[강민재 기자] 쿠팡이 20일 총 4,536개 고객 계정 프로필에서 이름·전화번호·배송주소 등이 비정상 접속으로 노출된 사실을 공개한 가운데, 해당 침해사고가 실제 발생한 시점과 사고 인지까지 12일이나 공백이 있었다는 사실이 확인됐다.

국회 과학기술정보방송통신위원회 위원장인 최민희 의원(더불어민주당, 남양주갑)이 21일 한국인터넷진흥원(KISA)으로부터 제출받은 자료에 따르면, 비정상접속은 11월 6일 18시 38분경 최초 발생한 것으로 추정된다.

그럼에도 쿠팡은 12일이 지난 11월 18일 22시 52분에야 처음으로 비정상 접근을 인지했고, 다음날인 11월 19일 21시 35분 KISA에 침해사고 사실을 신고했다.

쿠팡의 내부 조사 결과, 이번 사건은 기존 로그인 사용자에게 발급되는 ‘서명된 액세스 토큰’이 악용된 공격으로 파악됐다. 이 토큰을 통해 최근 주문내역 5건과 이름·전화번호·배송주소 등 고객의 주요 개인정보가 포함된 프로필에 광범위하게 접근한 것으로 분석된다. 쿠팡은 현재 해당 토큰 계정을 모두 폐기한 상태이며 추가적인 접근 시도에 대응하기 위해 탐지 규칙을 추가하여 모니터링을 강화한 상태이다.

최민희 위원장은 “대한민국 3분의1 가량이 넘는 국민이 이용하고 있는 쿠팡에서 침해사고 사실을 12일간 알아채지 못했다는 것은 단순한 실수를 넘어 중대한 보안관리 부실”이라며 “신속한 조치를 통해 고객불안을 덜고 쿠팡은 정부측 조사에 성실히 임하여 원인규명에 최선을 다해야한다”고 강조했다.