"조회가 곧 유출"…쿠팡 침해사고, 정부가 밝힌 판단 근거는[일문일답] 작성일 02-10 47 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">10일 과기정통부·민관합동조사단 쿠팡 침해사고 발표 <br>과기정통부 "페이지 조회 순간 이미 개인정보 유출…법적 판단도 동일"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="U459YF2uvK"> <figure class="figure_frm origin_fig" contents-hash="2a6b2152a80d17183b214112292603a30aa45e9cde7f83940c0cd04903f3a81c" dmcf-pid="u812G3V7hb" dmcf-ptype="figure"> <p class="link_figure"><img alt="최우혁 과학기술정보통신부 정보보호네트워크정책실장이 10일 서울 종로구 정부서울청사에서 쿠팡 침해사고 민관합동조사단 조사결과를 브리핑하고 있다. [사진=연합뉴스]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/10/552779-26fvic8/20260210161348099abvy.jpg" data-org-width="640" dmcf-mid="prMk8dEol9" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/10/552779-26fvic8/20260210161348099abvy.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 최우혁 과학기술정보통신부 정보보호네트워크정책실장이 10일 서울 종로구 정부서울청사에서 쿠팡 침해사고 민관합동조사단 조사결과를 브리핑하고 있다. [사진=연합뉴스] </figcaption> </figure> <div contents-hash="e4c456dc31b438817a1ef71ce4cbbcaeb13a0f935e93cc571393b24845f2bb39" dmcf-pid="76tVH0fzlB" dmcf-ptype="general"> <br>과학기술정보통신부가 쿠팡 침해사고에 대한 민관합동조사단의 조사 결과를 10일 발표했다. 정부는 쿠팡 전직 개발자에 의해 발생한 정보통신망 침해사고와 관련해 “조회 행위 자체가 곧 유출에 해당한다”는 점을 분명히 하며, 단순 열람과 정보 유출을 구분해야 한다는 쿠팡 측 주장과 선을 그었다. </div> <p contents-hash="c4059be62e642e00d6bcb439eef2a952551df52b9bfb87a0cc19ad07d172bfa6" dmcf-pid="zPFfXp4qSq" dmcf-ptype="general">이날 브리핑에서 정부와 조사단은 피해 규모 산정 기준을 비롯해 침해 경로와 해킹 수법, 결제 정보 유출 여부, 그리고 쿠팡의 기존 설명과 조사 결과 간 차이를 놓고 구체적인 설명을 내놨다. 다음은 이동근 민관합동조사단 부단장(KISA 디지털위협대응본부장) 등을 중심으로 한 주요 일문일답이다.</p> <p contents-hash="0cd04ea2f4cea2a75fd532d04eff7eeb74f5fdb7de6984270045b4120aec80d1" dmcf-pid="qQ34ZU8Bvz" dmcf-ptype="general">Q. 쿠팡 사이버 침해사고, 타사와 달리 ‘조회’와 ‘유출’을 굳이 나눠 발표한 이유는 무엇인가.<br>A. 조회와 유출을 기술적으로 명확하게 설명하기 위해 구분했다. 공격자가 특정 페이지에 접속하는 행위를 기술적으로는 ‘조회’라고 표현했지만, 그 순간 고객 정보는 공격자의 시스템, 즉 PC나 노트북, 서버 등으로 전송된다. 따라서 조회는 곧 유출을 의미한다. 법적으로도 개인정보가 시스템의 통제권을 벗어나 타인에게 노출됐다면 유출로 해석한다.</p> <p contents-hash="b7c699b0abf683efdc91c4f5692ea84628f1d48a85297382be5f112954cbfbf7" dmcf-pid="BeuQFqx2y7" dmcf-ptype="general">Q. 어떤 항목은 ‘건수’로, 어떤 항목은 ‘조회 횟수’로 발표한 이유는 무엇인가.<br>A. 데이터 구조의 차이 때문이다. ‘내 정보 수정’ 페이지는 한 페이지에 성명과 이메일 주소가 한 쌍으로 명확히 존재해 3367만여 건으로 특정할 수 있었다. 