CU POST, 택배를 보낸 줄 알았더니 CI까지 같이 배송했다

BGF네트웍스가 운영하는 CU POST에서 외부 웹 취약점이 악용돼 내부 시스템이 침해됐고, 이름·휴대폰번호·이메일주소·주소·성별·ID는 물론 단방향 암호화된 비밀번호와 연계정보(CI)까지 유출됐다. 생활 택배망이 이 정도 항목을 한 번에 내줬으면, 이건 단순 사고 공지가 아니라 “대체 뭘 점검 안 했나”라는 질문부터 받아야 한다. 웹 취약점이 왜 내부 시스템 입장권이 됐나. 어디를 분리했고, 무엇을 막았고, 누가 봤나.

공격자가 외부 웹 취약점을 악용해 들어왔다면, 가장 먼저 따라붙는 질문은 민망할 정도로 평범하다. 취약점 점검은 했나, 패치는 제때 했나, 웹 서비스와 내부 시스템은 분리했나, 접근 권한은 최소화했나, 이상 징후는 로그로 봤나. 그런데 결과물은 정반대다. 편의점 택배를 운영하면서 내부 시스템 문 앞에 “관계자 외 출입금지” 팻말만 세워둔 수준이면, 그건 통제가 아니라 종이 소품이다. 참 성의도 독특하다.

더 기가 막힌 대목은 유출 목록의 구성이다. 이름, 전화번호, 이메일, 주소, 성별, ID도 충분히 골치 아픈데, 단방향 암호화 비밀번호와 CI까지 얹었다. 단방향 암호화라고 해서 갑자기 감동할 일은 아니다. 비밀번호가 빠졌다는 사실 자체가 크리덴셜 스터핑 우려를 키우고, CI는 타 서비스 연계 악용 가능성까지 부른다. 생활 서비스 하나가 사고를 내고, 그 뒤의 불안은 다른 서비스 계정과 본인확인 생태계 쪽으로 택배 착불처럼 떠넘기는 구조다. 이런 걸 두고 보안이라고 하면 좀 염치가 없다.

BGF네트웍스는 사고 인지 직후 공격 IP를 차단했고, KISA와 PIPC에 신고했으며, 대응팀을 가동해 24시간 실시간 모니터링 중이라고 밝혔다. 그런데 그 문장을 읽으면 꼭 현관문 경첩이 빠진 집에서 “지금부터 초인종 영상을 열심히 보겠습니다”라고 발표하는 느낌이 난다. IP 차단은 이미 들어와서 챙길 것 챙긴 뒤에 내놓는 늦장 반사신경일 뿐이다. 24시간 모니터링은 원래 사고 나기 전에 의미가 있는 말 아닌가. 뚫린 다음 밤샘 감시는 사후 성실함이지, 사전 통제의 대체재가 아니다.

이쯤 되면 공지의 핵심도 늘 비슷해진다. 비밀번호 바꾸라, 수상한 연락 조심하라, 피해 의심 시 주의하라. 즉 서비스가 웹 취약점을 통해 내부 시스템까지 내줬는데, 그 뒤 실질적인 생활 수칙은 이용자 숙제로 변환된다. 회사는 “인지 즉시 조치”를 말하고, 사용자는 다른 사이트 비밀번호까지 점검하며 혹시 모를 문자와 메일을 의심해야 한다. 본인들이 못 막은 경계 실패를 고객의 경계심으로 메우는 구조, 이쯤 되면 보안 체계가 아니라 안내문 외주다. 아주 야무지게 떠넘겼다.

최근 B2C 플랫폼 대상 침해가 잇따르는 상황에서, 전 국민이 자주 쓰는 CU 택배가 웹 취약점 하나로 CI까지 내줬다는 건 더 이상 변명의 영역이 아니다. 무엇을 더 빨리 공지했어야 했는지, 어떤 웹 자산을 점검했어야 했는지, 내부망 접근을 어디서 끊었어야 했는지, 비밀번호와 CI 같은 고위험 정보를 얼마나 분리·제한·감시했어야 했는지부터 답해야 한다. 편의점은 24시간이라도, 보안까지 24시간 방치형이면 곤란하다. 이번 사고가 보여준 건 생활밀착 서비스가 아니라 생활밀착 허점이었다.