쿠팡 “전직원 단독범행, 3000개 계정만 저장”…정부 “확인 안돼” 강력 반발

민관합동조사 진행 중 기습 발표, 정부-쿠팡 충돌

3370만 명의 개인정보 유출 사태로 국민적 공분을 산 쿠팡이 25일 전격적으로 자체 조사 결과를 발표하며 “전직 직원의 단독 범행”이라고 밝혔다. 그러나 정부는 민관합동조사가 진행 중인 상황에서 쿠팡의 일방적 발표에 강력히 항의하며 “확인되지 않은 내용”이라고 반박했다.

이날 쿠팡은 보도자료를 통해 디지털 지문 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했으며, 해당 유출자가 범행 일체를 자백하고 정보 접근 방식을 구체적으로 진술했다고 밝혔다. 개인정보 유출에 사용된 모든 장치와 하드디스크 드라이브를 회수·확보했으며, 외부 전송은 없었다는 것이 쿠팡 측 주장이다.

쿠팡 주장: “3300만 접근했지만 3000개만 저장”

쿠팡의 자체 조사에 따르면 유출자는 재직 중 취득한 내부 보안 키를 탈취해 3300만 개 고객 계정의 기본 정보에 접근했으나, 실제로 저장한 정보는 약 3000개 계정에 불과했다. 저장된 정보에는 이름, 이메일, 전화번호, 주소, 일부 주문정보가 포함됐으며, 공동현관 출입번호는 2609개였다.

유출자는 개인용 데스크톱 PC와 맥북 에어 노트북을 사용해 불법 접근을 시도했고, 증거 은폐를 위해 맥북 에어를 물리적으로 파손한 뒤 쿠팡 에코백에 벽돌과 함께 넣어 인근 하천에 투기했다고 진술했다. 쿠팡은 유출자의 진술에 따라 해당 하천을 수색해 노트북을 회수했으며, 일련번호가 유출자의 아이클라우드 계정과 정확히 일치하는 것을 확인했다고 밝혔다.

쿠팡 측은 “유출자는 언론 보도를 접한 이후 저장된 정보를 모두 삭제했다”며 “현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다”고 강조했다. 결제정보, 로그인 정보, 개인통관고유번호에 대한 접근은 없었다고도 덧붙였다.

정부 강력 반발: “민관합동조사 중 일방적 발표 부적절”

하지만 정부는 쿠팡의 자체 조사 발표에 즉각 강력히 항의했다. 개인정보보호위원회와 과학기술정보통신부 등 관계 부처는 “민관합동조사가 진행 중인 상황에서 수사 대상인 쿠팡이 독자적으로 조사 결과를 발표하는 것은 부적절하다”며 “해당 내용이 정부 조사로 확인된 것이 아니다”라고 밝혔다.

정부 관계자는 “쿠팡이 제출한 자료에 대한 검증이 완료되지 않은 상황”이라며 “유출자의 진술 확보 등을 어떤 이유로 경찰이나 민관합동조사단이 아닌 쿠팡이 수행하게 됐는지도 명확하지 않다”고 지적했다.

산업계에서는 쿠팡의 이번 행태가 향후 정부 제재를 염두에 둔 결과라는 관측이 나온다. 업계 한 관계자는 “쿠팡은 사태 초반부터 국민 정서를 고려하지 않는 모습을 보여왔다”며 “오늘 발표도 법적 유불리를 따진 결과일 것”이라고 말했다.

피해자 측, 즉각 증거보전 신청

쿠팡의 자체 조사 발표 직후 피해자 측은 즉각 법원에 증거보전 신청을 제기했다. 개인정보 유출 피해자 2만 749명을 대리한 법률사무소 호인 김경호 변호사는 25일 서울중앙지방법원에 서버 로그와 네트워크 트래픽, 전직 직원 조사 기록, 노트북 등 핵심 증거의 제출과 검증을 요구했다.

법원이 증거보전 신청을 인용할 경우 쿠팡의 자체 조사 결과는 사법적 검증의 대상이 된다. 이미 법무법인 청은 지난 1일 쿠팡 이용자 14명을 대리해 서울중앙지법에 1인당 20만원의 위자료를 청구하는 손해배상 소송을 제기한 상태다.

