'자동 전송 스크립트' 확인...해외 반출 여부는 '미궁'

’공격용 스크립트’ 확인…해외 반출 여부는 ’미궁’
쿠팡 정보유출 공격자, 정상 로그인 없이 서버 접속
외부 서버로 정보 전송하는 ’공격 스크립트’ 제작

[앵커]
쿠팡에서 개인정보를 탈취한 범인이 수집한 정보를 쿠팡 서버에서 해외 클라우드로 바로 보낼 수 있는 이른바 ’공격용 스크립트’를 만든 사실이 확인됐습니다.

하지만 로그 기록이 남아있지 않아 정보가 해외 서버로 전송됐는지는 미궁입니다.

오동건 기자가 보도합니다.

[기자]
쿠팡 정보유출 사건의 범인은 쿠팡의 이용자 인증 허점을 악용해 정상 로그인 없이 쿠팡 서버에 접속, 다른 사람 계정의 주문 내역과 배송지 정보 등을 들여다봤습니다.

더 나아가 범인이 정보를 외부 서버로 전송할 수 있는 기능까지 준비한 사실도 드러났습니다.

조사단의 포렌식 분석 과정에서 유출 정보를 외부 서버로 전송할 수 있는 이른바 ’공격 스크립트’가 발견됐습니다.

[최우혁 / 과학기술정보통신부 정보보호네트워크정책실장 : 유출한 정보를 해외 클라우드 서버로 전송할 수 있는 기능이 포함되어 있는 것을 확인하였습니다.]

유출자가 탈취한 정보를 일일이 복사, 전송하는 대신 쿠팡 서버에서 정보를 해외 서버로 일괄 전송하는 코드를 짠 것인데, 실제로 해외 서버로 전송이 이뤄졌는지는 확인되지 않았습니다.

쿠팡 측 서버와 로그 기록을 분석했지만 직접적인 통신 기록은 남아 있지 않았다는 설명입니다.

[이동근 / 한국인터넷진흥원 디지털위협대응본부장 : 제출받은 하드디스크 상에 직접적으로 통신한 기록들이 남아 있지는 않았었고요. 남아 있지 않은 이유는 일단 로그가 일부 삭제되었을 수도 있습니다. 저희가 봤을 때는 삭제의 흔적도 있는데]

전문가들은 로그 기록만으로 해외 전송 여부를 단정할 수는 없다고 지적하고 있습니다.

[김승주 / 고려대 정보보호대학원 교수 : 만약에 사진을 찍는 형태로 그걸 내보내 그걸 가져갔으면 그건 로그 기록이 남아 있다 하더라도 확인이 불가능하죠.]

이번 조사로 쿠팡의 보안 관리 체계 허점도 고스란히 드러났습니다.

위조된 전자 출입증이 정상 발급 절차를 거쳤는지 검증하는 단계가 부족했고, 서명키를 개발자가 개인 노트북에 저장하는 등 기본적인 관리도 미흡했던 것으로 확인됐습니다.

주소와 공동현관 비밀번호 등 민감한 개인 정보가 어디로 빠져나갔는지 알 수 없는 상황에서 ’쿠팡 사태’가 일으킨 불안은 여전히 해소되지 않고 있습니다.

YTN 오동건입니다.

영상편집 : 김민경
디자인 : 정은옥