.jpg)
1.48억건 조회 끝에 3000명 골라 담은 해커의 개인정보 쇼핑
“저장 안 해 유출 아니다?”...기밀성과 무결성 깨진 보안 원칙 붕괴 책임은?
[보안뉴스 조재호 기자] 3000, 3367만 그리고 1억4800만. 지금 쿠팡 사건을 두고 떠도는 대표적인 숫자들이다. 3000개의 저장 로그 혹은 유출 명단 그리고 쿠팡 전체 회원 수인 3367만명, 해커가 정보를 조회한 횟수인 1억4800만이란 숫자들이 뒤엉켜 진실 공방을 벌이고 있다.
하지만 보안 전문가들은 “숫자 놀음은 무의미하다. 본질은 정보를 선별하며 데이터베이스를 활보했다는 사실이 문제”라고 말한다.
3300만여명의 데이터를 1억번 이상 들여다보고 그중 3000개만 골라 담았는데, 이를 두고 대규모 유출이 아니라 작은 사고라고 주장하는 꼴이기 때문이다. 거대 플랫폼 기업의 회원 정보를 장기간 들여다보고 유의미한 데이터만 담아갔다. 지금 쿠팡이 말하는 숫자는 피해의 크기가 아니라 해커가 엄선한 명단일 뿐이다.
여러 숫자 사이에 숨어있는 의미들
도대체 이 숫자들이 뭐길래 그렇게 집착할까? 취재 과정에서 이 숫자들의 의미는 다르게 읽혔다. 해커의 효율 혹은 기업의 방어 논리 그리고 2차 피해 우려 등이다.
첫째로 해커는 1.4억건 조회한 정보를 모두 긁어가지 않고 효율을 따졌다. 구매력이 높거나 성인용품 구매 등 개인의 약점이 될 만한 부분을 필터링해 3000명만 추출했다. 여기서 3000은 단순 피해 규모가 아니라 해커가 데이터를 정제한 결과다.
둘째로 쿠팡은 사건 초기 3000명이란 유출 규모에 집착했다. 미국 증시 상장사인 쿠팡에게 회원 데이터의 전체 유출은 곧 SEC 공시 의무와 주주들의 집단소송을 의미한다. 쿠팡의 사건 축소는 글로벌 중대 재해를 피하기 위해 경영진이 설정한 법적 마지노선으로 보인다. 최근 이마저도 16만5000명까지 확대되면서 쿠팡의 발언에 대한 신뢰가 떨어지고 있다.
셋째로 이용자들의 불안감이다. 최근 국회에서는 해커가 선별된 리스트를 가지고 쿠팡을 협박했다는 의혹이 제기됐다. 사측은 부인하고 있지만, 시장의 불안은 가라앉지 않았다. 기업의 통제를 벗어난 정보 유출이 언제든 2차 피해로 나타날 수 있기 때문이다. 이 과정에서 성인용품 구매자 명단이니 하는 자극적인 내용이 덧붙여지며 기름을 부었다.
각자의 주장 사이 사라진 보안 원칙, 저장 안 했으면 안전한가?
이번 유출 사고에 각자 충실한 사이 정작 중요한 보안 원칙은 사라졌다. 쿠팡은 “파일로 저장하지 않았으니, 유출이 아니다”란 입장인데, 보안 관점에서 궤변에 가깝다. 비인가자가 데이터를 조회한 순간 ‘기밀성’(Confidentiality)부터 파괴됐다. 해커가 1억번 넘게 데이터베이스를 조회한 사이 배송지를 변경하거나 악성 스크립트를 심지 않았다고 100% 장담할 수 있을까? ‘무결성’(Integrity)도 훼손됐다.
마치 도둑이 집에 들어와 서랍을 수천번 열어봤는데, “가져간 건 3개라 도둑질이 아니다”라 주장하면 무슨 말을 할까? 피해 규모에 따라 법적 책임이 달라질 수 있겠지만, 보안의 관점에서 데이터가 오염된 ‘사고’일 뿐이다.
데이터 쇼핑 가능케 한 진짜 구멍은 인사관리의 실패
쿠팡 사태의 근본 원인은 무엇일까? 숫자를 걷어내고 사태의 시발점으로 돌아가보면 기술적 해킹 이전에 ‘퇴사자 계정 관리’의 실패라는 이야기와 마주한다.
민관합동조사단의 조사 결과에서도 이번 사건은 퇴직한 직원이 쓰던 ‘서명키’(접속 권한)를 악용해 시스템을 제집처럼 드나든 점이 문제라고 이야기한다. 수개월간 퇴사자의 출입증을 회수하지 않고 방치한 것이다. 기술적 검증에 앞서 인사관리라는 경영의 기본에 실패다.
지금 쿠팡이 해야 할 일은 사건의 경중을 따지는 것이 아니다. 사고 규모를 저울질하기에 앞서 관리 책임을 인정하고, 기술적 방어보다 먼저 무너진 신뢰를 회복하려는 움직임부터 보여야 한다.