쿠팡, 26일 “정부 지시 따른 공조수사” 해명

논란이 확산되자 쿠팡은 26일 추가 입장문을 통해 “자체 조사가 아닌 정부 지시에 따른 공조 수사였다”며 해명에 나섰다. 쿠팡은 12월 2일 개인정보 유출 사고 관련 공식 공문을 정부로부터 접수한 이후 수 주간 거의 매일 정부와 협력하며 유출자 추적과 사실 확인을 진행했다고 밝혔다.

특히 12월 9일 정부가 유출자 접촉을 제안했고, 14일 유출자와 첫 대면을 진행했으며, 16일에는 정부 지시에 따라 유출자의 데스크톱 하드드라이브를 회수해 정부에 제공했다고 설명했다. 18일에는 인근 하천에서 유출자의 맥북 에어 노트북을 인양해 정부에 인계했고, 21일에는 모든 증거물과 진술서를 경찰에 제출했다는 것이다.

쿠팡 측은 “이번 조사는 정부의 공식 요청과 지시에 따라 진행된 공조 수사였으며, 독자적으로 조사하거나 정부 감독 없이 움직인 사실은 없다”고 강조했다. 또한 26일에는 조사 과정을 담은 영상까지 공개하며 정부와의 협력 사실을 입증하려 했다.

정부, 대통령실 주재 긴급 관계장관 회의 개최

쿠팡의 발표가 나온 25일, 대통령실은 성탄절에도 쿠팡 개인정보 유출 사태 대응을 위한 범부처 관계장관 회의를 긴급 소집했다. 김용범 대통령실 정책실장 주재로 배경훈 과학기술정보통신부 장관, 조현동 외교부 장관, 김윤덕 국토교통부 장관, 송경희 개인정보보호위원장, 주병기 공정거래위원장, 임광현 국세청장 등이 참석해 경영진 처벌 방안과 소비자 피해 구제책 등을 논의했다.

이날 회의에서 정부는 류제명 과기정통부 2차관이 팀장을 맡던 범부처 태스크포스를 배경훈 부총리 겸 과기정통부 장관 주재로 확대 운영하기로 결정했다. 이는 쿠팡 사태를 정부 차원의 최우선 과제로 격상시킨 것으로 해석된다.

5개월 방치, 역대 최대 유출 규모…과징금 1조원 전망

이번 사태는 유출 규모뿐 아니라 대응 과정에서도 문제가 드러났다. 쿠팡의 자체 점검 결과 지난 6월 24일 이후 해외 IP를 통한 장기간의 비정상적 접근이 있었던 것으로 추정되지만, 쿠팡은 5개월 동안 이를 인지하지 못했다.

이번 유출 규모는 SK텔레콤의 개인정보 유출 사고(약 2324만 명, 과징금 1348억 원)를 크게 웃도는 역대 최대 규모다. 개정된 개인정보보호법에 따라 개인정보 유출 사고 시 매출액의 3%까지 과징금이 부과될 수 있어, 쿠팡의 연 매출 약 41조 원을 기준으로 이론상 최대 1조 2000억 원까지 과징금이 부과될 수 있다.

개인정보보호위원회는 위반 행위의 중대성에 따라 과징금 부과 기준을 다르게 두고 있으며, SK텔레콤을 ‘매우 중대한 위반 행위’로 판단한 바 있다. 쿠팡 역시 퇴사 직원의 보안 키를 장시간 방치한 점 등이 드러나 ‘매우 중대한 위반 행위’로 판단될 가능성이 크다.

송경희 개인정보보호위원장은 취임 일성으로 “중대한 개인정보 유출 사고가 반복적으로 발생한 기업에 대해서는 강력히 처벌하겠다”고 밝힌 바 있다. 쿠팡은 이번이 네 번째 개인정보 유출 사고로, 2021년 앱 오류로 14명 정보 노출, 2020~2021년 쿠팡이츠 배달원 13만 5000명 정보 전송, 2023년 판매자 시스템에서 2만 2440명 정보 노출 등의 전력이 있다.

