[서울=뉴시스]박은비 기자 = 무신사가 모의해킹에서 취약점을 전부 고쳤다고 밝혔으나, 정작 무신사가 운영하는 플랫폼 29CM는 가장 기본적인 보안 취약점에 뚫린 것으로 나타났다.

15일 국회 과학기술정보방송통신위원회 소속 김우영 더불어민주당 의원이 과학기술정보통신부를 통해 무신사에 제출받은 자료에 따르면 무신사는 지난해 4월 외부 모의해킹에서 취약점 총 75건을 모두 개선조치 완료했다고 밝혔다.

무신사는 이후에도 지난해 9월부터 올해 5월까지 정보보호 관리체계(ISMS) 관련 심사에서 지적된 사항에 대한 개선조치를 진행했다. 지난해 12월부터 올해 1월까지는 파트너시스템과 API에 대한 보안점검을 실시했다.

올 상반기에도 외부 공격자 관점의 보안점검을 진행했다. 하지만 8월 발생한 개인정보 유출사고에서는 기본적인 보안 장치 취약점이 발견됐다.

무신사가 제출한 사고 분석자료에 따르면 29CM 내부 주문 조회 API는 인프라 구성 변경 과정에서 접근통제목록(ACL) 설정이 누락되면서 외부에 노출됐다. 이 API에는 별도의 인증·인가 절차와 대량 조회 제한 장치가 미흡했던 것으로 파악됐다.

통합파트너시스템에서도 일부 계정 관리 API의 인증 미적용, OTP 인증 실패 횟수 제한 미설정 등 취약점이 확인됐다. 공격자는 이를 악용해 파트너 계정을 탈취하고 고객정보 등에 접근한 것으로 나타났다.

무신사에 따르면 지난해 정보보호에 총 41억5900만원을 투자했다. 웹·API 보안에 10억7200만원, 계정·접근 통제에 5억1800만원을 집행했지만, 실제 사고에서는 관련 보안 취약점이 악용됐다. 다만 해당 투자액이 사고 발생 시스템에 직접 집행됐는지 확인된 건 아니다.

29CM는 이번 사고로 고객 주문목록 13만8854건을 비롯해 주문 상세정보 1만7955건, 배송정보 3042건 등이 유출됐다. 무신사는 8월 28일 최초 신고 이후 추가 피해 사실을 확인해 지난달 3일과 16일 추가 신고했다.

김 의원은 "여러 차례 보안점검과 개선조치에도 기본적인 취약점이 악용됐다는 점에서 기존 점검의 실효성과 시스템 변경 이후 보안관리 체계를 확인할 필요가 있다"고 지적했다.


◎공감언론 뉴시스 silverline@newsis.com