 비정상 접속으로 노출된 사실을 공개했다. 그런데 정보 침해사고가 실제 발생한 12일 동안 까맣게 몰랐던 것으로 알려져 큰 파장을 일으키고 있다.

국회 과학기술정보방송통신위원회 위원장인 최민희 더불어민주당 (남양주갑) 국회의원이 21일 한국인터넷진흥원(KISA)으로부터 제출받은 자료에 따르면, 정상 아닌 접속이 이달 6일 18시 38분경 최초 발생한 것으로 짐작하고 있다.

그럼에도 쿠팡은 12일이 지난 18일 22시 52분에야 처음으로 비정상 접근 사실을 알게 됐고, 다음날인 19일 21시 35분 KISA에 정보 침해사고 사항을 보고했다.

쿠팡의 내부 조사 결과, 이번 사건은 기존 로그인 사용자에게 발급되는 ‘서명된 액세스 토큰’이 악용된 공격으로 분석하고 있다.

이 토큰을 통해 최근 주문 내역 5건과 이름·전화번호·주소 등 고객의 개인정보가 포함된 프로필에 광범위하게 접근한 것으로 해석된다.

쿠팡은 현재 해당 토큰 계정을 모두 폐기한 상태로 추가적인 접근 시도에 대응키 위해 모니터링을 강화했다.

최민희 위원장은 “대한민국 3분의1이 넘는 국민이 이용하고 있는 쿠팡에서 정보 침해사고를 12일간 알지 못했다”면서 “이는 단순한 실수가 아닌 중대한 보안관리 실패”라고 맹공을 퍼부었다.

그러면서 최 위원장은 “신속한 조치를 통해 고객 불안을 덜고 쿠팡은 정부 측의 조사에 성실히 임해 원인 규명에 최선을 다해야 한다”고 목소리를 높였다.

이상욱 로이슈(lawissue) 기자 wsl0394@daum.net