하루 630만건 ‘크롤링’…쿠팡 유출, 노트북 1대로 가능했나

쿠팡의 개인정보 유출 사건을 조사 중인 민관 합동 조사단이 용의자가 이용자 정보를 긁어모은(크롤링) 수법과 저장 패턴을 분석하며 유출 규모와 공범 여부 등에 조사력을 집중하고 있습니다.

4일 민관 합동 조사단은 쿠팡이 용의자의 것이라며 중국 하천에서 회수한 노트북 분석을 진행하고 있습니다.

쿠팡이 국회 과학기술정보방송통신위원회 소속 황정아 의원에게 제출한 답변에 따르면 쿠팡은 "노트북은 하천에서 건져 올린 상태 그대로 경찰에 제출됐습니다. 쿠팡은 노트북에 대한 포렌식 조사를 진행한 바 없으며 별도로 확인한 데이터도 없습니다"고 밝혔습니다.

조사단은 용의자가 하루 최대 6백30만건, 월 최대 1억건 이상의 공격을 통해 이용자 정보를 빼돌린 것으로 드러난 상황에서 노트북 한 대로 과연 이러한 규모의 공격이 가능했을지 분석하고 있습니다.

또, 유출한 개인정보 7억 건이 노트북 한 대에 저장될 수 있는 양인지도 들여다보고 있습니다.

유출 정보가 이름, 이메일 주소, 집 주소, 공동 현관 비밀번호, 주문 내용 등 성격이 제각각이어서 일괄적인 계산은 어렵지만, 1건당 100글자로 가정해도 1.4테라바이트(TB)에 달한다는 추산이 가능합니다.

1테라바이트는 A4 용지 2억3천만 장에 해당하는 정보량입니다.

용의자가 쿠팡에 보냈다는 협박 메일을 보면 이용자 주문 정보도 포함됐다고 강조하는 등 그가 정보를 단순 저장한 것이 아니라 저장해 분석했다는 추정도 가능합니다.

외부 저장장치 또는 클라우드 활용이 의심되는 대목인데 클라우드가 활용됐다면 접속 기록이 남아 범행에 활용됐을 가능성이 작다고 보는 시각도 있습니다.

2014년 카드 3사 개인정보 대규모 유출 사건 당시 보안 위험을 경고했던 문송천 카이스트 경영대 명예교수는 쿠팡 사태에 대해 "용의자가 서버 관리자처럼 최고의 접근 권한을 가지고 주전산기 데이터베이스를 자유롭게 드나들었을 것"이라고 추정했습니다.

문 교수는 "최대 4TB 정도 빼낸 것으로 추정됩니다. 단독범이 할 수 있는 규모가 아닙니다"라고 주장했습니다.

지난 30∼31일 열린 쿠팡 연석 청문회에서도 용의자 협박 메일에 '우리가(We)·우리의(Our)' 등의 표현이 나오는 점이 지목되면서 복수의 참여자가 있을 가능성이 거론됐습니다.

민관 합동 조사단은 아직 용의자의 정보 수집(크롤링) 패턴, 저장 방법 등이 구체화하지 않았다며 모든 가능성을 열어두고 조사한다는 입장입니다.

조사단 관계자는 "노트북은 현재 경찰이 갖고 있으며 경찰과 소통해 구체적인 내용을 파악 중"이라고 말했습니다.

황정아 의원은 "쿠팡은 용의자가 3천개 정보만 저장했다고 밝혔지만, 정작 핵심 증거물인 노트북은 포렌식 하지 않아 셀프 조사의 '축소, 은폐' 의혹이 불거질 수밖에 없는 지점"이라고 지적했습니다.

쿠팡이 회수한 노트북에 대한 자체 정밀 조사를 진행하지 않았다면서도 유출량이 3천 건에 그친다고 자신 있게 주장하는 데는 쿠팡 측이 글로벌 사이버 보안 업체 맨디언트, 팔로알토 네트웍스 등에 의뢰해 진행했다는 자체 검증에 상당한 자신감이 있어서가 아니냐는 관측도 나옵니다.

한 보안 업계 관계자는 "쿠팡이 정부와 저렇게 강한 대립각을 세우는 것으로 미뤄 무언가 자신이 있다는 것 같지만, 포렌식 보고서를 공개하지 않는 이상 확언할 수 없을 것"이라며 해당 보고서가 '스모킹건(결정적 증거)'이 될 수 있다고 지목했습니다.

쿠팡은 외부 검증 보고서를 정부, 국회에 제출하거나 공개하지 않고 있습니다.

이 관계자는 "쿠팡의 외부 보고서 내용과 정부 조사 결과가 다르게 나올 경우 쿠팡 입장에서는 '정부 조사에 문제가 있다'고 이의를 제기할 수단이 될 수도 있다"고 관측했습니다.