[테크수다 - 보안]
쿠팡은 유출자를 특정하였고, 고객 정보 유출에 사용된 모든 장치가 회수되었음을 확인하였습니다.
오늘 쿠팡 Coupang 이 이런 글로 시작하는 보도자료를 미디어에 배포했다.
그러자 대한민국 과학기술정보통신부 가 발끈했다.
과기정통부는 민관합동조사단에서 조사중인 사항을 쿠팡이 일방적으로 대외에 알린 것에 대해 쿠팡에 강력히 항의하였습니다.
o 현재 민관합동조사단에서 정보유출 종류 및 규모, 유출경위 등에 대해 면밀히 조사 중에 있는 사항으로, 쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았음을 알려드립니다.
라며 보도자료를 출입기자들에게 배포한 거 같다.
한국에서는 참 생경한 모습이 아닐 수 없다. 정부가 팔 걷고 나섰는데 쿠팡은 눈치도 없이 납작 엎드리기는 커녕 자체 조사한 내용이라며 크리스마스인데 자료를 뿌린다.
쿠팡이 보낸 보도자료 중에 눈에 띄는 대목이 있었다.
"사건 초기부터, 쿠팡은 엄격한 포렌식 조사를 진행하기 위해서 전세계 최상위 3개 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 조사를 의뢰했습니다."
라는 대목이다.
알고 있는 기업들이지만 구글 제미나이에게 물었다.
***
1. 맨디언트 (Mandiant) - "사고 조사의 교과서"
* 주력 분야: 침해 사고 대응(Incident Response), 포렌식
* 위상: 해킹 사고가 터졌을 때 가장 먼저 부르는 '사이버 보안계의 119'이자 '특수부대'로 통합니다.
* 팩트: 2022년 구글(Google Cloud)에 인수되었지만, 그 전부터 독보적인 위상을 가지고 있었습니다.
* 2013년 미국 타겟(Target) 해킹 사건, 2020년 솔라윈즈(SolarWinds) 사태 등 역사적인 대형 보안 사고들을 도맡아 분석했습니다.
* 기술적 포렌식 능력으로는 세계 최고 수준으로 평가받습니다. 이번 쿠팡 사건에서도 '해커가 어떻게 들어왔고, 무엇을 가져갔는지' 기술적으로 밝혀내는 핵심 역할을 맡았을 것입니다.
2. 팔로알토 네트웍스 (Palo Alto Networks) - "보안 솔루션의 삼성전자"
* 주력 분야: 네트워크 보안, 방화벽, 클라우드 보안
* 위상: 전 세계 사이버 보안 기업 시가총액 및 매출 1~2위를 다투는 거대 기업입니다.
* 팩트: 기업용 방화벽 시장에서 압도적인 점유율과 기술력을 가지고 있습니다.
* 단순 조사를 넘어, 쿠팡의 네트워크 구조 전반에 취약점이 없었는지, 외부에서의 비정상적인 접근 시도가 어떻게 차단되거나 뚫렸는지를 **인프라 관점**에서 분석했을 가능성이 큽니다.
3. 언스트앤영 (EY, Ernst & Young) - "신뢰를 보증하는 감사관"
* 주력 분야: 보안 감사(Audit), 컨설팅, 리스크 관리
* 위상: 딜로이트, PwC, KPMG와 함께 **세계 4대 회계법인(Big 4)** 중 하나입니다.
* **팩트:** 앞선 두 회사가 '기술적' 분석에 집중한다면, EY는 **'절차적 정당성'과 '컴플라이언스(법규 준수)'**를 검증합니다.
* 조사 결과가 법적으로 효력을 갖거나, 주주 및 규제 기관(정부)에 보고될 때 객관성을 담보해주는 역할을 합니다. 즉, 쿠팡이 "우리끼리 조사한 게 아니라, 글로벌 회계법인이 인증한 결과다"라고 말할 수 있게 해주는 **'보증수표'** 역할입니다.
