3370만 개인정보 털린 쿠팡, 셀프 조사·처분 발표…정부 뭘로 보고 ‘일방통행’?

쿠팡 광고판 앞을 시민들이 지나가는 모습 / 사진 쿠팡 홈페이지 갈무리

쿠팡이 3370만명의 고객 정보가 무단 접근된 초유의 사태와 관련해 자체 조사 결과를 발표했다. “유출자는 특정됐고, 실제 저장된 정보는 약 3000개 계정 뿐이며 모두 삭제됐다”는 것이 핵심이다.

그러나 쿠팡이 정부 조사 결과가 나오기도 전에 스스로 ‘사실상 결론’을 내린 발표를 하면서, 민관합동조사단까지 꾸린 정부의 심기를 건드린다. 책임 회피성 대응으로 해석될 수 있어 사태가 일파만파 커질 전망이다. 

쿠팡은 25일 배포한 공식 입장문에서 “디지털 지문 등 포렌식 증거를 통해 유출자를 특정했고, 고객 정보 유출에 사용된 모든 장치를 회수했다”며 “3300만 고객 정보 접근은 있었으나 실제로 저장된 것은 약 3000개 계정에 불과하며, 여기에 포함된 공동현관 비밀번호 2609건 역시 모두 삭제됐다”고 밝혔다. 결제정보·로그인정보·개인통관고유번호 등 민감 정보 접근은 없었다고 선을 그었다.

또한 쿠팡은 사건 초기부터 글로벌 보안업체 맨디언트·팔로알토네트웍스·언스트앤영 등 3곳에 조사를 의뢰해 “유출자의 진술과 조사 결과가 일치한다”고 강조했다. 유출자는 재직 당시 취득한 내부 보안 키를 이용해 기본 고객정보에 접근했고, 이후 일부 계정의 주문정보·공동현관 비밀번호를 개인 PC와 맥북에 저장했으나 언론 보도 이후 이를 모두 삭제했다는 진술을 했다는 설명이다. 맥북은 파손 후 하천에 투기됐으며, 쿠팡은 해당 장치를 회수해 제출했다고 덧붙였다.

쿠팡은 “이번 사태로 국민께 큰 우려를 끼쳤다”며 사과하면서도, 사실상 유출 범위가 제한적이었다는 점을 거듭 강조했다. “외부 전송은 없었고 2차 유출 증거도 없다”고 못 박았다.

하지만 논란은 가라앉지 않고 있다. 핵심은 두 가지다. 첫째, 3300만명의 정보가 ‘실질적으로 접근’된 것만으로도 이미 대형 보안 사고라는 점이다. 둘째, 정부 합동조사가 진행 중인 상황에서 기업이 먼저 ‘최종 결론처럼’ 발표한 것은 부적절하다는 지적이다.

보안 업계 관계자는 “기업이 스스로 ‘문제 없다’고 발표하는 건 이해관계 충돌이 명확하다”며 “최소한 정부가 최종 확인하기 전까지는 판단 단정적 표현을 자제해야 했다”고 지적했다.

정치권에서도 국민 불안을 가중시킨 ‘선(先)자체 조사·후(後)해명’ 방식을 문제 삼고 있다. 조사 범위·절차·검증 여부 등이 불투명하다는 것이다.

더구나 쿠팡은 사태 초기 유출 사실이 없다는 입장을 냈다가 뒤늦게 ‘접근·저장’을 인정해 신뢰성에도 타격을 입었다. 이번 발표 역시 책임을 최소화하려는 방어 프레임이라는 비판을 피하기 어렵다.

정부는 이와 별도로 기존 민관합동조사단의 성격을 격상하기로 결정했다. 

정부는 플랫폼 기업의 개인정보 유출 및 소비자 보호와 관련해 25일 관계부처 대책 회의를 개최했다. 회의에는 부총리 겸 과기정통부 장관, 공정위, 개인정보위, 방미통위, 금융위 등 부처 장관, 외교부 2차관, 산업부 통상교섭본부장, 정책실장, 경제성장 수석, AI미래기획수석, 안보3차장 등 대통령실 관계자가 참여했다.

정부는 쿠팡 개인정보 유출 및 소비자 보호와 관련하여 현재까지의 진행상황 및 향후계획, 2차 피해 예방대책을 공유하고, 현재는 과기정통부 제2차관이 팀장인 범부처TF를 향후 과기 부총리가 주재하는 TF로 지위를 격상한다.

아울러, 플랫폼 기업의 개인정보 유출 사태에 대한 조사 및 엄중한 대응과 별개로 이번 기회에 국민 생활에 막대한 영향을 주는 플랫폼 기업 등에 대한 정보 유출, 소비자 피해를 막기 위한 근본적인 제도 개선 방안도 준비할 예정이다.