보안투자 부족 논란…”연 매출 0.2%만 보안에”

쿠팡의 보안투자 부족도 도마 위에 올랐다. 한국인터넷진흥원(KISA) 정보보호통계에 따르면 쿠팡의 지난해 연 매출은 약 42조 원이었지만, 같은 기간 정보보안 부문에 투자한 규모는 889억 원으로 연 매출의 약 0.2%에 불과했다.

쿠팡의 매출은 2021년 20조 원대에서 2024년 40조 원대로 100% 이상 성장했지만, 정보보안 투자는 2021년 534억 원에서 2024년 889억 원으로 소폭 증가에 그쳤다. 전체 정보기술 부문 투자액은 2021년 749억 원에서 2024년 1조 9000억 원으로 대폭 늘었지만, 정보보호 부문 비율은 오히려 7.1%에서 4.6%로 감소했다.

정보보호 전담 인력도 2024년 211명에 불과해 연간 거래액과 매출액 대비 상당히 소규모라는 평가다. 전문가들은 쿠팡의 대규모 개인정보 유출 사태가 급속히 성장한 회사 규모 대비 소홀했던 서버 관리, 접근통제 시스템 문제 등 정보보안 투자 부족에서 비롯됐다고 지적한다.

“경영진 책임 묻겠다”…국회 청문회·영업정지 검토

정부와 국회는 쿠팡에 대한 강경 대응을 예고했다. 국회 과학기술방송정보통신위원회는 23일 전체회의를 열고 6개 국회 상임위원회가 공동으로 개최하는 연석 청문회 실시를 의결했다.

이재명 대통령은 연일 쿠팡을 질타하며 “규정을 위반해 국민에게 피해를 주면 경제 제재로 회사가 망한다는 생각이 들도록 해야 한다”고 강조했다. 주병기 공정거래위원장은 방송에 출연해 영업정지 처분 가능성까지 언급했다.

국세청은 조사4국을 투입해 쿠팡에 대한 특별 세무조사에 착수했다. 조사4국은 기업의 비자금 조성과 탈세 의혹 등 비정기 세무조사를 담당하는 곳으로 ‘재계의 저승사자’로 불린다.

국회에서는 쿠팡 창업주 김범석 의장에 대한 책임론도 거세다. 김 의장은 17일 국회 청문회 증인으로 채택됐지만 “글로벌 경영 일정”을 이유로 불출석 사유서를 제출했다. 과방위는 김 의장과 박대준·강한승 전 대표를 국회증언감정법 위반으로 고발한 상태다.

2차 피해 우려 속 ‘탈쿠팡’ 운동도

개인정보 유출로 보이스피싱과 스미싱 등 2차 피해에 대한 우려가 커지고 있다. 전문가들은 이번에 유출된 정보가 이전에 다른 경로로 유출된 정보들과 결합해 악용될 가능성을 경고한다.

온라인 커뮤니티에서는 ‘탈쿠팡’ 운동이 전개되고 있지만, 실제 이용자 수는 큰 변화가 없는 것으로 나타났다. 12월 첫 주 쿠팡 앱 주간 이용자 수는 전월 대비 약 4.1% 증가한 2993만 명을 기록했다. 유출 10일 만에 일간 이용자 수도 사태 이전 수준인 1583만 명으로 회복됐다.

로켓배송에 길들여진 소비자들이 마땅한 대안을 찾지 못해 ‘울며 겨자 먹기’로 잔류하고 있다는 분석이다. 쿠팡은 정부 압박에 못 이겨 와우 멤버십 해지 절차를 기존 6단계에서 2단계로 간소화했다.

추천기사

1. 쿠팡 개인정보 유출 사태, 이커머스 지형 재편 신호탄 되나
2. 차 문만 닫아줬을 뿐인데 건당 3만원, 자율주행이 만든 새로운 일자리
3. 11만전자 돌파 삼성전자 주가 사상최고치 경신 그 배경은?
4. “오빠 귀 뒤 냄새”…차가원과 불륜에 엠씨몽 “전쟁이다”
5. 정위스님 시금치국수 레시피 무단 도용한 MBN ‘알토란’