한국인터넷진흥원(KISA), 액세스 토큰 악용한 인증 우회 보고

인증 우회 경로 분석

한국인터넷진흥원(KISA)은 2025년 11월 21일 국회 과학기술정보방송통신위원회 최민희 위원장에게 제출한 신고서를 통해 쿠팡의 정보 유출 경로를 분석했다. KISA는 기존 로그인 사용자에게 발급되는 서명된 액세스 토큰을 악용해 인증을 우회한 것으로 추정된다고 보고했다.

액세스 토큰과 서명키의 역할

액세스 토큰은 사용자가 한 번 로그인하면 일정 시간 동안 재인증 없이 서비스를 이용할 수 있도록 하는 디지털 인증키다. 이때 서명키는 해당 토큰이 위조되지 않았음을 확인해주는 인증 도장 역할을 수행한다.

보안 관리 부실 지적

최민희 위원장은 쿠팡이 토큰 생성에 필요한 서명 정보를 담당 직원이 퇴사할 때 삭제하거나 갱신하지 않고 방치했다고 지적했다. 서명키 갱신은 기본적인 내부 보안 절차임에도 불구하고 이를 소홀히 하여 내부 직원이 이를 악용할 수 있는 환경을 제공했다는 분석이다.

쿠팡의 입장

쿠팡은 토큰 서명키의 유효 인증 기간에 대해 키 종류에 따라 다양하며, 5년에서 10년으로 설정하는 사례가 많다고 설명했다.