쿠팡 CISO "해커, 프라이빗 키 탈취해 가짜 토큰 생성…일부 API만 접근"

2일 국회 과학기술정보방송통신위원 쿠팡 해킹 관련 현안질의

브랫 매티스 쿠팡 CISO가 2일 서울 여의도 국회에서 열린 과학기술정보방송통신위원회 전체 회의에서 질의에 답변하고 있다. [사진=연합뉴스]

브랫 매티스 쿠팡 최고정보보안책임자(CISO)는 퇴사자의 소행으로 밝혀진 이번 해킹 사태와 관련해 해커가 프라이빗 서명 키를 탈취해 가짜 인증토큰을 생성하고 이를 통해 로그인한 것으로 분석했다. 

이날 이준석 개혁신당 의원은 국회 과학기술정보방송통신위원회 쿠팡 해킹 사고 관련 긴급 현안질의에서 “이번 공격이 고객 정보 탈취에 목적이 있었는지, 아니면 쿠팡 전체 시스템을 겨냥한 것이었는지 반드시 규명해야 한다”며 “범죄에 악용된 인증키의 성격이 무엇인지 명확히 해달라”고 질의했다.

브랫 매티스 CISO는 “현재 확인된 바로는 공격자가 탈취한 프라이빗 서명키를 활용해 다른 사용자로 위장했고, 그 가짜 토큰을 이용해 서버 접근을 시도한 것으로 보인다”며 “쿠팡의 모든 인증토큰은 프라이빗 키로 서명돼 검증되는데, 제3자가 해당 키를 이용해 동일한 형태의 토큰을 생성한 것”이라고 설명했다.

또 CISO는 “지금까지 조사된 로그에 따르면 공격자는 제한적인 정보에만 접근할 수 있는 일부 API만 조작해 사용했다”며 “사용자 패스워드를 재설정하거나 더 민감한 시스템에 접근한 흔적은 없다”고 말했다. 이어 “공격자가 외부 API만 활용했기 때문에 쿠팡 내부 서버의 로우 데이터에는 접근하지 못한 것으로 본다”고 덧붙였다.

다만 그는 “이 사람이 실제 사건과 연계된 인물이라면 쿠팡 재직 당시 프리빌리지드 엑세스(Privileged access), 즉 중요한 시스템과 데이터에 접근할 수 있는 높은 권한을 갖고 있었던 것으로 추정된다”고 밝혔다.

이에 대해 이준석 의원은 “공격자가 시스템 구조와 인증 체계에 대한 이해도가 높다는 점이 우려된다”며 “단순 정보 접근을 넘어 더 높은 차원의 공격 시도가 있었는지 철저히 파악해야 한다”고 주문했다.