[CISO 조찬] 김승주 교수 "쿠팡 사태는 내부자 관리·키 보호·조사 신뢰...

김승주 고려대 교수가 데일리시큐 CISO 조찬세미나에서 쿠팡 사태와 관련해 강연을 진행하고 있다.

“쿠팡 사태는 해킹 사고 한 건으로 보면 안 된다. 내부자가 핵심 키를 들고 나갔고, 조직은 그걸 막지 못했다. 결국 이제 CISO는 바깥에서 들어오는 공격만 볼 게 아니라 안에서 무엇이 새고 있는지부터 봐야 한다.” 고려대학교 정보보호대학원 김승주 교수는 지난 3월 5일 서울 파크하얏트서울에서 열린 데일리시큐·카스퍼스키 공동 CISO 조찬 강연에서 쿠팡 사태를 이렇게 규정했다. 이날 현장에는 주요 기업 CISO 30여 명이 참석했고, 김 교수는 최근 국내에서 잇따라 드러난 대형 침해사고의 흐름 속에서 쿠팡 사례가 왜 특히 더 무겁게 받아들여져야 하는지, 또 기업과 정부가 무엇을 바꿔야 하는지를 조목조목 짚었다.

김 교수는 강연 서두에서 최근 1년간 벌어진 대형 침해사고들을 두고 “작년에 갑자기 문제가 생긴 게 아니라 이미 그전부터 다 뚫려 있었는데 우리가 모르고 있다가 지난해부터 발견되기 시작한 것”이라고 말했다. 그는 국회와 방송에서 같은 말을 반복해 왔다며, 앞으로도 비슷한 사고는 계속 기사화될 가능성이 높다고 내다봤다. 이유는 단순했다. 여러 기관과 기업에서 전수조사가 본격화되면 기존에 모르고 지나갔던 문제들이 하나둘씩 드러날 수밖에 없고, 지금은 발견 즉시 24시간 또는 72시간 내 보고 체계가 작동하기 때문에 이전보다 훨씬 빠르게 세상 밖으로 나오게 된다는 것이다. 그는 “올해도 반복될 것 같다”고 말했다. 이는 특정 기업만의 문제가 아니라 이미 국내 주요 시스템 전반에 잠복해 있던 취약한 운영 현실이 이제야 수면 위로 떠오르고 있다는 진단이었다.

그는 온나라시스템 사례를 언급하며 정부도 예외가 아니라고 강조했다. 김 교수는 “온나라시스템도 로그 기록상 2022년부터 뚫린 것으로 확인됐다”며 “온나라만 그러겠느냐. 정부 부처 시스템도 전수조사를 해 보면 다른 곳들도 분명히 문제를 갖고 있을 것이라고 본다”고 했다. 정부가 일찍 발견했다고 말하지만, 실제로는 외부 제보와 우연이 겹쳐 드러난 측면이 더 크다고도 지적했다. 그는 오래 침해된 시스템일수록 어느 범위까지 문서와 정보가 영향을 받았는지 불투명해지고, 그 결과 국민은 물론 실무자들까지도 전체 피해 규모를 정확히 알기 어려운 상황에 놓이게 된다고 설명했다.

이런 흐름 속에서 김 교수는 쿠팡 사태가 앞선 사례들과 결이 다르다고 선을 그었다. SK텔레콤이나 온나라시스템처럼 외부 침투가 먼저 떠오르는 사건과 달리, 쿠팡은 내부자가 핵심 자산을 들고 나간 사건이라는 것이다. 그는 여러 기업 보안 책임자들을 만나면 앞선 사건들에 대해서는 “안 됐네” 정도의 반응이 많았지만, 쿠팡 이야기만 나오면 분위기가 달라졌다고 전했다. “우린 진짜 잘하고 있는 게 맞나, 우리 안에서는 내부자 관리를 제대로 하고 있나”라는 질문이 현장에서 가장 많이 나왔다는 것이다. 김 교수는 “쿠팡은 앞의 사건들과 조금 다른 관점에서 접근해야 한다”고 말했다. 외부 방어만으로는 설명되지 않는, 조직 내부 권한 관리와 보안 문화의 문제가 본격적으로 드러났기 때문이다.

