[과학1열] 대규모 개인정보 유출 쿠팡 사태…원인과 대책은?

[앵커]
3천만 명이 넘는 대규모 개인정보가 유출된 쿠팡 사태가 연일 확산하고 있습니다.

개인정보 유출의 원인과 대책은 무엇인지 이성규 기자와 알아보겠습니다.

안녕하세요.

[앵커]
쿠팡 사태가 터진 지 1주일이 지났지만, 아직 진정될 기미가 보이질 않고 있습니다.

우선 쿠팡 개인정보 유출이 어떻게 이뤄진 건지부터 설명해주시죠?

[기자]
네, 쿠팡에서 3,300만 명이 넘는 대규모 개인정보가 유출됐는데요.

쿠팡 고객계정 정보 유출은 지난 6월 말부터 다섯 달 가까이 이뤄진 것으로 파악됐습니다.

정보를 빼돌린 사람은 중국 국적의 전 쿠팡 직원으로 쿠팡에서 인증 시스템을 개발하는 개발자였습니다.

정부는 조사 결과 일반 고객이 쿠팡에 접속할 때 인증에 사용되는 암호키가 사용됐다고 밝혔는데요.

인증 토큰과 서명키라는 게 있는데요.

인증 토큰은 로그인할 때 발생하는 출입증으로 통상 토큰을 갖고 있으면 시스템에 로그인 없이 접근할 수 있습니다.

이 인증 토큰을 생성하는 데 필요한 게 서명키 입니다. 다른 말로 암호키라고 하죠.

보안 전문가들은 인증토큰과 서명키를 악용하면 외부에서 접근해 자신의 인증 권한을 행사할 수 있다고 지적했습니다.

또 통상 퇴사하면 모든 계정과 접근권한을 뺏어야 하는데 만약 쿠팡이 이를 살려뒀다면 문제라고 지적했습니다.

류제명 과학기술정보통신부 2차관은 지난 2일 쿠팡 관련 국회 긴급현안 질의에서 쿠팡의 관리부실을 언급했는데요.

그는 KT 무단 소액결제 사고처럼 관리 부실이 이번 쿠팡 개인정보 유출 사고의 배경이 됐다고 언급했습니다.

또 KT의 펨토셀 관리 부실과 기술적으로 차별성이 있지만, 관리부실 문제는 공통이라고 덧붙였습니다.


[앵커]
네, 그렇군요, 방금 다른 개인정보 유출 사고 언급했는데, 개인정보 대규모 유출이 이번이 처음은 아니죠?

[기자]
네, 그렇습니다.

국내에서 대규모 정보 유출 사태가 본격화한 것은 2010년대 초반부터인데요.

2011년 네이트·싸이월드 해킹으로 3천만 명이 넘는 기본 인적 정보가 유출됐습니다.

2014년엔 신용카드 3사에서 1억 건이 넘는 금융, 신용 정보가 유출됐고요.

2016년에는 인터파크에서 천만 명 규모의 계정 정보가 유출됐습니다.

이런 개인 정보 유출은 공식 통계에서도 확인할 수 있는데요.

개인정보보호위원회의 연간 개인 정보 유출신고 건수는 2022년 64만여 건에서 2023년 천만 건 이상으로 급증했습니다.

[앵커]
네, 그렇군요. 쿠팡 사태뿐만 아니라 얼마 전 KT 해킹 사태도 그렇고 개인정보 유출 사태가 계속 터져요.

정부 대책은 있는 건가요?

[기자]
네, KT와 쿠팡 해킹 사고가 모두 관리부실이 사고의 배경으로 지목되면서 기업의 책임론이 불거지고 있는데요.

이와 관련해 주목되는 것이 징벌적 손해배상입니다.

배경훈 부총리 겸 과학기술정보통신부 장관은 지난 2일 국회 쿠팡 관련 긴급현안 질의에서 징벌적 손해배상을 언급했는데요.

그는 쿠팡 개인정보 유출 사고 등과 관련해 국민에게 직접 피해 주는 일에 대해선 징벌적 손해배상을 통해 반복되지 않도록 하는 게 중요하다고 말했습니다.

이어 개인정보보호위원회와 협의해 이런 일이 발생하지 않고 기업들이 보안에 투자할 수 있도록 유도하겠다고 덧붙였습니다.

배 부총리는 YTN에 출연해 잇단 개인정보 유출 사태를 막기 위한 강화된 관계부처 종합 대책을 곧 발표하겠다고 말했는데요. 직접 들어보겠습니다.

[배 경 훈 / 부총리 겸 과학기술정보통신부장관 : 사실 이미 지난 10월에 범부처 차원에서 정보보호 종합대책을 발표한 바 있습니다. 그러나 그 이후에도 계속해서 이런 해킹 사고들이 일어나고 있습니다. 저희는 보다 강화된 정보보호 종합대책을 준비하고 연내에 발표를 할 준비를 하고 있습니다.]

[앵커]
기업이 보안을 강화해 해킹을 막는 것이 무엇보다 중요하겠지만, 개인도 해킹에 대비해야 할 것 같은데 주의해야 할 점이 있다면요?

[기자]
네, 개인 유출 정보가 악용될 위험은 우선 계정 탈취와 피싱 사기이고요.

물론 유출된 개인정보만으로 자동으로 금융 계좌가 털리지는 않습니다.

국내 은행권은 이상 거래 탐지 시스템과 추가 인증 절차를 통해 비정상 거래를 상당 부분 차단하고 있는데요.

하지만 피싱·스미싱 등을 통해 이용자 스스로 인증 절차를 수행하게 하는 공격은 여전히 위험 요인으로 남아 있습니다.

보안 전문가들은 주기적으로 비밀번호를 바꿀 것을 권고하고 있습니다.

또 OTP 등 2단계 인증도 활성화하고 명의도용 방지 서비스 등을 통해 본인 명의 가입 현황을 알아보며 신규 개설 차단을 설정하는 것이 좋습니다.

[앵커]
네, 오늘 말씀 감사합니다.





YTN 사이언스 이성규 (sklee95@ytn.co.kr)