### 요약
쿠팡이 섭외한 3개 사는 **[기술적 분석(맨디언트) + 인프라 점검(팔로알토) + 제3자 검증 및 감사(EY)]**라는 완벽한 조합을 갖추기 위해 선정한 것으로 보입니다.
**"글로벌 최상위 업체들이 맞냐"**는 질문에는 **"네, 해당 분야에서는 반박의 여지 없이 그렇습니다"**라고 판단하셔도 무방합니다.
> **참고:** 현재 진행 중인 민관 합동 조사와 별개로, 기업이 자체적으로 이런 글로벌 기업에 조사를 의뢰하는 것은 규제 기관의 조사에 선제적으로 대응하고, 추후 발생할 수 있는 소송이나 과징금 이슈에서 "우리는 할 수 있는 최선의 조치를 다했다(Due Diligence)"는 것을 입증하기 위한 전략적 행보로 해석됩니다.
***
왜 저렇게 행동하고 있을까에 대해 조금은 차분히 생각해야 한다. 그래야 이 거대한 플랫폼 회사와 그 생태계 안에서 먹고 사는 이들 문제를 슬기롭게 풀 수 있다.
저 3개 글로벌 기업들이 들이민 자료에 맞대응할 수준의 국내 보안 기업들이 누가 있을지 궁금하기까지 했다. 또 2013년 한국 국정원과 검찰은 서울시 공무원 간첩 조작 사건을 만들며 디지털증거를 조작한 전력도 있는 곳이다. 미쿡이 대한민국 사정 기관이 뻑하면 디지털 증거 조작해서 엄한 사람들 피해주곤 하는데 당신들 주도의 발표를 그대로 믿을 수 있냐고 반문하면 뭐라고할찌에 대한 답도 가지고 있어야 한다.
이재명 대통령 당선되기 전에 그분에 대한 경찰, 검찰의 수사, 법원의 판단 은 물론이고 조국 수사 당시의 그 수많은 디지털증거 , 산자부 공무원들에 대한 검찰의 디지털 원문 자료 삭제 기소 등등 한국 사정 기관은 자신들 입맛대로 해 온게 한두 해가 아니다. 쿠팡이 미운 거 하고 국내 사정기관이 믿음직 스러운 거하고 좀 거리를 두길 바란다.
우린 지금 미국에 상장한 글로벌 자본을 가지고 한국에서 1위 커머스 플랫폼을 만든 미쿡 회사를 상대하고 있다. 정부는 미 의회와 미 정부 다 상대해야 하는 일이다.
자본이야 에이 재수없다. 그럼 나 그만할래 하면 그 안에서 매달 월급받고 살아가던 수십만 인력들은 누가 감당하나? 라는 이슈도 잘 다뤄야 한다.
그래서 기분은 드러워도 저들의 행보에 일희일비하지 말고 잘 준비하고 대응해야 한다고 주장해 왔다. 당신들이 그동안 상대했던 이들이 아니다. 재벌에 붙어 먹고 살던 관과 정치인들이 자신들 기스내고 있어서 저 쉬끼들 가만두지 않겠다고 목소리 높이는데 미쿡 기업이다. 고용 숫자로 넘버 2인 기업이다.
통신 3사 우격 다짐으로 때려잡을 때랑 차원이 다른 사건이자 상대다.
재벌들이나 네이버에게 쿠팡 분할해서 나눠먹자는 아이디어 말고 정부와 민주당이 내놓을 아이디어가 뭐가 있을지 무척 궁금하다. 김범석이 바로 날라와 국회에 가서 머리 조아리고 잘못했어요 라고 하면 그 땐 잘 해라 라는 말 말고 뭘 할 수 있을까.
장기 과제다. 정부와 민주당이 그간 다뤄보지 못했던 아주 고차원적인 내수 기업의 이슈기도 하다. 이 참에 실력 좀 많이 쌓고 재벌 위주의 쉬운 해법에만 매몰된 관과 정치권이 새로운 해법을 찾아보는 기회가 되면 정말 좋겠다.
[ 테크수다 저널리스트 도안구님 페북에서 펌 ]