그는 쿠팡 사고가 언론에 처음 알려졌을 당시부터 내부자 개입 정황은 어느 정도 파악되고 있었다고도 언급했다. 사고 직후 기자들로부터 문의를 받았고, 몇 군데를 확인해 본 뒤 “내부자가 키를 들고 나가서 어떻게 된 것 같다”는 정황을 바로 짚을 수 있었다는 것이다. 김 교수는 “그 얘기는 쿠팡도 사고가 나는 즉시 그 시점에서 대충 어떻게 됐다는 건 인지하고 있었다는 뜻”이라고 말했다. 이후 조사에서 실제로 그 방향이 맞았다는 점이 확인됐다고 덧붙였다. 그는 쿠팡이 조사 과정에서 국회와 외부 대응에 소극적이었고, 이런 태도 역시 향후 책임 판단과 제재 수위에 반영될 수 있다고 봤다.

강연에서 김 교수는 참석자들이 모두 기술을 잘 아는 CISO들이라는 점을 전제로, 쿠팡 사태의 핵심을 “인증 토큰을 발생시키는 전자서명키가 탈출한 사건”으로 정리했다. 국회 청문회에서는 인증 토큰과 서명키 개념을 쉬운 말로 풀어 달라는 요청을 많이 받았는데, 이를 설명하기 위해 그가 자주 사용한 비유가 바로 호텔 객실 키였다. 사용자가 주민등록증을 보여주듯 아이디와 비밀번호로 본인 확인을 하면 일정 기간 유효한 객실 키가 발급되고, 그 키를 가지고 쇼핑몰 서비스를 돌아다니는 것이 액세스 토큰이라는 설명이다. 그런데 문제는 그 토큰을 발급하는 핵심 서명키, 다시 말해 호텔 시스템의 마스터키에 해당하는 전자서명키가 외부로 빠져나갔다는 데 있었다. 그는 이 부분이 단순 계정 탈취와는 비교할 수 없는 구조적 문제라고 설명했다.

김 교수는 특히 쿠팡의 키 관리 방식에 대해 “이건 쿠팡의 잘못이고, 글로벌 스탠더드를 안 따른 것 같다”고 직설적으로 말했다. 그가 그렇게 본 이유는 쿠팡 CISO가 국회와 외부 설명 과정에서 사용한 표현 때문이었다. 쿠팡 측이 “마스터키를 카피해서 스틸했다”는 식의 설명을 했는데, 김 교수는 이 대목에서 이미 심각한 문제가 읽힌다고 봤다. 그는 “글로벌 스탠더드대로라면 그 사인닝 키는 복사하거나 들고 나갈 수 없도록 돼 있어야 한다”고 말했다. 이런 종류의 키는 애초에 외부 유출 자체가 어려운 구조로 관리돼야 하는데, 복제가 가능했다는 것은 설계와 운영 수준 모두에서 문제가 있었다는 뜻이라는 것이다.

그는 통상 이런 키를 보호하기 위해 KMS나 HSM 같은 체계를 연동해 써야 한다고 설명했다. 쿠팡이 사용한 것으로 알려진 솔루션은 키 관리에 쓰일 수 있지만, 단순히 해당 솔루션만 쓰는 것과 KMS, HSM을 함께 연동해 물리적·논리적 반출을 막는 것은 전혀 다른 수준의 이야기라는 것이다. 김 교수는 “특정 솔루션만 써서 모든 키를 관리한 것처럼 보인다”며, 핵심 키가 개발 환경과 더 가까운 곳에서 다뤄지는 관행이 있었다면 그 자체가 고위험 구조라고 지적했다. 특히 조사 과정에서 개발자 PC를 들여다본 결과 프라이빗 사인닝 키가 노트북에 그대로 박혀 있는 정황이 나왔다는 설명도 덧붙였다. 그는 이를 두고 “일하는 습관이 이렇구나라고 판단했을 것”이라며, 특정 개인 한 명의 일탈이 아니라 조직 차원의 개발·운영 관행이 허술했을 가능성을 시사했다.

