“그래서 범인은 어떻게 된 거지?” 대규모 정보 유출 사고를 낸 쿠팡의 대응을 보며 머릿속을 떠나지 않는 질문이다. 쿠팡의 발표를 요약하면 이렇다. 내부 유출자를 특정했고, 만나서 자백도 받았고, 범행에 사용한 기기도 회수했단다. 발표 주체가 쿠팡이 아닌 경찰이나 정부 기관이었다면 뒤따를 소식은 당연히 ‘범인 검거’였을 것이다. 하지만 유출 피해 당사자인 우리, 즉 소비자가 마주한 것은 쿠팡의 모호한 해명뿐이다. 개인정보 유출은 단순한 도난 사고보다 대응하기가 훨씬 까다롭다. 기업이 공지하기 전까지 소비자는 피해 사실조차 알기 어렵고, 유출된 데이터는 보이스피싱이나 부정 결제 같은 2차 피해로 이어질 수 있는 시한폭탄이다. 특히 이번 사건은 공동현관 비밀번호가 포함됐다는 점에서 대중의 공포를 자극했다. 개인이 할 수 있는 일은 고작 ‘탈퇴하기’가 최선이다. 사고 뒷수습은 오롯이 기업과 정부의 처분에 의존해야 하기에 소비자의 답답함은 무력감으로 변한 지 오래다. 쿠팡은 사과보다 사태 축소에 급급한 모습이다. 유출 규모를 3300만건에서 돌연 3000건으로 축소 발표했고, 그마저도 외부로 유출되지 않았다고 주장했다. 하지만 수사기관이 아닌 기업의 자체 발표를 대중이 선뜻 신뢰하기는 어렵다. 조사 경위에 대한 쿠팡의 설명도 설득력이 약하다. 직접 경찰에 고발까지 한 범인을 만나면서 정작 수사 공조는 뒷전으로 미뤘다. 국가정보원과의 협력을 방패 삼아 과정을 불투명하게 처리한 것을 볼 때 쿠팡이 한국의 수사 시스템마저 가볍게 여긴 것 아닌지 의문이다. 이후 쿠팡이 내놓은 메시지는 점입가경이다. 구매이용권으로 1인당 5만원씩, 총 1조 7000억원을 지급하겠다는 보상안은 소비자들로부터 ‘평상시 주던 웰컴 쿠폰보다 못하다’는 냉소를 받았다. 국회 청문회에서 한국 쿠팡의 수장이 ‘왜 정부와 기업 간의 성공적인 협력 사례를 알리지 않으려 하냐’고 말한 것은 훈계로 보였고, 쿠팡이 국민과 국회를 대하는 오만의 정점이라는 지적이 나왔다. 쿠팡이 정말 국내 소비자를 최우선으로 생각하는지 의심스럽다. 사태 직후 “쿠팡이 경쟁자가 없는 시장 지위를 누리고 있고 한국 고객은 데이터 유출에 덜 민감해 보인다. 잠재적 고객의 이탈은 제한적일 것”이라고 평가한 JP모건의 보고서는 뼈아픈 현실을 꼬집는다. 기업의 허술한 관리로 소비자의 정보 주권이 무력화되는 사이, 쿠팡은 독점적 지위를 믿고 ‘탈팡’ 계산기를 두드리며 배짱 대응을 이어 가고 있다. 정부와 국회가 징벌적 손해배상이나 영업정지를 거론하지만 단순히 ‘기업 벌주기’에 그쳐선 안 된다. 쿠팡이 연간 40조원을 버는 국내 최대 쇼핑 플랫폼으로 성장한 배경엔 규제 차익이 존재한다. 대형마트가 유통산업발전법에 묶여 있을 때 쿠팡은 전자상거래라는 지위를 이용해 새벽 배송 시장을 장악했다. 이제라도 온라인플랫폼법 등 입법을 통해 기울어진 운동장을 바로잡고, 플랫폼의 책임을 강화해야 한다. 김현이 산업부 기자

