해롤드 로저스 쿠팡 임시대표가 지난 12월 31일 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 및 개인정보 유출, 불공정 거래, 노동환경 실태 파악과 재발 방지 대책 마련을 위한 청문회에서 위원 질의에 답하고 있다. 연합뉴스


쿠팡 해킹 사건이 “단순한 기업 보안 사고를 넘어 국가안보 차원의 문제”라는 분석이 나왔다. 국가안보전략연구원(INSS)은 8일 발간한 이슈브리프 ‘쿠팡 해킹 사태가 국가안보에 주는 시사점’에서 2025년 발생한 쿠팡 해킹 사태와 관련해 “대형 플랫폼이 보유한 데이터가 더 이상 사 릴짱 적 재산에 머무르지 않고 ‘국가 핵심 디지털 인프라’이자 안보 자산으로 기능하고 있음을 보여준 사건”이라고 밝혔다.
보고서는 이번 해킹이 “외부 해커의 서버 침입이 아닌 내부 인증키(JWT 서명키) 관리 실패와 퇴사자 계정에 대한 권한 회수 미흡에서 비롯됐다”고 짚었다. 쿠팡 내부 시스템에서 사용되던 인증키가 장기간 폐기되지 않은 채 유지 바다이야기프로그램 됐고, 해당 키로 생성된 토큰은 “정상 로그인과 완전히 동일하게 인식돼 기존 보안 장비로는 탐지가 거의 불가능한 상태”였다는 설명이다.
이로 인해 약 3370만 명의 개인정보가 유출됐다. 보고서는 “이름, 전화번호, 이메일 주소뿐 아니라 주소, 위치정보, 공동현관 비밀번호 등 국민의 실생활 안전과 직결된 정보가 포함됐다”며 “온라인 계정 릴게임바다신2 정보 유출을 넘어 실제 생활 안전까지 위협할 수 있는 수준”이라고 지적했다.
계정 설계와 관제 체계의 구조적 취약성도 드러났다. 보고서는 “사용자 계정에 1, 2, 3, 4처럼 순차적으로 증가하는 번호를 부여해 공격자가 계정 번호를 차례로 입력하는 것만으로 전체 계정을 조회할 수 있었다”고 밝혔다. 또한 “관제 시스템은 로그인 시도만 감시 야마토게임연타 했을 뿐, API 응답으로 어떤 데이터가 외부로 나가고 있는지에 대한 감시는 거의 없었다”고 분석했다.
보고서는 이번 사건을 국가안보 사안으로 규정했다. “주소, 위치정보, 공동현관 비밀번호 등 정보가 범죄 조직이나 적대 국가에 넘어갈 경우 개인 범죄를 넘어 사회 불안 조성, 정보전·심리전으로 확장될 가능성이 있다”는 것이다. 실제로 이번 모바일바다이야기하는법 사태에는 국정원이 참여한 범부처 태스크포스(TF)가 구성됐다. 보고서는 이를 두고 “대규모 데이터 유출을 국가안보 문제로 인식하기 시작했다는 중요한 신호”라고 평가했다.
아울러 쿠팡의 지배구조도 안보 리스크로 지목됐다. 보고서는 “쿠팡의 실질적 결정권이 미국 본사와 김범석 의장에게 있는 구조는 국가가 자국민 데이터를 보호하기 위한 감독권을 행사하는 데 한계를 드러냈다”고 밝혔다. 이와 함께 “미국 정치권의 반발과 통상 마찰 가능성이라는 외부 변수 속에서 한국 정부가 정책적 딜레마에 직면하고 있다”고 진단했다.
보고서를 작성한 정준오 부연구위원은 정책 대안으로 “일정 규모 이상의 플랫폼을 ‘중요 디지털 운영자’로 지정하고 보안을 국가안보 수준으로 관리하도록 의무화해야 한다”고 제안했다. 구체적으로는 인증키 중앙 관리, 퇴사자 계정 자동 회수, API 응답 데이터 상시 감시, 통합 사이버 관제 체계 구축과 함께 “사이버안보 기본법 제정이 필수적”이라고 밝혔다.
박세영 기자