김 교수는 이런 문제점이 어제오늘 생긴 것이 아니라는 점도 강조했다. 그는 쿠팡 내부에서 과거 모의해킹이나 레드팀 점검을 했을 때도 키 관리 문제점이 이미 드러났을 가능성이 크다고 봤다. 실제로 내부 점검에서 문제가 발견됐는데도 근본 대책이 세워지지 않았다면, 그것은 취약점을 몰랐기 때문이 아니라 알고도 고치지 못했거나 고치지 않았기 때문이라는 것이다. 김 교수는 “예전부터 알고 있었고, 원격근무 개발자들이 있다 보니 그걸 고치기가 쉽지 않았다고 한다”고 말했다. 즉, 개발 편의성과 원격근무 환경이 보안 원칙보다 앞서면서 위험한 관행이 유지됐고, 그 결과가 이번 사고로 나타났다는 해석이다.

그는 조사 과정에서 불거진 ‘셀프 조사’ 논란도 강하게 비판했다. 용의자가 사용하던 노트북과 저장매체를 물에 버렸다는 정황, 쿠팡백에 넣어 버렸다는 점, 휴대전화 공장 초기화와 같은 상식적 훼손 방식조차 충분히 이뤄지지 않은 것처럼 보였던 점 등을 언급하며, 여러모로 납득하기 어려운 구석이 많았다고 했다. 김 교수는 “글로벌 보안 업체에 맡겨 포렌식을 했다”는 설명도 들었지만, 그것은 개별 장비에 대한 포렌식일 뿐 전체 범위에 대한 전수조사와는 다르다고 짚었다. 실제로 원격으로 전송하는 코드가 스크립트 안에 있었는지, 그 코드가 실제 사용됐는지, 추가 유출 경로는 없었는지까지 보려면 훨씬 넓은 범위의 조사가 필요하다는 것이다.

무엇보다 그는 디지털 포렌식의 기본인 무결성 보존 절차가 제대로 지켜졌는지 의문을 제기했다. 포렌식에서는 언제, 누가, 어떤 방식으로 원본을 확보하고 이미징했는지가 중요하다. 그런데 조사기관이 이미징 과정에 직접 배석하지 않았거나, 전 과정을 영상 등으로 충분히 남기지 않았다면 결과의 신뢰성은 낮아질 수밖에 없다는 것이다. 김 교수는 “이미 떠진 이미징 파일을 넘겨받았을 뿐이라고 하면 무결성 문제가 있다”고 말했다. 또 용의자의 노트북과 자백을 중심으로 조사가 이뤄졌다면, 폭넓은 범위의 추가 조사에는 한계가 있을 수밖에 없다고도 했다. 이 부분은 향후 경찰 수사 단계에서 더 드러날 수 있다고 내다봤다.

강연은 쿠팡 사태를 넘어 개인정보보호법 적용과 오남용 문제로도 이어졌다. 김 교수는 기업들이 개인정보 유출 여부를 판단할 때 여전히 잘못된 기준을 적용하는 경우가 많다고 지적했다. 그는 “저장을 몇 개 했느냐, 누구에게 몇 개를 건넸느냐, 의도성이 있었느냐 이런 건 전혀 상관이 없다”고 말했다. 기준은 명확하다는 것이다. 개인정보처리자의 통제권을 벗어났다면 그 자체로 유출이며, 그 순간 신고 대상이 된다는 설명이다. 다시 말해 누군가 정보를 외부로 빼냈고 그 정보가 더 이상 원래 관리자의 통제 아래 있지 않다면, 실제 파일 저장 여부나 2차 활용 여부를 따지기 전에 이미 법적 의미의 유출이 성립한다는 것이다. 그는 이 점을 현장에서 아직도 혼동하는 경우가 많다고 지적했다.

김 교수는 개인정보보호법이 본래 취지와 다르게 남용되는 사례도 언급했다. 쿠팡의 한 근로자가 사망한 뒤 대응 자료를 만들기 위해 회사가 CCTV를 분석해 근로자 행태를 파악한 일은 목적 외 이용 소지가 있다는 설명이었다. CCTV의 기본 목적은 도난 방지나 시설 안전인데, 이를 근로자 행태 분석에 활용했다면 본래 목적을 벗어난 해석이 가능하다는 것이다. 더 나아가 사망자의 장례식장 정보를 묻는 데까지 개인정보보호법을 이유로 공개를 거부하는 태도도 문제 삼았다. 그는 “산 사람의 정보가 개인정보지, 죽은 사람에 대해서는 개인정보보호법을 적용받지 않는다”고 잘라 말했다. 법을 엄정하게 적용하는 것과, 불편한 정보 공개를 피하기 위한 방패로 남용하는 것은 전혀 다른 문제라는 점을 강조한 것이다.