반면 배송지 목록 페이지는 한 사람이 최대 20개까지 주소를 등록할 수 있어 구조가 복잡하다. 해당 페이지가 약 1억4800만여 회 조회된 사실은 확인했지만, 그 안에 포함된 개인별 정보 건수와 중복 여부를 정확히 산출하는 데는 시간이 필요하다. 최종적인 상세 규모는 개인정보보호위원회에서 발표할 예정이다.</p> <p contents-hash="fedeff68bd4bb5f26e5836f43ea7db2ff023fc3980a5b58bce2435021ebab13c" dmcf-pid="bd7x3BMVTu" dmcf-ptype="general">Q. 카드 번호 등 결제 정보도 유출됐나.<br>A. 조사 결과, 결제 정보가 유출된 정황은 확인되지 않았다.</p> <p contents-hash="29782651e9f8f9c16df1424e603099393d33d1b730d42479b1f95b10b0de9f5e" dmcf-pid="KJzM0bRfTU" dmcf-ptype="general">Q. 배송지 페이지가 1억 회 넘게 조회됐는데 사람이 직접 접근한 것인가.<br>A. 아니다. 사람이 일일이 접근할 수 있는 규모가 아니다. 공격자는 스크립트 형태의 프로그램을 만들어 정해진 주소를 따라 웹페이지를 통째로 수집하는 웹 크롤링 자동화 기법을 사용했다.</p> <p contents-hash="9414f512883d826ceb7851847e405a6b39e85dfe7f6d1150159e211e5d5ed8ad" dmcf-pid="9iqRpKe4Cp" dmcf-ptype="general">Q. 공격에 사용된 IP가 2300여 개에 달하는데, 어떻게 활용된 것인가.<br>A. 추적을 피하기 위해 하나의 IP만 사용하지 않고 다수의 IP를 분산 활용한 것이다. 다양한 IP를 동원해 정보를 조회하고 유출한 흔적이 로그 분석을 통해 확인됐다.</p> <p contents-hash="f2fbc6666351cc01f8f840881c533312f6ba69ebf0368f6229169bc2bd8cf328" dmcf-pid="2nBeU9d8v0" dmcf-ptype="general">Q. 모의해킹 등을 통해 사전에 차단할 수는 없었나.<br>A. 쿠팡은 과거 모의해킹 과정에서 일부 문제점을 인지했지만, 지적된 특정 부분만 임시로 조치했을 뿐이다. 관문 서버에서 인증 토큰, 즉 전자 출입증의 위·변조 여부를 전반적으로 검증하는 근본적인 구조 개선은 이뤄지지 않았다.</p> <p contents-hash="7d8920ae66b62ee7141e980eb3774566b613899be8e76e839850cf8b7f01f802" dmcf-pid="VLbdu2J6S3" dmcf-ptype="general">Q. 공격자가 해외에 있거나 조직적인 배후가 있는 것 아닌가.<br>A. IP 접속 위치나 공격자의 배후, 조직 여부는 수사의 영역이다. 현재 경찰청에서 수사가 진행 중인 사안으로, 조사단이 구체적으로 답변하기는 어렵다.</p> <p contents-hash="9dfe4394fa1bee44d061683b07ae3317e9151dd23aedc7243c8a6164491961c5" dmcf-pid="foKJ7ViPSF" dmcf-ptype="general">Q. 쿠팡이 자체적으로 밝힌 유출 규모와 정부 발표 간 차이가 큰데.<br>A. 피조사기관의 발표는 하나의 주장일 뿐이다. 조사단은 수치가 맞느냐 틀리냐를 놓고 다투는 것이 아니라, 쿠팡 서버를 직접 정밀 조사해 확인된 객관적인 사실만을 투명하게 공개하고 있다.</p> <p contents-hash="e0fbcdd131489e334a41193199c7a051153f18b5461f843783163deea89b719f" dmcf-pid="4g9izfnQvt" dmcf-ptype="general">Q. 이번 사고 피해 범위가 국내에만 한정된다고 볼 수 있나.<br>A. 쿠팡이 전체 가입자 수를 공개하지 않고 있어 정확한 범위를 특정하긴 어렵다. 다만 이번 침해 사고의 유출 대상에는 국내 이용자뿐 아니라 해외 이용자가 포함될 가능성도 배제할 수 없다.</p> </section> </div> 관련자료 이전 [일문일답] "쿠팡, 내정보 이름·이메일 3367만건 유출…2차 피해 아직" 02-10 다음 '37세' 김상겸 올림픽 도전 아직 안 끝났다! "두 번 더 나가고파, 나이는 중요치 않아...金메달 따고 싶다" [인천공항 인터뷰] 02-10 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
