02/12/2025
3370만 명의 개인정보가 유출된 쿠팡 사태의 원인은 퇴사한 외국인 직원이 회사가 방치한 ‘디지털 마스터키’를 악용했기 때문인 것으로 드러났다.
이번 해킹은 시스템 접속 권한인 ‘인증 토큰’을 생성하는 ‘서명키’가 유출돼 발생했다.
토큰이 일회용 출입증이라면, 서명키는 그 출입증을 발급해주는 도장과 같다.
서명키의 유효 기간을 통상 5~10년으로 길게 설정해둔 정황이 담겼다.
쿠팡은 해당 직원이 퇴사했음에도 이 ‘장기 유효 마스터키’를 갱신하거나 폐기하지 않았다.
이 때문에 용의자는 퇴사 후에도 외부에서 정상적인 출입증을 무한정 위조해 5개월간 아무런 제지 없이 고객 데이터베이스(DB)에 접근할 수 있었던 것으로 드러났다.
쿠팡의 개인정보 유출 사태가 중국 국적 전직 직원의 소행으로 가닥이 잡히자 그동안 쿠팡이 공격적으로 추진해 온 글로벌 인재 채용 전략이 거센 역풍을 맞고 있다.
글로벌화와 비용 절감 앞세워 해외 인력을 무분별하게 늘리다가 내부 통제 실패로 한국 국민의 정보를 통째로 넘겨주는 결과를 초래했다는 비판이다.
쿠팡은 외국인 임직원이 10%가량인 1000여 명에 이르는 것으로 알려졌다. 일각에선 “20~30%를 넘을 수 있다”는 얘기도 나온다.
e커머스업계 관계자는 “쿠팡이 개발 역량 강화를 명분으로 중국과 인도에서 인력을 대거 채용해 한국 프로젝트에 투입해 왔다”며 “특히 이번 사건의 유력 용의자인 중국인 전직 직원 A씨처럼 핵심 데이터에 접근할 수 있는 권한을 가진 외국인이 늘어나 보안 리스크가 시한폭탄처럼 커져 왔다”고 지적했다.
쿠팡 내부에서는 외국인 직원, 특히 고위직 외국인에 대한 불만이 커지고 있다. 복수의 업계 관계자에 따르면 쿠팡 내 핵심 보직인 L7급(팀장·디렉터급) 개발자의 절반 이상이 인도인과 중국인으로 채워진 상태다.
사내 커뮤니티인 블라인드 등에서는 이와 관련한 성토가 이어지고 있다. “인도인, 중국인 리더들은 문제가 생기면 언어 장벽을 핑계로 나 몰라라 한다”는 게시글이 줄을 잇고 있다.
경찰은 쿠팡 고객 3370만 명의 개인정보를 유출하는 데 사용한 IP 주소를 확보해 유출자를 추적 중이다.
정부와 정치권은 이번 사태를 엄중하게 보고 있다. 개인정보보호위원회는 역대 최대 규모 과징금 부과를 검토 중이다.
정치권도 일제히 엄정 대처하겠다는 입장을 내놨다.
[2025년 12월 02일 A8면]
#이슈 #소식 #쿠팡 #요즘
