온라인 패션 플랫폼 무신사가 정부의 정보보호 관리체계(ISMS) 인증을 획득한 지 불과 두 달 만에 대규모 개인정보 유출 사고를 내면서 보안 점검의 실효성을 둘러싼 논란이 확산하고 있다. 무신사는 지난해 외부 모의해킹에서 발견된 취약점 75건을 모두 개선했다고 밝혔으나, 정작 운영 플랫폼인 29CM에서는 가장 기본적인 접근 통제 장치조차 작동하지 않았던 것으로 나타났다.
15일 국회 과학기술정보방송통신위원회 소속 김우영 더불어민주당 의원이 과학기술정보통신부를 통해 무신사로부터 제출받은 자료에 따르면, 무신사는 올해 6월 4일 한국인터넷진흥원(KISA)으로부터 ISMS 인증 적합 결정을 받았다.
해당 인증 범위에는 무신사 본사를 비롯해 29CM, 솔드아웃, 엠프티 등 운영 플랫폼 전체가 포함되었다. 그러나 인증 유효기간이 시작된 지 약 두 달 뒤인 8월 27일, 29CM에서 고객 개인정보 15만9852건이 유출되는 사고가 터졌다. 유출된 정보는 고객 이름 13만8841건과 함께 이름·이메일 주소·휴대전화번호·배송정보가 포함된 2만1011건이다. 조사 과정에서 29CM 입점 브랜드 담당자의 개인정보까지 추가로 유출된 사실이 확인됐다.
무신사가 제출한 사고 분석 자료에 따르면, 29CM 내부 주문 조회 API가 인프라 구성 변경 과정에서 접근통제목록(ACL) 설정이 누락되며 외부에 노출된 것으로 파악됐다. 해당 API에는 별도의 인증·인가 절차와 대량 조회 제한 장치가 미흡했던 것으로 확인됐다. 또한 통합파트너시스템에서도 일부 계정 관리 API의 인증 미적용, OTP 인증 실패 횟수 제한 미설정 등의 취약점이 발견됐으며, 공격자는 이를 악용해 파트너 계정을 탈취한 뒤 고객 정보에 접근했다.
무신사는 지난해 정보보호 분야에 총 41억5900만원을 투자하며 웹·API 보안에 10억7200만원, 계정·접근 통제에 5억1800만원을 집행했다고 밝혔으나, 정작 실제 사고에서는 해당 보안 취약점들이 그대로 악용됐다. 다만 해당 투자액이 사고가 발생한 시스템에 직접 집행되었는지 여부는 확인되지 않았다.
앞서 무신사는 지난해 4월 외부 모의해킹에서 발견된 취약점 75건을 조치 완료했고, 지난해 9월부터 올해 5월까지 ISMS 관련 지적 사항 개선을 진행했다고 밝혔다. 지난해 12월부터 올해 1월까지는 파트너시스템과 API 보안점검을, 올 상반기에도 외부 공격자 관점의 보안점검을 실시했지만 8월 발생한 유출 사고에서는 기본적인 보안 장치 부실이 드러났다.
ISMS 인증은 정보자산을 안전하게 관리하기 위해 80개 심사 기준을 통과한 기업에 부여되는 제도로 과기정통부와 개인정보보호위원회가 담당한다. 그러나 지난 4월 정부가 발표한 자료에 따르면 최근 3년간 ISMS 및 ISMS-P 인증기업 1283곳 중 14%인 179곳에서 침해사고가 발생했다. 이번 사고 역시 SK텔레콤과 쿠팡 등 인증기업들의 연이은 유출 사고 이후 정부가 심사 기준 강화를 발표한 시점에 발생해 논란을 키우고 있다.
무신사는 8월 28일 최초 신고 이후 추가 피해를 확인해 지난달 3일과 16일 추가 신고를 진행했다.
김우영 의원은 "여러 차례 보안점검과 개선조치에도 기본적인 취약점이 악용됐다는 점에서 기존 점검의 실효성과 시스템 변경 이후 보안관리 체계를 확인할 필요가 있다"고 지적했다.
무신사 관계자는 "ISMS 인증 당시 정보보호 정책과 조직, 계정·접근권한 관리, 인증통제 등 정보보호 관리체계 전반을 심사받았다"며 "인증 여부와 관계없이 이번 사고를 엄중하게 인식하고 있으며, 관계기관 조사와 내부 점검을 통해 필요한 보완 조치를 이행할 예정"이라고 밝혔다.