권한 없는데 어떻게…퇴사할 때 삭제했어야 할 도장?

<앵커>

국민 대다수가 이용하는 쿠팡에서 발생한 개인정보 유출 사태 후폭풍이 이어지고 있습니다. 쿠팡이 왜 이렇게 허술하게 뚫렸는지 오늘(2일)도 최승훈 기자와 자세히 짚어보겠습니다.

Q. 퇴사한 직원, 서버에 접근한 방법은? 

[최승훈 기자 : 쿠팡은 퇴사자의 사내 접근 권한만 폐기하고 인증키는 그대로 내버려뒀습니다. 한번 쉽게 설명해 보겠습니다. 쿠팡 이용자는 이메일로 된 아이디와 비밀번호로 로그인합니다. 서버는 이 두 값이 맞으면 이렇게 토큰이라고 부르는 출입증에 프라이빗 키라는 도장을 찍어줍니다. 이 도장이 찍혀 있으면 이렇게 진짜 고객으로 보고 문을 열어준다는 이야기입니다. 그런데 해당 용의자는 바로 이 도장을 훔쳤습니다. 이 고객이 진짜인지 인증해 주는 프라이빗키, 즉 도장이 있으니까 얼마든지 다른 고객들 이름으로 들어올 수 있었던 겁니다.]

Q. 퇴사할 때 삭제했어야 할 도장?

[최승훈 기자 : 네, 맞습니다. 전문가들에 따르면 이 도장 프라이빗키는 보안 담당자마다 하나씩 따로따로 만들어줘야 합니다. 그래야 중요한 정보를 조회하고 편집할 권한을 나눌 수 있기 때문입니다. 또 1년에 한두 번씩 또는 담당자가 퇴사하는 등 특이 사항이 생길 때마다 즉시 키를 바꿔줘야 합니다. 하지만 현업에서는 관리 편의를 이유로 키를 하나만 발급해서 여럿이서 돌려쓰기도 한다는데요. 명백한 보안 위반입니다. 문제의 프라이빗 키를 여럿이서 함께 썼는지, 퇴직 후에 곧바로 없애지 않은 이유가 혹시 이런 편의 때문이었는지는 수사로 밝혀야 합니다.]

Q. 아이디 없이도 빼돌린 개인정보?

[최승훈 기자 : 바로 그 질문이 오늘 국회 긴급 현안 질의에서 나왔는데요. 출입증의 이름 즉 아이디가 있어야, 도장을 찍어줄 수가 있겠죠. 그런데 쿠팡의 최고 정보 보호 책임자는 아이디를 계속 1번씩 늘려가면서 토큰을 생성한 것으로 보인다고 대답했습니다. 쉽게 말하면 쿠팡이 이용자 아이디를 출석 번호처럼 1, 2, 3, 4순으로 저장을 해놓았고 유출 용의자는 이런 단순한 숫자를 차례로 대입해서 이용자 정보에 접근했다는 얘기입니다. 매출 40조 원을 돌파한 국내 전자상거래 1위 기업이 고객 정보를 이처럼 허술하게 관리하는 바람에 3천370만 명의 개인 정보가 탈탈 털린 겁니다.]

(영상편집 : 유미라)