일요주간 - 무신사, 41억 보안 투자했다더니… 29CM서 basic 보안 허점 뚫려 ′14만 건 유출′

의해킹 취약점 75건 개선 보고 이후 사고 발생... 주문목록 13만 8854건 등 고객정보 유출
주문 조회 API 접근통제 설정 누락... 일부 계정 관리 API 인증·OTP 제한도 미흡

▲(사진=newsis)

 

무신사가 보안 취약점 개선과 정보보호 투자를 진행했다고 밝혔지만, 운영 플랫폼 29CM에서는 접근통제 설정 누락과 인증 절차 미흡 등이 확인됐다. 외부 점검 이후에도 개인정보 유출 사고가 발생하면서 보안 조치가 실제 운영환경에서 제대로 작동했는지가 쟁점으로 떠올랐다.

15일 국회 과학기술정보방송통신위원회 소속 김우영 더불어민주당 의원이 과학기술정보통신부를 통해 무신사에서 제출받은 자료에 따르면, 지난해 4월 외부 모의해킹에서 확인된 취약점 75건은 모두 개선 조치가 완료된 것으로 보고됐다. 무신사는 지난해 9월부터 올해 5월까지 정보보호 관리체계(ISMS) 심사에서 지적된 사항을 보완했으며, 지난해 12월부터 올해 1월까지 파트너시스템과 API 보안점검도 실시했다.

그러나 지난 8월 발생한 29CM 개인정보 유출사고의 분석자료에서는 보안상 허점이 드러났다. 내부 주문 조회 API는 인프라 구성 변경 과정에서 접근통제목록(ACL) 설정이 누락돼 외부에 노출됐다. 해당 API에는 인증·인가 절차와 대량 조회를 제한하는 장치도 미흡했던 것으로 파악됐다.

통합파트너시스템의 일부 계정 관리 API에서는 인증이 적용되지 않았고, 일회용 비밀번호(OTP) 인증 실패 횟수를 제한하는 설정도 마련되지 않았다. 공격자는 이러한 취약점을 이용해 파트너 계정을 탈취하고 고객정보에 접근한 것으로 나타났다.

무신사는 지난해 정보보호 분야에 총 41억 5900만 원을 투자했다. 이 가운데 웹·API 보안에 10억 7200만 원, 계정·접근통제에 5억 1800만 원을 집행했다. 다만 해당 투자금이 이번 사고가 발생한 시스템에 직접 투입됐는지는 확인되지 않았다.

이번 사고로 유출된 정보는 고객 주문목록 13만 8854건, 주문 상세정보 1만 7955건, 배송정보 3042건 등이다. 무신사는 8월 28일 개인정보 유출을 처음 신고한 뒤 추가 피해 사실을 확인해 9월 3일과 16일에도 신고했다.

김 의원은 여러 차례 보안점검과 개선 조치가 이뤄졌는데도 기본적인 취약점이 악용됐다며 기존 점검의 실효성과 시스템 변경 이후 보안관리 체계를 확인할 필요가 있다고 지적했다.

 

 

일요주간 / 노현주 기자 nhj7711@naver.com 

[ⓒ 일요주간. 무단전재-재배포 금지]