이날 강연에서 김 교수는 쿠팡 사태를 최근 연쇄적으로 드러난 다른 침해사고들과 함께 놓고 봐야 한다고 거듭 말했다. 그가 정리한 공통 키워드는 망분리 실패, 자산 파악 실패, 그리고 경우에 따라 내부자 통제 실패였다. SK텔레콤, KT, 온나라시스템, 쿠팡을 나란히 놓고 보면 세부 양상은 달라도 “보안 체계가 기본부터 제대로 작동하지 않았다”는 점에서는 다르지 않다는 것이다. 그는 특히 자산 파악 실패를 심각한 문제로 봤다. 보안 책임자나 경영진도 존재를 모르는 임시 서버, 개발 편의상 만들어진 우회 시스템, 업무 중 관행처럼 굳어진 예외 처리들이 결국 사고의 통로가 된다는 설명이다. 실제로 그는 과거 다른 사고 조사 과정에서 CISO조차 몰랐던 임시 서버가 뒤늦게 드러나 민관합동조사단의 조사 방식 자체가 바뀐 사례도 언급했다.

이와 관련해 김 교수는 지금 정부가 추진하는 전수조사를 과잉 대응으로 봐서는 안 된다고 말했다. 미국도 2000년대 중반 대규모 연방정부 해킹 이후 TIC 정책을 통해 모든 시스템을 전수조사하고, 불필요한 인터넷 연결을 줄이는 작업부터 시작했다는 것이다. 그는 “미국이 먼저 했고, 그게 제로트러스트로 이어졌다”고 설명했다. 결국 자산이 무엇인지, 어디가 외부와 연결돼 있는지, 누가 어떤 권한을 갖고 있는지 모르는 상태에서는 마이크로세그멘테이션도, 제로트러스트도 성립할 수 없다는 논리다. 김 교수는 지금 국내에서 사장 명의 확인까지 붙여 전수조사를 요구하는 흐름에 현장 부담이 큰 것은 사실이지만, 작년 내내 벌어진 사고를 돌아보면 그 정도로 강하게 밀어붙이지 않으면 현실이 바뀌기 어렵다고 봤다.

망분리 정책에 대해서는 보다 근본적인 재설계가 필요하다고 말했다. 김 교수는 2006년부터 이어진 한국식 망분리 체계가 인터넷과 업무망을 물리적으로 나누는 데에는 효과가 있었지만, 클라우드와 원격근무, 인공지능 시대에는 한계가 분명하다고 진단했다. 그는 코로나를 기점으로 기존 망분리 정책이 사실상 무력화됐다고 봤다. 재택근무와 원격접속이 급속히 확산됐지만, 정책은 그 변화를 충분히 따라가지 못했고, 그 결과 VPN과 예외 연결이 새로운 취약점이 됐다는 것이다. 김 교수는 한국처럼 모든 것을 일괄 차단하는 방식이 아니라, 데이터 중요도에 따라 분리 수준을 달리하고 필요한 영역은 안전하게 클라우드와 연결하는 서구식 방식으로 가야 한다고 설명했다.

그 대안으로 그는 N2SF와 데이터 중요도 기반 보안체계를 상세히 설명했다. 핵심은 기밀, 민감, 공개 데이터를 구분하고, 각 수준에 맞는 통제와 클라우드 활용 방식을 적용하는 것이다. 김 교수는 “옛날 망분리 하면서 AI도 쓰고 클라우드도 쓰겠다고 하면 안 된다. 둘 중 하나를 선택하라는 것”이라고 말했다. 그는 앞으로 정부와 기업 모두 기밀 데이터는 더 강하게 통제하되, 나머지 데이터는 민간 클라우드와 AI 환경에서 활용할 수 있는 구조로 전환할 수밖에 없다고 전망했다. 또한 이런 전환을 위해서는 쓰렛 모델링과 RMF 같은 개념을 이해하고 실제 설계에 반영할 수 있는 역량이 필요하다고 했다. 지금 국내 현장에서 이 부분이 가장 부족하지만, 결국 여기서 격차가 벌어질 것이라고 봤다.

