"쿠팡 3천만 계정 유출"…배경훈, 인증 취약점 악용 규정하며 대규모 조사 착수
대형 플랫폼을 겨냥한 사이버 공격과 정부의 대응이 정면으로 맞붙었다. 쿠팡에서 3천만개가 넘는 고객 계정 정보가 유출된 사실이 확인되면서, 정부가 민관합동조사단 가동과 장기 모니터링 강화 등 강경 대응에 나섰다. 대규모 개인정보 유출 사태는 한국 디지털 경제의 구조적 취약성을 다시 드러냈다는 평가도 뒤따랐다.
과학기술정보통신부는 30일 배경훈 부총리 겸 과학기술정보통신부 장관 주재로 정부서울청사에서 관계 부처 긴급 대책회의를 열고 쿠팡 개인정보 유출 사고의 경위와 대응 방안을 논의했다. 배경훈 부총리는 모두발언에서 "국민들이 많이 이용하는 플랫폼사까지 침해사고 및 개인정보유출이 발생하게 돼 송구하다"고 말하며 사태의 심각성을 인정했다.
배경훈 부총리는 "정부는 지난 19일 쿠팡으로부터 침해 사고 신고를 받았고, 지난 20일 개인정보유출을 신고받은 이후 현장 조사를 진행 중"이라고 설명했다. 그는 이어 "공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3천만개 이상의 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인했다"고 밝혔다. 접속 과정에서의 보안 약점이 정면으로 뚫린 셈이다.
정부는 사고 원인 규명과 추가 피해 차단을 위해 범정부 조사 체계를 가동했다. 배경훈 부총리는 "정부는 면밀한 사고조사 및 피해 확산 방지를 위해 금일부터 민관합조단을 가동하고 있다"며 "쿠팡이 개인정보보호와 관련한 안전 조치 의무를 위반했는지 여부도 조사 중이다"고 말했다. 조사단은 사고 당시 보안 설정, 접근 통제 체계, 침입 탐지 시스템 운영 실태 등을 종합 점검할 전망이다.
후속 2차 피해에 대한 우려도 커졌다. 배 부총리는 "이번 사고를 악용해 피싱, 스미싱 공격을 통해 개인정보 및 금전 탈취 등 2차 피해가 발생하지 않도록 대국민 보안공지를 진행했고, 금일부터 3개월간 인터넷상 개인정보 노출 및 불법유통 모니터링 강화 기간으로 운영한다"고 덧붙였다. 정부는 포털, 온라인 커뮤니티, 다크웹 등에서의 개인정보 불법 거래 동향을 집중 감시할 계획이다.
이날 긴급회의에는 배경훈 부총리를 비롯해 윤창렬 국무조정실장, 송경희 개인정보보호위원장, 유재성 경찰청장 직무대행, 김창섭 국가정보원 3차장, 최우혁 과학기술정보통신부 네트워크정책실장이 참석했다. 청와대 대신 국무조정실, 개인정보보호위원회, 경찰청, 국가정보원 등 핵심 안보·치안·규제 기관이 한자리에 모이면서 정부 차원의 총력 대응 체계가 갖춰졌다는 평가가 나온다.
민간인 쿠팡 측 책임자도 정부 논의에 직접 나섰다. 박대준 쿠팡 대표는 비공개로 진행된 회의 도중 합류해 회사가 파악한 사고 경위와 대응 현황을 보고했다. 구체적인 보고 내용은 공개되지 않았으나, 정부 조사가 본격화되면 쿠팡의 초기 대응 적정성, 신고 시점과 절차 이행 여부 등이 함께 들여다보일 전망이다.
유출 규모는 초기 신고와 비교해 폭증했다. 과학기술정보통신부에 따르면 쿠팡은 지난 19일 최초 신고 당시 4천536개 계정에서 고객명, 이메일, 주소 등의 정보가 유출된 것으로 파악했다고 보고했다. 그러나 조사 과정에서 실제 유출 범위가 3천379만개 계정으로 확대된 것으로 확인됐다. 초동 분석이 현실과 큰 차이를 보이면서, 보안 관제와 내부 점검 체계가 허술했던 것 아니냐는 문제 제기도 이어지고 있다.
정부는 사안의 중대성을 고려해 별도 민관합동조사단을 구성했다. 과학기술정보통신부는 "대규모 유출과 추가 피해 우려 등 사안의 중대성을 고려했다"며 사고 원인 분석과 재발 방지 대책 마련에 착수했다고 밝혔다. 조사단에는 정부 관계자와 외부 보안 전문가, 개인정보보호 전문기관 등이 참여해 인증 구조, 암호화 수준, 침입 경로와 시간대 등을 다각도로 추적할 계획이다.
정치권에서는 플랫폼 기업의 관리 책임과 정부의 통신·플랫폼 규제 정책 전반을 둘러싼 논쟁이 재점화될 가능성이 크다. 특히 3천만개가 넘는 계정 정보가 유출된 만큼 향후 국회 과학기술정보방송통신위원회와 관련 상임위에서 책임 공방과 제도 개선 논의가 이어질 것으로 보인다. 야권은 개인정보보호 체계 부실과 정부 감독 소홀을 문제 삼을 가능성이 있고, 여권은 조속한 재발 방지 대책 입법을 추진하며 대응 수위를 조절할 전망이다.
정부는 조사 결과가 나오는 대로 플랫폼 보안 의무 강화, 대규모 침해사고 신고 기준 정비, 위반 시 제재 수위 조정 등 제도 개선 방안을 검토할 것으로 예상된다. 국회도 향후 회기에서 관련 상임위를 중심으로 쿠팡 사고 경위를 점검하고, 개인정보보호법과 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정 논의에 본격 나설 계획이다.
