국내 이커머스 1위 쿠팡에서 발생한 3370만 건의 개인정보 유출 사태가 전국민을 충격에 빠뜨렸다. 전체 인구의 65%에 달하는 초유의 규모다. 더 충격적인 것은 5개월간 유출 사실을 인지하지 못했다는 쿠팡의 안일한 보안 관리 실태다.

이번 사태로 쿠팡은 창사 이후 최대 위기에 직면했다. 온라인 커뮤니티에서는 와우 멤버십 해지 움직임이 확산되고 있다.

과학기술정보통신부와 개인정보보호위원회는 민관합동조사단을 꾸려 사고 원인 분석과 재발 방지 대책 마련에 나섰다. 정부는 향후 3개월간 인터넷상 개인정보 유·노출 및 불법유통 점검 기간으로 운영할 계획이다.

소비자들의 분노도 거세다. 온라인 커뮤니티에는 집단소송 모임이 개설되어 하루 만에 1만 명 이상이 모였다. 법조계는 2021년 NH농협은행 사고 등에 비춰볼 때 10만 원 안팎의 위자료가 인정될 가능성이 있다고 본다. 모든 피해자가 소송에 참여할 경우 위자료는 최대 3조3700억원에 달할 수 있다.

'4500건→3370만 건' 7500배 급증한 피해 규모

쿠팡은 11월 18일 약 4500개 계정의 개인정보가 무단 조회된 사실을 인지했다고 밝혔으나, 후속 조사 결과 29일 3370만 개 계정의 정보가 유출됐다고 재발표했다. 당초 신고 대비 7500배 이상 늘어난 규모다.

유출된 정보는 고객 이름, 전화번호, 이메일 주소, 배송지 주소록, 일부 주문 정보 등이다. 쿠팡은 결제 정보와 신용카드 번호, 로그인 정보는 유출되지 않았다고 밝혔지만, 전문가들은 유출된 정보만으로도 보이스피싱, 스미싱 등 2차 범죄에 악용될 가능성이 높다고 경고한다.

'147일간 방치'...6월부터 시작된 유출, 11월에야 인지

더 심각한 문제는 유출 시점이다. 쿠팡은 올해 6월 24일부터 해외 서버를 통한 비정상적 접근이 있었던 것으로 추정하고 있다. 하지만 이를 인지한 시점은 약 5개월이 지난 11월 18일이었다. 게다가 쿠팡이 스스로 발견한 것이 아니라 고객 민원을 통해 알게 됐다는 점에서 비판이 거세다.

12월 2일 국회 과학기술정보방송통신위원회 긴급 현안질의에서 류제명 과기정통부 2차관은 "6월 24일부터 11월 8일까지 공격자가 쿠팡 서버 인증 취약점을 악용해 비정상 접속을 반복했다"며 "3000만 개 이상 계정에서 개인정보가 유출된 것으로 판단된다"고 밝혔다.

국회 과방위가 쿠팡으로부터 제출받은 자료에 따르면, 개인정보를 유출한 전직 직원은 내부 인증 업무를 맡았던 개발자로 확인됐다. 그는 퇴사 이후에도 쿠팡이 갱신·폐기하지 않은 '액세스 토큰 서명키'를 이용해 서버에 접속했다.

최민희 과방위 위원장은 "서명키 갱신은 가장 기본적인 내부 보안 절차임에도 쿠팡은 이를 지키지 않았다"며 "장기 유효 인증키를 방치한 것은 단순한 내부 직원의 일탈이 아니라 인증체계를 방치한 쿠팡의 조직적·구조적 문제의 결과"라고 지적했다.

중국인 전 직원 소행 추정...이미 출국, 수사 난항

경찰과 업계는 이번 사건의 유력 용의자로 중국인 전직 직원을 지목하고 있다. 해당 직원은 이미 퇴사해 한국을 떠나 중국에 체류 중인 것으로 전해졌다. 쿠팡은 11월 25일 경찰에 고소장을 제출했지만, 핵심 인물이 해외에 있어 수사에 난항이 예상된다.

일각에서는 쿠팡 개발 인력 중 중국인 비중이 높다는 주장도 제기됐다. 쿠팡은 중국 상하이·베이징·선전 등에 개발 조직을 두고 있으며, 링크트인의 '쿠팡차이나' 페이지에는 중국 내 근무 인력이 270명 이상이라고 소개하고 있다.

서울경찰청 사이버수사대는 "피의자가 범행에 사용한 IP를 확보해 추적 중"이라며 "쿠팡이 지목한 중국 국적 전 직원을 포함해 여러 가능성을 열어두고 수사하고 있다"고 밝혔다.

