해롤드 로저스 쿠팡 대표이사가 17일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 청문회에서 의원 질의를 받고 있다. [사진=연합뉴스]

[디지털데일리 김보민기자] 대규모 고객 정보를 유출한 쿠팡이 과거에도 내부 보안통제를 부실하게 운영했을 가능성이 제기됐다. 쿠팡은 이번처럼 직원이 권한을 남용해 인증키를 악용한 사고가 없었다고 해명했지만 국회에서는 "장담할 수 없다"는 질타가 이어졌다.

최민희 국회 과학기술정보방송통신위원회 위원장은 17일 청문회에서 브랫 매티스 쿠팡 정보보호최고책임자(CISO)에게 "쿠팡은 직원이 마스터키를 가지고 나간 것을 이번 사태 해킹 원인으로 보고 있는 것이 맞냐"고 물었다. 이에 매티스 CISO는 "그렇다"고 답했다.

이어 최 의원은 "직원이 퇴사한 시기가 언제인가"라고 묻자 매티스 CISO는 "1월1일이거나 (지난해) 12월 말"이라고 답했다. 이어진 질의에서 "마스터키가 무려 11개월동안 탈취된 상태였던 것이냐"고 묻자 매티스 CISO는 "맞다, 해당 직원이 재직 중일 때 키를 탈취했다"고 답했다. 이어 "해당 직원은 업무 성격상 서명키에 대한 접근성을 가지고 있었고, 본인에게 부여된 키에 대한 접근권한을 남용해 키를 탈취한 것"이라고 설명했다.

최 의원은 "개발팀 직원이 이런 일을 할 수 있는데, 보안팀은 왜 몰랐냐"고 비판했다. 이에 김승주 고려대 정보보호대학원 교수는 "내부 시스템이 제대로 만들어졌다면 마스터키는 키 관리(매니지먼트) 시스템 또는 하드웨어 모듈 안에 저장돼야 하고, 개발자라 하더라도 복사 자체가 불가능했어야 했다"며 "보안점검에서 이 부분이 확인되지 않은 듯 하다"고 평가했다.

쿠팡이 내부 보안통제를 허술하게 운영한 점이 드러났고, 추가 사고가 있었지만 탐지하지 못했을 가능성도 제기됐다. 최 의원은 "또 다른 개발자가 마스터키를 가지고 나가서 개인정보를 해킹해 소지한 일이 있냐"고 묻자 매티스 CISO는 "과거에 이러한 사례는 없는 것으로 안다"며 "키에 접근할 수 있는 직원 수도 제한적"이라고 해명했다.

그러자 최 의원은 "그것을 어떻게 아냐"고 되물었다. 이어 "이번 사태도 퇴사자가 누군가에게 메일을 보내 알게 되지 않았냐"며 "과거에 없었다는 것을 어떻게 아냐"고 질문했다. 이에 매티스 CISO는 "조사를 통해 이런 사례가 없었다는 것을 확인했고, 나중에라도 확인된다면 조속히 알리겠다"고 말했다.

김 교수는 민관합동조사단이 쿠팡 내 키관리 체계부터 점검해야 한다고 제언했다. 김 교수는 "과거에 어느 정도 해킹 여파가 있는지 조사가 충분히 안됐을 것"이라며 "조사를 했더라도 로그 기록이 남은 범위에서만 했기 때문에 (추가 사고 여부를) 완전히 밝히기 어려웠을 것"이라고 말했다. 그러면서 "쿠팡이 내부에 모의해킹 보고서가 있다고 하니, 키 매니지먼트와 관련된 내용을 입수해 검토하는 것이 좋을 것"이라고 덧붙였다.

이날 매티스 CISO는 쿠팡 내부에 자체 모의해킹 보고서가 있고 조사단 제출에 대한 승인을 완료했다고 밝혔다. 이에 배경훈 부총리 겸 과학기술정보통신부 장관은 "쿠팡이 자체적으로 여러차례 모의해킹을 진행한 것으로 알고, 취약점이 나왔다는 쿠팡 퇴사자 의견도 있었다"며 "이런 부분에 있어 모의해킹 보고서를 요청하고 입수해 조사하겠다"고 약속했다.