📨 개인정보 배송 잘 받았습니다..?

📨개인정보 배송 잘 받았습니다..?

구독자님 안녕하세요!

요즘 인터넷만 켜도 보안 사고가 뉴스 헤드라인을 장식하고 있죠! 그런데 좀 더 믿고 의지했던 곳에서 사고가 터졌다는 소식이 들려왔습니다 😢 바로 쿠팡의 개인정보 유출 사건인데요! 이름, 이메일, 배송지, 연락처까지 택배는 받았지만, 생각지 못한 개인정보까지 같이 도착한 셈이네요..🚚

이번 뉴스레터에서는 이 사건이 단순한 사고가 아니라, 우리가 매일 쓰는 편리한 서비스 뒤에 숨은 보안의 빈틈이 얼마나 컸는지 함께 살펴보겠습니다!

📰쿠팡 개인정보 유출 사고의 전말

출처: https://namu.wiki/w/쿠팡 개인정보 유출 사건

이번 사고는 쿠팡이 해외에서 발생한 비정상 접근을 내부 점검 과정에서 확인하면서 드러났어요.

쿠팡은 처음엔 “일부 계정만 노출” 이라고 밝혔지만, 조사 과정에서 유출 계정 수가 계속 증가하며 사태가 커졌는데요. 결국 총 3,370만 명 규모의 개인정보가 노출된 것으로 확인되었고, 쿠팡은 즉시 KISA에 침해 신고를 진행하였어요. 🚨

초기 발표에서 결제정보나 비밀번호 같은 민감정보는 안전하다고 강조했지만, 실제로 노출된 정보들은 일상에서 가장 많이 쓰이는 정보들이었습니다. 💽 '이름, 이메일 주소, 휴대전화 번호, 배송지 주소, 일부 주문·배송 이력' 등 겉으로는 단순한 정보처럼 보일 수 있지만, 이 조합은 보이스피싱·스미싱에 활용하기에 딱 좋은 정보들이죠!

그렇다면 로그인도 하지 않은 상태에서 어떻게 이런 정보들이 통째로 보여지게 된 걸까요? 🔍

🔑사건의 발단, 전자서명키(Signing Key)

출처: https://it.chosun.com/news/articleView.html?idxno=2023092152210

이번 쿠팡 개인정보 유출 사고는 해커가 쿠팡의 로그인 시스템을 우회할 수 있었던 이유에서 시작되는데요! 바로 쿠팡 내부에서 사용되던 전자서명키(Signing Key)가 문제였죠. 이 서명키는, 사용자가 로그인했는지를 인증하는 일종의 출입증이에요. 정상적인 요청인지 판단할 때 서버는 이 키를 확인해 문을 열어주는 거죠.🚪

문제는 이 중요한 키가 오래된 상태로 방치되어 있었다는 겁니다.. 심지어, 발급자가 이미 퇴사했음에도 키는 계속 유효했고, 접근 권한도 회수되지 않았어요. 해커는 이 키를 손에 넣고, 비밀번호나 추가 인증 없이도 정상 사용자처럼 고객 데이터를 들여다볼 수 있게 되었죠. 🤯

거기다 비정상적인 접근이 수 개월 동안 반복됐는데도, 이를 감지해야 할 로그 모니터링 및 관제 시스템이 제대로 작동하지 않은 점 또한 이번 사고의 큰 문제점이라고 할 수 있겠죠!🕵️‍♂️

⚙️운영 편의가 만든 보안의 틈

쿠팡은 하루에도 수백만 건의 주문이 오가는 서비스예요. 그만큼 고객센터나 물류 담당자가 즉시 고객 정보를 확인하고 처리할 수 있는 내부 시스템을 갖추고 있죠. 이 시스템 자체는 업무 효율을 위해 꼭 필요한 기능이에요.

하지만 문제는, 이 시스템이 “누가, 얼마나, 언제” 정보를 열람했는지를 촘촘하게 관리하지 못하고 있었다는 점입니다. 특히 이번 사고에서 확인된 비정상 조회는 해외 서버를 통해 장기간 반복되었는데, 이동국 IP에서 수천만 건에 달하는 고객 정보가 확인되었음에도 시스템은 이를 위험 행동으로 판단하지 못한 채 계속 접근을 허용했어요. 🔓

출처 : https://www.khaiyang.com/4827

즉, 정보는 내부 시스템에 의해 제대로 보호되고 있는 것이 아니라 “조회 권한이 있는 것처럼 보이기만 하면” 그 누구든 대량 조회가 가능한 구조였던 셈이에요. 이건 단순한 기술 취약점이 아니라, 권한 관리·접속 통제·이상징후 탐지 정책이 모두 허술했다는 사실을 드러낸 부분입니다.