국회 "김범석 의장 어디 있나"...박대준 대표 "끝까지 책임"
영업정지 가능성까지 거론

이날 국회 과방위 긴급 현안질의에서는 쿠팡 창업자 김범석 쿠팡Inc 이사회 의장에 대한 책임론이 거세게 제기됐다. 여야 의원들은 김 의장이 직접 사과해야 한다고 요구했다.

이훈기 더불어민주당 의원은 "김범석 쿠팡 의장이 직접 사과할 의향이 없냐"고 질의했고, 이상휘 국민의힘 의원은 "사태가 이만큼 심각한데도 실질 소유주인 김 의장의 거처를 모르고 있다는 게 말이 되느냐"고 지적했다.

박대준 쿠팡 대표는 "현재 이 사건에 대해 제가 전체 책임을 지고 있고 한국법인의 대표로서 끝까지 책임을 지고 사태가 수습될 수 있도록 최선의 노력을 다하겠다"고 답했다. 그는 "한국 법인에서 벌어진 일이고, 제 책임하에서 벌어져 제가 사과 말씀을 드린다"며 김 의장의 책임론과는 선을 그었다.

박 대표는 김범석 의장의 소재에 대해서는 "현재 정확한 위치는 제가 알고 있고 이번 사안에 대해서도 보고하고 있다"고만 답변했으나, 김 의장의 구체적 위치나 향후 행보에 대해서는 명확히 밝히지 않았다.

이와 함께 영업정지 가능성까지 나오고 있다. 박정훈 국민의힘 의원은 "전자상거래법 제32조2항을 보면 통신판매로 재산상의 손해가 났을 경우 영업정지를 할 수 있다"며 과기정통부에 "영업정지 가능 여부를 체크해봤냐"고 질의했다. 류제명 과기정통부 제2차관은 "저희가 판단한 건 아니지만 관계 기관과 적극 협의하겠다"고 답했다.

자료 제출 거부에 질타...최 위원장 "영업비밀이 무슨 영업비밀이냐"

또 현안질의 과정에서 쿠팡의 소극적인 자료 제공 행태도 도마 위에 올랐다. 최민희 과방위 위원장은 "쿠팡이 계속 자료 제출을 안 하고 있어서 구체적으로 요구하겠다"며 △6월부터 최근까지의 보안관제보고서 △시스템 취약점 점검 결과보고서 △개인정보 접속기록 점검 결과 △2025 침해사고 해킹방어 대응훈련 결과 보고서에 대한 즉각 제출을 요구했다.

최 위원장은 "쿠팡이 회사측 영업비밀에 해당해 자료 제출을 못하겠다는 입장"이라며 "이게 무슨 영업비밀이냐"고 반문했다.

대통령실 "징벌적 손배 검토"...최대 1조2000억 원 과징금 전망

정부의 대응도 이례적으로 강경하다. 강훈식 대통령 비서실장은 12월 1일 수석보좌관회의에서 "징벌적 손해배상제도가 사실상 작동하지 않고 있는 현실은 대규모 유출 사고를 막는 데 한계가 있다"며 "기업의 책임이 명백한 경우 제도가 실효성 있게 작동하도록 개선 방안을 검토하라"고 지시했다.

이재명 대통령도 12월 2일 국무회의에서 "피해 규모가 약 3400만 건으로 방대하지만 처음 사건이 발생하고 5개월 동안 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다"며 "사고 원인을 조속하게 규명하고 엄중하게 책임을 물어야 한다"고 강조했다.

국회 과방위 현안질의에서 이정렬 개인정보보호위원회 부위원장은 "개인정보보호법 제64조에 따른 과징금 부과 대상으로 판단된다"며 "유출 안전성 확보 조치 기준을 다 한 경우만 일부 면책을 하는데, 입증 책임이 쿠팡에 있다"고 밝혔다.

개인정보보호법에 따르면 개인정보 도난·유출 시 전체 매출액의 3%까지 과징금을 부과할 수 있다. 지난해 쿠팡 연매출은 약 41조원으로, 최대 3% 적용 시 과징금 규모는 1조2000억원에 달할 수 있다.

이훈기 의원이 "개인정보보호법에 따르면 매출액의 3%까지 과징금을 물게 되어 있는데 쿠팡의 매출액이 지난해 41조 원이다. 법대로 1조2000억 원 과징금 물어야 하지 않느냐"고 묻자, 박 대표는 "책임을 회피할 생각이 없다"고 답했다.

이는 올해 4월 SK텔레콤이 받은 1348억원의 과징금을 훨씬 웃도는 규모다. 특히 쿠팡은 2021년 이후 네 차례나 개인정보 유출 사고를 겪었고, 이번 사고가 외부 해킹이 아닌 내부 직원 소행으로 추정되는 점이 가중 요인으로 작용할 전망이다.

오정희