[서울=뉴스핌] 조민교 기자 =브랫 매티스 쿠팡 최고정보보안책임자(CISO)는 5개월 동안 이어진 개인정보 유출을 제때 발견하지 못한 이유에 대해 "공격자가 여러 개의 IP 주소를 번갈아 사용해 보안 시스템의 감지 기준을 피해갔다"고 설명했다.

매티스 CISO는 2일 국회 과학기술정보방송통신위원회 현안 질의에서 "공격자가 한 곳이 아닌 여러 경로에서 다른 IP 주소를 사용했다"며 "그 결과 보안 관제 시스템에 찍힌 접속 기록이 일정 기준보다 적게 나타났고, 그래서 이상 징후로 식별되지 않았다"고 말했다. 

[서울=뉴스핌] 윤창빈 기자 = 브랫 매티스 쿠팡 최고 정보 보호책임자(CISO)가 2일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 관련 현안질의에서 물을 마시고 있다. 2025.12.02 pangbin@newspim.com

유출 규모가 초기 발표보다 크게 늘어난 이유도 밝혔다. 매티스 CISO는 "처음에는 일부 데이터만 노출된 것으로 보였지만, 조사를 확대하며 과거 로그까지 다시 살펴보니 더 많은 정보가 유출에 포함돼 있었다"고 설명했다. 

용의자가 전직 쿠팡 직원이라는 점에 대해서는 "퇴사하면 모든 접근 권한이 자동으로 사라진다"며 "만약 직원이 연루됐다면, 퇴사 전에 회사 내부의 '프라이빗 키(보안용 서명키)'를 몰래 가져갔을 가능성이 있다"고 했다. 내부 시스템을 잘 아는 사람이 사전에 열쇠를 챙겨 나간 것 아니냐는 가능성을 언급한 셈이다.

한편 국회는 쿠팡의 보안 감시 체계가 기본적인 이상 징후도 잡지 못했다며 "탐지 시스템이 제대로 작동했는지, 내부 통제가 왜 실패했는지 철저히 규명해야 한다"고 지적했다. 또 쿠팡에 재발 방지 대책 마련을 강하게 요구했다.

mkyo@newspim.com