🔓 우리 집 현관문, 10년 동안 열려 있었다고?

🛒 쿠팡 해킹 사건 살펴보기

[출처:중앙일보] https://www.joongang.co.kr/article/25088254

안녕하세요, 구독자님! 

최근 뉴스 보셨나요? 전 국민을 깜짝 놀라게 한 '쿠팡 대규모 정보 유출 사건' 때문에 시끌시끌했죠. "해킹당했다는데 내 정보는 괜찮나?" 걱정되셨을 텐데요.

오늘은 이 사건이 대체 왜 일어났는지에 대한 기술적 원인을 설명해 드리겠습니다!

📨 [심층분석] 890억 보안 예산도 뚫렸다? 쿠팡 해킹의 기술적 진실

사건 보도 이후 쿠팡 앱에서 이틀간 게시되었던 공지

이번 사건의 핵심 원인은 고도의 해킹 기술이 아닌, 기본적인 보안 수칙 인 퇴사자 관리의 부재와 인증 시스템의 허점에 있었습니다. 

[쿠팡 해킹 3줄 요약]

 🎫 10년짜리 '프리패스' (JWT 토큰)

해커가 얻어낸 건 단순한 “정보”가 아니라, JWT(JSON Web Token) 라는 디지털 프리패스였다는 이야기로 종종 설명되곤 해요. JWT를 한 문장으로 말하면, 로그인/인증 상태를 증명하기 위해 서버가 발급해주는 토큰이라고 생각하시면 이해가 쉬워요 😊

출처 : https://logto.io/ko/jwt-decoder

JWT는 보통 아래 3가지가 점(.)으로 이어진 형태예요.

그리고 이 3조각을 사람이 다루기 편하게 Base64 형태로 인코딩해서 JWT가 완성돼요 📦

쿠팡 사건은 JWT 만료기간이 10년으로 지나치게 길었고, 여기에 서명키까지 유출되면서 크게 번진 보안 사고로 정리할 수 있어요. ⚠️

결국 해커는 훔친 서명키를 통해 "나는 관리자다(유효기간: 2035년까지)"라는 가짜 프리패스을 직접 만들어서 유유히 API을 통과할 수 있었던거죠.

 🚪 해커가 드나든 문, 'API'가 대체 뭔가요?

이번 쿠팡 해킹 사건 기사를 읽다 보면 "API를 통해 정보를 빼갔다"는 말이 계속 나옵니다. 벽을 뚫은 것도 아니고, API를 탔다는 게 무슨 뜻일까요?

출처 : https://juntcom.tistory.com/311

API(Application Programming Interface)는 컴퓨터 프로그램끼리 소통할 수 있게 해주는 '연결 통로'입니다. 쉽게 말하면, 웨이터라고 생각할 수 있습니다. 

우리가 쿠팡 앱에서 "내 주문 내역 보여줘"라고 버튼을 누르면, API(웨이터)가 주방(서버)으로 달려가서 데이터를 찾아 우리 화면에 띄워줍니다.

원래 API(웨이터)는 주문한 사람이 진짜 손님인지 확인하는 절차가 있습니다. 그런데 이번 사건의 범인은 퇴사자가 유출한 '마스터키(서명키)'를 갖고 있었습니다. 이걸로 '최고 관리자'라고 적힌 가짜 출입증을 만들어 API에게 보여준 것이죠.

API: "손님, 본인 확인 좀 할게요. 출입증(토큰) 보여주세요."

해커: "나 이 가게 관리자인데, 창고에 있는 회원 3,370만 명 주소록 좀 다 가져와 봐."

API: (진짜 도장이 찍힌 출입증을 보고) "아, 관리자님이시군요! 여기 있습니다."

결국 해커는 이 허점을 파고들어, API를 통해 무려 3,370만 건의 개인정보를 손쉽게 탈취했습니다.  

🛡️ 기본이 가장 중요해요

이번 사건은 엄청난 천재 해커가 뚫은 게 아니에요. ① 내부용 API를 외부에 노출한 실수, ② 인증키 관리를 소홀히 한 방심이 만든 인재(人災)였습니다.

더욱 뼈아픈 점은 이토록 방대한 데이터가 유출되는 동안, 회사의 감시망(모니터링)이 단 한 번도 작동하지 않았다는 사실입니다. 해커가 훔친 열쇠로 '정상적인 관리자' 행세를 했기에, 보안 시스템은 이를 외부 침입이 아닌 '내부 업무'로 착각했고 그 어떤 경고음도 울리지 않았습니다.

890억 원이라는 막대한 보안 예산을 쓰고도 막지 못한 이번 사태는, 역설적으로 "가장 강력한 보안은 최첨단 시스템이 아니라, 퇴사자의 권한을 제때 회수하는 '기본'에서 시작된다"는 교훈을 남겼습니다.

이미 엎질러진 물이지만, 이번 사태가 기업들에게는 뼈를 깎는 성찰의 계기가, 구독자님께는 다시 한번 내 정보의 안녕을 살피는 경각심을 주는 계기가 되기를 바랍니다. 부디 추가 피해 없이 이 사태가 마무리되길 지켜보겠습니다.