한국, 쿠팡에 보안 허점 수정 명령 또는 처벌

한국은 화요일 정부 조사에서 주요 데이터 유출이 회사의 사용자 인증 시스템 실패와 관련이 있다는 점을 지적하며 쿠팡에 보안 허점을 긴급히 해결할 것을 지시했습니다.

쿠팡은 한국에서 가장 심각한 데이터 유출 사건 중 하나를 겪었으며, 이는 워싱턴의 관리들이 미국 기술 기업들의 대우에 우려를 표명하면서 미국과의 무역 마찰을 증가시켰습니다.

이제 이러한 발견은 규제 기관들이 개인 데이터가 어떻게 보호되고 보고되었는지 조사함에 따라 전자상거래 거대 기업에 새로운 압력을 가하고 있습니다. 또한 경찰과 국가의 데이터 감독 기관이 이 사건에 대한 조사를 계속 진행 중입니다.

조사는 인증 실패를 확인

과학기술정보통신부는 2025년 초에 개인이 인증과 관련된 사용성 문제를 악용하여 쿠팡 시스템에 무단으로 접근하려고 시도했다고 밝혔습니다. 조사관들은 이것이 공개적으로 유출 징후가 나타나기 전에 발생했다고 지적했습니다.

“공격자는 사용자 인증 취약점을 악용하여 적절한 로그인 없이 사용자 계정에 접근하고 대규모 무단 정보 유출을 초래했습니다,”라고 부부는 말했습니다.

그들은 개인이 인증 과정의 취약점을 악용하여 사용자의 계정에 무단으로 접근할 수 있었으며, 이로 인해 약 3,370만 명의 고객에 대한 기밀 정보가 유출되었음을 확인했습니다.

부부는 데이터 유출이 2024년 11월에 퇴사한 직원이 내부 직원의 보안 서명 키를 오용하여 위조 인증 토큰을 생성한 후 발생했다고 결정했습니다.

그들은 해당 직원이 쿠팡의 사용자 검증 시스템의 일부를 설계하고 개발했으며, 회사가 이 직원이 이러한 고객들의 기밀 계정 데이터에 접근하는 것을 방지할 충분한 보호 수준을 제공하지 못했다고 말했습니다.

“위조되거나 변조된 전자 접근 카드에 대한 검증 시스템이 부적절하여 공격을 사전에 감지하거나 차단하기 어려웠습니다,”라고 부부는 말했습니다.

2025년 12월, 쿠팡은 최근 사용자 데이터 유출로 영향을 받은 고객들에게 보상하겠다고 확인하며 11억 7,000만 달러 이상의 바우처를 약속했습니다. 회사는 유출이 고객 이름, 이메일 주소, 일부 주문 내역 및 주소에만 영향을 미쳤지 결제 및 로그인 세부 정보는 영향을 받지 않았다고 강조했습니다.

규제 기관, 쿠팡 시스템 업그레이드 요구

당국은 쿠팡이 표준 발급 프로세스 외부에서 수신된 전자 접근 카드를 감지하고 차단할 수 있는 고급 기술을 구현하도록 명령했습니다.

“내무안전부는 쿠팡이 일반 발급 프로세스를 통해 발급되지 않은 전자 접근 카드에 대한 감지 및 차단 도구를 설치하도록 지시했습니다,”라고 부부는 말했습니다.

경찰과 개인정보보호위원회는 alleged 사건에 대해 독립적인 조사를 진행했습니다.

내무부는 또한 쿠팡이 사건을 24시간 이내에 보고하지 않음으로써 정보 네트워크 법을 위반했다고 비난했습니다. 규제 기관은 회사의 침입 지식은 11월 17일에 발생했지만 11월 19일까지 아무것도 보고하지 않았다고 주장했습니다.

부처는 현재 3,000만 원(20,596달러)에 달하는 행정 제재 부과 여부를 결정 중이다. 부처는 데이터 파기 혐의를 관련 부서에 검토를 위해 이송했다. 쿠팡은 조사 결과에 대해 공개적인 성명을 내놓지 않았다.