하버드 출신 이준석 “개인정보 유출”…다 밝혀냈다

하버드대학교 컴퓨터학과 출신 이준석 개혁신당 대표가 쿠팡 3,370만 명 개인정보 유출 사건의 핵심 원인을 낱낱이 밝혀내며 이목이 쏠렸다. 그는 “오늘 질의를 통해 대규모 개인정보 유출로 이어졌는지 규명해 냈다”라며 쿠팡의 허점을 짚었다.

앞서 쿠팡은 지난달 29일 자사 뉴스룸을 통해 “11월 18일 약 4,500개 계정의 개인정보가 무단 노출된 사실을 인지했고 이후 추가 조사 결과 약 3,370만 개 계정이 노출됐다”라고 발표했다. 또한 “공개된 정보에는 이름, 이메일 주소, 배송지 주소록(이름·전화번호·주소), 일부 주문 정보가 포함됐으며 결제 정보나 로그인 정보는 포함되지 않았다”고 밝혔다.

2일 이준석 개혁신당 대표는 국회에서 열린 과학기술정보방송통신위원회 현안 질의 후 자신의 페이스북에 쿠팡 개인정보 유출 사태의 구조적 문제를 조목조목 지적했다. 이 대표는 단순한 해킹이 아니라 쿠팡의 기본적인 보안 설계가 무너졌다고 판단했다.

이 대표는 “시작은 키 탈취였지만 그 키를 만능키로 만들어준 것은 잘못된 유저-인증시스템 설계다. 대학교 2학년 수준의 수업에서 알려주는 설계 원칙을 간과했던 것”이라며 기술적 허점을 언급했다. 특히 쿠팡이 처음 밝힌 해명과 실제 시스템 구조 사이에 큰 괴리가 있었다고 짚었다.

그는 “쿠팡 측은 처음에 ‘인증 토큰을 만드는 키(Key)가 탈취된 것이 문제’라고 해명했다. 그런데 아무리 키가 털렸다 한들 해커가 수천만 명의 사용자 계정을 뚫으려면 각 사용자의 이메일 주소를 다 알고 있어야 대입해 볼 수 있는 것 아닌가. 그 방대한 이메일 리스트는 애초에 어떻게 확보했는가”라며 핵심 의문을 제기했다.

이 대표는 이 사안을 단순한 키 분실이나 관리자 실수가 아닌 예견된 인재(人災)로 규정했다. 그는 “결국 이번 사태는 단순한 관리자 키 분실 사고가 아니다. ‘누구나 예측 가능한 번호표를 달아놓고 직원 전용 출입구를 활짝 열어둔 것’과 다름없는 안일한 보안 아키텍처가 불러온 결과”라고 강조했다.

그는 질의를 통해 파악한 보안 설계의 허점을 구체적으로 공개했다. 이 대표는 “이 의문을 풀기 위해 질의를 이어갔고 결국 쿠팡 보안 시스템의 치명적인 구조적 결함 두 가지를 밝혀냈다”라며 “이메일이 아니라 ‘1, 2, 3…’ 숫자만 알면 됐다”라며 “확인 결과 쿠팡은 내부 데이터베이스의 사용자 식별값(Primary Key)을 암호화된 난수나 랜덤 값이 아닌 순서대로 1씩 늘어나는 정수(Auto Increment Integer)로 설정해 두고 있었다”라고 설명했다.

또한 이 대표는 “즉 해커는 굳이 이메일을 알아낼 필요가 없었다. 그저 숫자 1부터 차례대로 대입만 하면 모든 사용자의 계정을 특정할 수 있었던 것”이라며 “만약 이를 예측 불가능한 값으로만 설계했더라도 키가 탈취된 것만으로는 수천만 명의 정보가 통째로 털리는 일은 막을 수 있었을 것”이라고 꼬집었다.

그는 “내부에서만 써야 할 문이 밖으로 열려 있었다”며 해당 API가 퍼블릭 상태로 열려 있었음을 지적했다. 이 대표가 쿠팡 보안 허점이 단순 키 분실 사고가 아니라 구조적 결함이라고 지적한 가운데 향후 쿠팡이 어떤 입장을 취할지 주목된다.