[속보]이준석 “쿠팡 보안, 대학 2학년 수준…직원 전용출입구 활짝 열어둬”

국회 과학기술정보방송통신위원회(과방위) 위원인 이준석 개혁신당 대표가 쿠팡 개인정보 유출 사태에 대해 “시작은 키 탈취였지만, 그 키를 만능키로 만들어준 것은 잘못된 유저-인증시스템 설계”라고 꼬집었다.

이 대표는 2일 과방위에서의 쿠팡 사태 긴급 현안질의가 끝난 후 자신의 소셜미디어(SNS)에 “대학교 2학년 수준의 수업에서 알려주는 설계 원칙을 간과했다”면서 이같이 밝혔다.

이 대표는 “쿠팡 측이 처음에 ‘인증 토큰을 만드는 키(Key)가 탈취된 것이 문제’라고 해명했다”면서 “그런데 아무리 키가 털렸다 한들, 해커가 수천만 명의 사용자 계정을 뚫으려면 각 사용자의 ‘이메일 주소’를 다 알고 있어야 대입해 볼 수 있는 것 아닌가”라고 의문을 제기했다.

이 대표는 이 의문을 풀기 위해 질의를 이어간 끝에 쿠팡 보안 시스템의 치명적인 구조적 결함 두 가지를 확인했다고 설명했다.

그는 “이메일이 아니라 숫자만 알면 됐다”면서 “쿠팡은 내부 데이터베이스의 사용자 식별값(Primary Key)을 암호화된 난수나 랜덤 값이 아닌, 순서대로 1씩 늘어나는 정수로 설정해두고 있었다”고 지적했다. 이어 “해커는 굳이 이메일을 알아낼 필요가 없었다”고 비판했다.

또 “내부에서만 써야 할 문이 밖으로 열려 있었다”면서 “신뢰하는 내부 서버끼리만 쓰고 닫아뒀어야 할 API가 황당하게도 일반 인터넷에서 누구나 접근 가능한(Public) 상태로 열려 있었다”고 지적했다.

이 대표는 “결국 이번 사태는 단순한 ‘관리자 키 분실’ 사고가 아니다”면서 “‘누구나 예측 가능한 번호표를 달아놓고, 직원 전용 출입구를 활짝 열어둔 것’과 다름없는, 안일한 보안 아키텍처가 불러온 예견된 인재(人災)임이 오늘 질의를 통해 명확히 드러났다”고 목소리를 높였다.

유현진 기자