무신사 "보안취약점 개선"에도…29CM는 '기본 보안' 뚫렸다

무신사 CI. (사진=무신사)

[이데일리 한광범 기자] 무신사가 지난해 외부 모의해킹에서 발견된 보안 취약점을 모두 개선했다고 보고했지만, 올해 8월 무신사가 운영하는 29CM에서는 인증·인가와 접근통제 등 기본적인 보안 취약점이 악용돼 개인정보가 유출된 것으로 나타났다. 사고 전 파트너시스템과 API에 대한 별도 점검까지 진행했지만 실제 운영환경의 허점을 막지 못한 것이다.

국회 과학기술정보방송통신위원회 소속 김우영 더불어민주당 의원이 과학기술정보통신부를 통해 무신사로부터 제출받은 자료에 따르면, 무신사는 2025년 4월 외부 모의해킹에서 총 75건의 취약점을 발견한 뒤 모두 개선했다고 밝혔다.

이후에도 보안점검은 이어졌다. 무신사는 2025년 9월부터 올해 5월까지 정보보호 관리체계(ISMS) 심사 지적사항을 개선했고, 지난해 12월부터 올해 1월까지는 파트너시스템과 API에 대한 별도 보안점검을 실시했다. 올해 상반기에도 외부 공격자 관점의 보안점검을 진행했다.

하지만 지난 8월 29CM 개인정보 유출사고에서는 내부 주문 조회 API의 접근통제목록(ACL) 설정 누락과 인증·인가 미흡, 일부 계정 관리 API의 인증 미적용, OTP 인증 실패 횟수 제한 미설정 등 기본적인 보안 취약점이 확인됐다.

무신사가 제출한 사고 분석자료에 따르면 29CM 내부 주문 조회 API는 인프라 구성 변경 과정에서 접근통제목록(ACL) 설정이 누락되면서 외부에 노출됐다. 해당 API에는 별도의 인증·인가 절차와 대량 조회 제한 장치가 미흡했던 것으로 나타났다.

통합파트너시스템에서도 일부 계정 관리 API에 인증이 적용되지 않았고, OTP 인증 실패 횟수 제한도 설정되지 않은 것으로 확인됐다. 공격자는 이런 취약점을 이용해 파트너 계정을 탈취한 뒤 고객정보 등에 접근했다.

무신사는 지난해 정보보호 분야에 총 41억5900만원을 투자했다. 이 가운데 웹·API 보안에 10억7200만원, 계정·접근통제에 5억1800만원을 집행했다. 다만 이 투자금이 실제 사고가 발생한 29CM 시스템에 직접 투입됐는지는 확인되지 않았다.

이번 사고로 29CM 고객 주문목록 13만8854건을 비롯해 주문 상세정보 1만7955건, 배송정보 3042건 등이 유출됐다. 무신사는 8월 28일 최초 신고 이후 추가 피해 사실을 확인해 9월 3일과 16일 추가 신고했다.

여러 차례 보안점검과 개선조치에도 실제 운영환경에서 기본적인 취약점이 악용됐다는 점에서 점검의 실효성과 시스템 변경 이후의 보안관리 체계를 들여다볼 필요가 있다는 지적이 나온다.

다만 2025년 모의해킹에서 발견된 취약점 75건과 이번 사고에서 악용된 취약점이 동일한지는 확인되지 않았다. 사고가 발생한 시스템이 당시 모의해킹이나 ISMS 인증 범위에 포함됐는지도 추가 확인이 필요하다.

김 의원 측은 보안점검 횟수보다 실제 운영환경의 안전이 중요하다며, 점검에서 지적된 취약점이 실제로 개선됐는지와 시스템 변경 이후에도 보안조치가 유지되고 있는지까지 확인할 필요가 있다고 지적했다.