)
3370만 명, 대한민국 인구의 약 65%에 달하는 개인정보가 유출됐다. 이름과 전화번호, 주소는 물론 현관 비밀번호와 주문 내역까지 포함된, 온라인 상거래 역사상 최대 규모의 사고다. 이번 사태의 본질은 ‘유출 규모’ 그 자체에만 있지 않다. 사고 이후 쿠팡의 태도와 대응은 또 다른 논란을 키웠다. 쿠팡은 사고를 최초 공지하며 개인정보가 ‘유출’이 아닌 ‘무단 노출’됐다고 표현했고, 홈페이지에 게시했던 사과문은 이틀 만에 대형 할인 광고로 대체됐다. 실질적 최고 책임자인 김범석 쿠팡Inc 이사회 의장은 끝내 사과하지 않았고, 국회 청문회 증인 출석 요구에도 ‘해외 거주’를 이유로 불응했다.
15일 관련 업계에 따르면 이번 사태의 핵심은 해커가 외부 공격자가 아니라 쿠팡 전직 개발자였다는 점이다. 그는 퇴사 이후에도 서버 접근을 가능하게 하는 전자서명 키, 이른바 ‘마스터키’를 이용해 수천만 개의 계정에 접근한 것으로 파악됐다. 보안 전문가들은 이 같은 전자서명 키는 HSM(하드웨어 보안 모듈)에 보관돼 외부 반출이 사실상 불가능해야 한다고 지적한다. 그럼에도 핵심 보안 키가 조직 밖으로 유출됐다는 점은 해킹의 문제가 아니라 쿠팡의 명백한 관리 실패이자 보안 시스템 설계 철학의 문제라는 평가다.
이는 쿠팡의 보안 구조가 ‘내부자는 신뢰한다’는 위험한 전제에 머물러 있었음을 보여준다. 내부 계정에 대한 추가 인증이나 접근 권한 분리 원칙이 충분히 작동하지 않았고, 단 한 명의 내부 권한자가 전체 고객 정보를 열람할 수 있는 구조가 방치돼 있었다. 사이버 보안의 기본 원칙으로 자리 잡은 ‘제로 트러스트(내부자도 잠재적 공격자로 가정하는 보안 체계)’는 사실상 적용되지 않았다는 것이다.
사고 이후 쿠팡의 대응 방식은 기업의 성격, 즉 ‘DNA’와 맞닿아 있다는 해석이 나온다. 쿠팡을 경험한 전·현직 인사들은 “쿠팡은 여론이나 정서보다 ‘법적으로 문제가 되느냐’를 최우선으로 판단하는 회사”라고 말한다. 실제로 쿠팡은 당국에는 개인정보 ‘유출’로 신고하면서도, 고객에게는 ‘노출’이라는 표현을 반복 사용했다. 개인정보보호위원회의 시정 조치 이후에야 용어를 수정했다. 이는 책임의 범위를 최소화하려는 태도로 읽힌다는 지적이 곳곳에서 나왔다.
관련해 이 같은 대응은 미국식 법무 중심 경영의 전형이라는 분석도 있다. 미국 기업 문화에서는 최고경영자의 사과가 곧 법적 책임 인정으로 해석될 수 있는 만큼, 법률 검토가 끝나기 전까지 경영진이 전면에 나서지 않는 경우가 많다. 쿠팡 역시 이 논리를 그대로 적용해 왔다는 것이다.
박대준 전 대표가 사임한 이후 쿠팡은 하버드 로스쿨 출신의 미국 변호사이자 쿠팡Inc 법무총괄인 해럴드 로저스를 한국 쿠팡 임시 대표로 투입했다. 이는 쿠팡이 이번 사태를 고객 신뢰 회복보다는 법률·규제 대응 국면으로 인식하고 있다는 신호로 해석된다.
최고 책임자의 무대응은 쿠팡의 기업 지배 구조와도 맞물려 있다. 한국 쿠팡은 미국 쿠팡Inc의 100% 자회사다. 창업자인 김범석 의장은 쿠팡Inc 의결권의 약 74%를 보유한 실질적 오너다. 그는 2021년 한국 법인 등기이사직에서 물러나며 법적 책임에서는 한 발 물러난 상태다. 국내에서 문제가 발생하면 한국 법인 경영진이 책임을 지는 구조이지만, 중대한 의사 결정은 미국 본사를 거친다는 비판이 지속돼 왔다. 김 의장은 여러 차례 국회 증인으로 채택됐지만 단 한 번도 출석하지 않았다. 이번 개인정보 유출 사태와 관련한 청문회에서도 ‘해외 거주’를 이유로 불출석 사유서를 제출했고, 대신 취임 1주일 된 임시 대표가 출석한다.
여야를 가리지 않고 “조직적 책임 회피”, “국회를 기만하는 태도”라는 비판이 나오는 이유다.
‘대체재 없는 플랫폼’의 자신감과 대관 경영
쿠팡이 이 같은 태도를 유지할 수 있는 배경에는 한국 시장에서의 독점적 지위가 있다. 새벽배송과 로켓배송으로 쿠팡은 단순한 쇼핑몰을 넘어 ‘생활 인프라’가 됐다. 탈퇴 절차조차 모바일에서는 불가능하고, PC 접속과 복잡한 인증 절차를 거쳐야 한다.
글로벌 투자은행 JP모건이 “쿠팡의 이탈 고객은 제한적일 것”이라고 전망한 것도 이 때문이다. 그러나 실제로는 12월 초 기준 쿠팡 이용자 수가 약 180만 명 감소한 것으로 나타났다. 사고가 반복되며 누적된 불신이 수치로 드러나고 있다는 분석이다. 쿠팡은 또 전직 국회 보좌진 등 퇴직 공직자들을 대거 채용해 50명 안팎의 대관 조직을 운영하고 있다. 국회와 정부를 상대로 한 대응 역량은 강하지만, 문제의 본질을 해결하기보다 문제 확산을 차단하는 방어용 대관에 치중하고 있다는 지적도 나온다.
개인정보보호법은 개인정보처리자의 고의 또는 중대한 과실이 인정될 경우 손해액의 최대 5배까지 징벌적 손해배상을 허용한다. 그러나 제도 도입 이후 9년 동안 실제 적용 사례는 단 한 차례도 없었다. 이번 사건은 다르다는 관측이 나온다. 전직 직원의 접근 권한 미회수, 핵심 보안 키 관리 실패, 147일간 침입을 감지하지 못한 점, 초기 축소 통지와 표현 왜곡 논란 등은 중대한 과실을 입증할 수 있는 정황으로 거론된다. 실제로 집단소송 움직임이 국내외에서 확산하고 있다.
후원하기
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요0
감동이에요0
화나요0
슬퍼요0
기사제보 
