최우혁 과학기술정보통신부 정보보호네트워크정책실장이 10일 서울 종로구 정부서울청사에서 쿠팡 침해사고 민관합동조사단 조사결과를 브리핑하고 있다. 연합뉴스


쿠팡 개인정보 유출 사고의 민관합동조사 결과가 나왔다. 10일 과학기술정보통신부는 정부서울청사에서 쿠팡 침해사고에 대한 합동조사단 조사 결과를 발표했다. 쿠팡 정보 유출 규모는 최초 신고된 4500여 개가 아닌 3367만개로 확인됐다. 당초 신고 규모의 7000배가 넘는다. 이는 국내 전자상거래 플랫폼 침해 사고 가운데 최대 규모다. 가히 ‘끝판왕’이라 할 수 있다. 사고 원인은 쿠팡 서버의 이 릴게임온라인 용자 인증 취약점 때문이었다. 정보유출 경로를 분석한 결과, 공격자는 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 이용자 계정에 비정상 접속해 정보를 무단 유출했다. 공격자는 쿠팡에서 ‘이용자 인증 시스템’을 설계하고 개발한 소프트웨어 개발자였다. 조사단은 “이번 건은 분명히 관리(소홀)의 문제”라고 질타했다.
그동안 쿠팡은 해 오션파라다이스릴게임 킹 사고 이후 책임의 초점을 흐려왔다. 특히 미국 기업 차별이라 주장하며 쟁점을 다른 곳으로 돌려왔다. 그러나 과기부 조사로 사태의 진상이 분명해졌다. 해킹은 기본적 보안 관리 실패에서 비롯됐다. 접근 통제와 암호화, 로그 관리 등 최소한의 조치조차 제대로 작동하지 않았다. 내부 통제와 관리 부실로 인해 보안이 무너진, 전형적인 내부 취약성에서 비롯된 해킹 바다이야기꽁머니 사건이었다. 거대 플랫폼 기업의 핵심 자산은 데이터다. 그중에서도 이용자의 개인정보는 가장 민감하고 보호받아야 할 영역이다. 그러나 보안을 비용으로 취급해온 관행이 이번 사태를 키웠다. 이는 기업 내부의 경각심과 책임 의식이 얼마나 허술했는지를 극명하게 드러낸다.
이번 조사 결과가 말해주는 것은 명확하다. 해킹은 우연한 사고가 아니라, 야마토게임무료다운받기 구조적 관리 실패가 누적된 끝에 발생한 대규모 개인정보 유출이었다. 보안 관리 수준과 책임 의식이 문제의 본질이었다. 그럼에도 쿠팡은 사고의 실태를 직시하기보다 ‘미국 기업 차별’이라는 프레임으로 논점을 희석시키려 했다. 이제 그런 행태는 설 자리를 잃었다. 플랫폼 신뢰는 기술이 아니라 책임에서 나온다. 쿠팡이 이를 직시하지 않는다면 문제는 반복될 수밖에 사이다릴게임 없다. 이번 사태는 쿠팡이 어떤 기업으로 남을 것인지에 대한 시험대다. 개인정보 보호를 경영 핵심으로 끌어올리지 않는 한, ‘끝판왕’은 이번으로 끝나지 않을 것이다.