김 교수는 또 보안 거버넌스 역시 기관 중심이 아니라 데이터 중요도 중심으로 재편될 필요가 있다고 강조했다. 지금처럼 정부·공공 분야 전체를 하나의 권한 구조로 묶는 방식은 기밀정보와 일반정보가 섞여 있는 현실을 제대로 반영하지 못한다는 것이다. 그는 국방·외교·안보와 같은 고난도 국가기밀 영역에 대해서는 보다 집중된 대응 체계를 갖춰야 하고, 일반 행정과 민간 영역에 가까운 데이터는 다른 부처와 기관이 맡아 기술과 정책을 고도화해야 한다고 말했다. 그래야 선택과 집중이 가능하고, 국가 차원의 고급 위협 대응 역량도 실제로 키울 수 있다는 설명이었다.

그는 “쿠팡 사태는 한 기업의 일탈이 아니라 우리가 당연하다고 여겨온 보안 운영의 기본이 무너졌다는 경고”라고 정리했다. 내부자 통제는 제대로 됐는지, 핵심 서명키는 정말 복사와 반출이 불가능하게 보호되고 있는지, 조직이 자기 자산을 정확히 파악하고 있는지, 개인정보 유출과 목적 외 이용에 대한 판단 기준을 제대로 알고 있는지, 그리고 낡은 망분리 관행에서 벗어나 데이터 중요도 중심 보안으로 넘어갈 준비가 돼 있는지. 김 교수는 이 질문들에 답하지 못한다면 쿠팡 다음 사건도 결코 남의 일이 아니라고 경고했다. 그리고 마지막으로 이렇게 말했다. “이제는 바깥에서 누가 들어오느냐만 볼 게 아니라, 안에서 무엇이 새고 있는지부터 봐야 한다. 쿠팡 사태의 교훈은 거기서 시작된다.”

이번 강연 내용은 데일리시큐 유튜브 채널에서 다시보기 할 수 있다.

◈국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2026 개최(4월 7일)-참가기업 모집(사전등록 접수중)

▲행사명: 제13회 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스(K-CTI 2026)

▲주최: 데일리시큐

▲후원: 한국인터넷진흥원 / 한국정보보호산업협회

▲대상: 전국 정부∙공공∙지자체∙교육기관∙금융기관∙의료기관∙일반기업 정보보안 책임자·실무자

(#정보보안과 관련 없는 자는 참석 불가)

▲일시: 2026년 4월 7일(화)

▲장소: 코엑스 3층 컨퍼런스룸E

▲인원: 정보보호 실무자 800여 명(현업 보안책임자/실무자만 참석 가능)

▲참가비: 무료

▲점심/주차권: 제공하지 않습니다.

▲발표자료: 4월 6일 오후 2시 이후부터 다운로드 가능(프로그램란)

▲교육이수: 공무원 및 일반기업 보안교육 7시간/CPPG, CISSP 등 교육이수 7시간 인정

▲참석확인증: 행사 종료후 설문지를 제출해 주신 참관객에게 메일로 일괄 발송

▲사전등록마감: 2026년 4월 5일 오후 6시까지

▲참석불가: 학생, 프리랜서, 무소속, 정보보호 업무와 상관없는 자는 참석 불가

▲참관문의: 데일리시큐 길민권 기자 /

▲사전등록:

클릭

◈보안기업 모집중: 강연 및 전시 참가 국내외 보안기업 모집중 (문의: 데일리시큐 길민권 기자 /

보안 사건사고 제보 하기

보안 관련 어떤 내용이든 제보를 기다립니다!

이메일

광고문의

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★

길민권 기자

다른기사 보기

#쿠팡

#김승주

저작권자 © 데일리시큐 무단전재 및 재배포, AI학습 및 활용 금지