결국 공격자는 관리되지 않은 시스템 운영 방식을 파고들어, 별다른 기술적 공격 없이도 정상 트래픽으로 위장한 채 개인정보를 가져갈 수 있었던 거죠. 🕳️

🧰 쿠팡과 정부의 대응

유출 사실이 확인된 이후, 쿠팡은 우선 추가 피해 확산을 막는데 집중했어요. 비정상적인 정보 조회가 이뤄지던 경로를 즉시 차단하고, 내부 인증 체계에 대해 전면적인 보안 점검에 착수했습니다. 쿠팡은 동시에 관계 기관에 사고 내용을 보고하고, 외부 보안 전문가와 함께 정확한 유출 범위와 경로 파악에 나섰어요. 정부 역시 이 사건을 심각하게 받아들여 민관협동조사단을 구성했습니다.

추가적으로 쿠팡은 유출 가능성이 확인된 이용자들에게 안내 문자와 이메일을 직접 발송했어요. 그리고 고객센터·앱 공지를 통해 스미싱 주의, 의심 링크 클릭 금지, 쿠팡 고객센터 사칭 경고 등 2차 피해 예방 안내를 반복적으로 공지하고 있습니다. 조사 결과에 따라 피해 이용자 범위가 확대될 때마다 안내 대상을 계속 확장하고 있어요. 📢

🚨시작되는 진짜 위험, 2차 공격

그렇다면 저희가 가장 조심해야 할, 2차 공격이 무엇인지, 어떻게 대비 해야 할 까요? 쿠팡 이용자라면 누구나 받았을 법한 배송 알림 문자 한통으로도 피해를 받을 수 있어요. 💀

출처 : https://news.nate.com/view/20251202n23374

이 링크 아래엔 피싱 사이트, 악성앱 다운로드, 개인정보 입력 유도 등이 숨어 있을 수 있고, 정말 택배가 왔었던 기록이 있다면 그 메시지를 의심하기란 쉽지 않죠. 한 번 정보가 새 나가면, 바꾸기 어려운 정보가 많다는게 더 문제예요.. 비밀번호는 바꿀 수 있어도, 이름 · 전화번호 · 주소까지 같이 유출된 상황에서 그걸 모두 바꾸는 건 현실적으로 거의 불가능하니까요. 😞

그러니 저희가 할 수 있는 최선의 방어로는 의심스러운 문자, 이메일, 전화는 바로 삭제하거나 무시하고, 링크 클릭 전 쿠팡 앱/공식 사이트로 직접 열어보고, 비밀번호만 바꾼다기 보다, 2단계 인증 + 이메일 및 휴대폰을 분리 시키는 방법이 있겠죠! 유출된 정보는 이미 퍼졌지만, 그 이후의 피해를 막는 것이 가장 중요한 과제가 될거에요!

마무리

쿠팡은 국내에서 가장 많은 사람들이 이용하는 플랫폼 중 하나죠. 우리가 편리함을 믿는 동안, 보안은 그만큼 무거운 책임을 요구합니다. 이번 사고는 단순한 기술적 실수나 시스템 오류를 넘어, 개인정보를 다루는 기업이라면 반드시 지켜야 할 기본 원칙이 얼마나 중요한지를 보여준 사건이에요.

한 번 새어나간 정보는 되돌릴 수 없고, 그 피해는 시간이 지나며 형태를 바꿔 찾아올 수 있습니다. 이제 “서비스가 편리하니까 괜찮겠지!”라는 생각 대신, 우리 스스로도 경계를 유지하는 습관이 필요해요.

정부와 쿠팡의 조사는 계속 진행 중이고, 재발 방지를 위한 제도 개선도 논의되고 있습니다. 오늘 뉴스레터가 “아 맞다, 내가 조심해야 하는구나!” 한 번쯤 생각할 수 있는 계기가 되었길 바랄게요! 😊

다음 주에도 생활 속 보안 이야기를 더 흥미롭게 들고 찾아오겠습니다! 읽어주셔서 감사합니다! 🐣

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