최근 4년간 쿠팡의 정보기술 투자액 중 정보보호 부문이 차지하고 있는 비중도 계속 줄어들어 보안 시스템 관리 허점을 자초한 것이 아니냐는 비판도 나옵니다. 정보기술 투자액에서 정보보호 부문이 차지하는 비중은 2022년 7.1%에서 2023년 6.9%로 줄었고, 지난해에는 5.6%였습니다. 올해는 4.6%로 3년 새 2.5%포인트 감소했습니다.

 

쿠팡의 안일한 사고 대응도 집중포화를 받고 있습니다. 쿠팡 고객 정보 유출 사태와 관련해 지금까지 드러난 경위를 살펴보면 피의자는 내부에서 인증 업무를 담당했던 중국 국적의 퇴사 직원으로 지난 6월부터 외국 서버를 통해 개인정보가 유출됐음에도 쿠팡은 5개월가량 사고를 인지조차 하지 못했죠. 피의자는 쿠팡 측이 제때 갱신하거나 폐기하지 않은 액세스 토큰 서명키를 통해 퇴사 후 범행을 저지른 것으로 파악됐습니다. 회원들의 보안 인증 체계를 방치한 쿠팡의 총체적 조직관리 문제점이 이번 사고의 원인이 된 것입니다. 또한 경찰 수사 결과 쿠팡은 '회원들의 개인정보를 보유하고 있다. 보안을 강화하지 않으면 유출 사실을 언론에 알리겠다'는 협박 메일까지 받은 것으로 알려져 내부 접근 권한 관리 허점의 낱낱이 드러났습니다.

 

사태의 심각성에도 쿠팡은 카드번호 등 결제 정보가 유출되지 않았다는 해명을 내놔 사건의 피해 규모를 축소 시키고 있다는 비판을 받고 있습니다. 무단으로 유출된 고객 정보에는 이름과 전화번호, 배송지 주소, 현관 비밀번호 등 민감한 개인정보들이 포함돼 보이스피싱, 스미싱 등 각종 2차 범죄에 악용될 소지가 있습니다.

 

 

유출된 개인정보가 2차 범죄에 악용되지 않도록 하는 게 정보보안 대응책 마련보다 시급하다는 지적도 나왔습니다. 이종우 아주대학교 경영학부 겸임교수는 "이미 문제가 불거진 상황인 만큼 범죄 악용으로 이어지는 고리부터 끊는게 최우선"이라며 "투입된 외부 보안 전문가를 중심으로 문제를 면밀히 살펴야 한다"고 말했습니다. 이어 "특히 이번 사건에서 쿠팡이 보여준 보안 취약에 대한 늦장 대응, 피해 발표 번복 등으로 소비자 신뢰가 무너졌을 것"이라며 "지금처럼 문제가 폭로되는 형태가 아닌, 기자회견 등을 통해 구체적인 수습 방안과 피해 상황 발표를 서둘러야 하는 시점"이라고 강조했습니다.

 

중국인 직원의 정보 유출 소행으로 문제를 축소하려는 쿠팡에 대한 비판도 제기됩니다. 김승주 고려대학교 정보보호대학원 교수는 "이번 사건은 해고에 앙심을 품은 중국인 엔지니어가 자신이 보유한 주요 키 접근 권한을 이용해 수개월에 걸쳐 고객 인증토큰을 생성하고 고객 정보를 수집한 사건"이라며 "쿠팡은 주요 키들이 접근할 수 있는 직원이 퇴사했음에도 이를 리셋하지 않았고, 정상 사용자로 위장한 채 수개월간 지속적 비정상적 크롤링을 탐지하지 못한 책임을 피하기 어렵다"고 했습니다.