[조재호 기자(sw@boannews.com)]
“저장 안 해 유출 아니다?”...기밀성과 무결성 깨진 보안 원칙 붕괴 책임은?
[보안뉴스 조재호 기자] 3000, 3367만 그리고 1억4800만. 지금 쿠팡 사건을 두고 떠도는 대표적인 숫자들이다. 3000개의 저장 로그 혹은 유출 명단 그리고 쿠팡 전체 회원 수인 3367만명, 해커가 정보를 조회한 횟수인 1억4800만이란 숫자들이 뒤엉켜 진실 공방을 벌이고 있다.
[출처: 연합뉴스]
하지만 보안 전문가들은 “숫자 놀음은 무의미하다. 본질은 정보를 선별하며 데이터베이스를 활보했다는 사실이 문제”라고 말한다.
3300만여명의 데이터를 1억번 이상 들여다보고 그중 3000개만 골라 담았는데, 이를 두고 대규모 유출이 아니라 작은 사고라고 주장하는 꼴이기 때문이다. 거대 플랫폼 기업의 회원 정보를 장기간 들여다보고 유의미한 데이터만 담아갔다. 지금 쿠팡이 말하는 숫자는 피해의 크기가 아니라 해커가 엄선한 명단일 뿐이다.
여러 숫자 사이에 숨어있는 의미들
도대체 이 숫자들이 뭐길래 그렇게 집착할까? 취재 과정에서 이 숫자들의 의미는 다르게 읽혔다. 해커의 효율 혹은 기업의 방어 논리 그리고 2차 피해 우려 등이다.
첫째로 해커는 1.4억건 조회한 정보를 모두 긁어가지 않고 효율을 따졌다. 구매력이 높거나 성인용품 구매 등 개인의 약점이 될 만한 부분을 필터링해 3000명만 추출했다. 여기서 3000은 단순 피해 규모가 아니라 해커가 데이터를 정제한 결과다.
둘째로 쿠팡은 사건 초기 3000명이란 유출 규모에 집착했다. 미국 증시 상장사인 쿠팡에게 회원 데이터의 전체 유출은 곧 SEC 공시 의무와 주주들의 집단소송을 의미한다. 쿠팡의 사건 축소는 글로벌 중대 재해를 피하기 위해 경영진이 설정한 법적 마지노선으로 보인다. 최근 이마저도 16만5000명까지 확대되면서 쿠팡의 발언에 대한 신뢰가 떨어지고 있다.
셋째로 이용자들의 불안감이다. 최근 국회에서는 해커가 선별된 리스트를 가지고 쿠팡을 협박했다는 의혹이 제기됐다. 사측은 부인하고 있지만, 시장의 불안은 가라앉지 않았다. 기업의 통제를 벗어난 정보 유출이 언제든 2차 피해로 나타날 수 있기 때문이다. 이 과정에서 성인용품 구매자 명단이니 하는 자극적인 내용이 덧붙여지며 기름을 부었다.
각자의 주장 사이 사라진 보안 원칙, 저장 안 했으면 안전한가?
이번 유출 사고에 각자 충실한 사이 정작 중요한 보안 원칙은 사라졌다. 쿠팡은 “파일로 저장하지 않았으니, 유출이 아니다”란 입장인데, 보안 관점에서 궤변에 가깝다. 비인가자가 데이터를 조회한 순간 ‘기밀성’(Confidentiality)부터 파괴됐다. 해커가 1억번 넘게 데이터베이스를 조회한 사이 배송지를 변경하거나 악성 스크립트를 심지 않았다고 100% 장담할 수 있을까? ‘무결성’(Integrity)도 훼손됐다.
마치 도둑이 집에 들어와 서랍을 수천번 열어봤는데, “가져간 건 3개라 도둑질이 아니다”라 주장하면 무슨 말을 할까? 피해 규모에 따라 법적 책임이 달라질 수 있겠지만, 보안의 관점에서 데이터가 오염된 ‘사고’일 뿐이다.
데이터 쇼핑 가능케 한 진짜 구멍은 인사관리의 실패
쿠팡 사태의 근본 원인은 무엇일까? 숫자를 걷어내고 사태의 시발점으로 돌아가보면 기술적 해킹 이전에 ‘퇴사자 계정 관리’의 실패라는 이야기와 마주한다.
민관합동조사단의 조사 결과에서도 이번 사건은 퇴직한 직원이 쓰던 ‘서명키’(접속 권한)를 악용해 시스템을 제집처럼 드나든 점이 문제라고 이야기한다. 수개월간 퇴사자의 출입증을 회수하지 않고 방치한 것이다. 기술적 검증에 앞서 인사관리라는 경영의 기본에 실패다.
지금 쿠팡이 해야 할 일은 사건의 경중을 따지는 것이 아니다. 사고 규모를 저울질하기에 앞서 관리 책임을 인정하고, 기술적 방어보다 먼저 무너진 신뢰를 회복하려는 움직임부터 보여야 한다.
[조재호 기자(sw@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
조재호기자 기사보기
.gif)
.jpg)