이틀간 이어진 국회 청문회에도 불구하고 쿠팡의 정보유출 사태를 둘러싼 각종 논란이 증폭되면서 국회가 결국 국정조사를 추진하기로 했다. 여당은 쿠팡의 실질적 결정권자인 김범석 쿠팡Inc 이사회 의장이 끝내 모습을 드러내지 않을 경우 강제구인도 마다하지 않겠다며 강수를 뒀다. 31일 국회 과학기술정보방송통신위원회 간사인 김현 민주당 의원은 국정조사 요구서를 제출하면서 “중요한 것은 김 의장이 국내로 들어와 책임 있는 답변과 피해보상에 대한 대책을 내놓는 것”이라며 “국정조사 계획서가 채택되고, 김범석 의장이 증인으로 채택됐는데도 김 의장이 요지부동일 경우 동행명령장을 발부할 예정”이라고 말했다. 국회증언감정법에 따르면 국정조사 증인이 불출석할 경우 의결을 통해 동행명령장을 발부할 수 있다. 이날 청문회에서 해롤드 로저스 쿠팡 임시대표는 ‘국가정보원 지시에 따라 정보유출자를 조사했다는 것은 위증’이란 지적에 정면으로 맞섰다. 전날 자신을 위증 혐의로 고발해달라는 국정원의 요청에도 불구하고 로저스 대표는 “민간기업과 정부기관의 성공적인 협력 사례다. (정부는) 왜 국민들에게 알리지 않느냐”라고 반박했다. 아울러 정보 유출은 전직 직원의 보복성 범행이라고 했다. 로저스 대표는 “(유출자의) 의도는 돈을 받는 것이 아니라 퇴사를 당한 것에 대해서 앙심을 품고 보복하려고 했던 것”이라며 “소규모의 데이터만을 저장했고, 이를 삭제한 다음에 제3자와 공유하지 않았다”고 했다. 앞서 쿠팡은 유출자가 3300만개의 고객 계정에 접근했으나 실제 저장한 계정 정보는 3000개라고 발표한 바 있다. 이날 청문회는 어제에 이어 의원들의 질타 및 사과 요구와 로저스 대표의 항변이 충돌하며 긴장감이 고조됐다. 의원들이 로저스 대표의 답변을 거듭 제지하자 그는 “그러면 왜 저를 증인으로 채택하셨나. 답변할 수 있도록 허락해달라”고도 항의했다. 정부의 쿠팡 압박 수위도 높아지고 있다. 김영훈 고용노동부 장관은 이날 청문회에서 의원들의 요구에 따라 쿠팡의 야간 노동 규제, 근로감독, 산재은폐 수사 등을 실시하겠다고 했다. 주병기 공정거래위원장은 쿠팡 사태를 계기로 온라인 플랫폼에 대한 규제를 강화하는 한편 소비자 피해 구제를 위한 집단소송제 도입 가능성을 시사했다.

해롤드 로저스 쿠팡 임시대표는 30일 최근 쿠팡의 개인정보유출 조사 결과 발표를 놓고 ‘셀프 조사’ 논란이 인 데 대해, 정부 기관과 협력한 것이라고 부인했다. 로저스 대표는 이날 국회에서 열린 쿠팡 연석 청문회에서 ‘국가정보원과 소통했느냐’는 황정아 더불어민주당 의원의 질의에 “저희는 피의자와 연락하는 것을 원치 않았지만, 여러 차례에 걸쳐서 그 기관(국가정보원)에서 피의자와 연락하기를 요청했다”고 말했다. 로저스 대표는 “그 기관(국정원)은 저희가 협력해야 한다고 말을 했고, 한국 법에 따라서 사실 협조 요청은 구속력이 있고 지시에 따라야 한다고 이해했다”고 설명했다. 로저스 대표는 “지시 명령이었다”고 주장한 뒤 용의자를 만난 장소에 대해서는 “중국에서 만났다”고 답했다. 그는 ‘국정원 누구와 소통했느냐’는 질의에는 “지금 이름에 대한 정보는 없는데 해당하는 이름을 전달하겠다”고 답했다. 로저스 대표는 용의자를 접촉하라고 지시한 회사 내부자에 대해서는 “한국 정부가 우리에게 지시를 내렸다”며 “왜 이 정보를 한국민과 공유하지 않고, 감추고 있나. 회사 내에서 누구도 지시하지 않고 정부 기관이 팀에 직접 지시했고 따랐을 뿐이다”라고 말했다. 그러자 김영배 더불어민주당 의원은 “범죄 행위라서 본인의 역할을 감추기 위한 것”이라고 비판했다. 이와 관련해 이재걸 법무 담당 부사장은 “(국정원이) 내부에서도 일부에만 공유하고, 다른 정부 기관에도 절대로 알리지 말라고 했다”며 “정부 기관으로부터 계속 지시를 받아서 그 직원이 한 것”이라며 “범행이라고 생각지 않는다”고 반박했다. 로저스 대표는 해킹에 사용된 장비의 포렌식 결과에 대해서도 “정보기관이 복사본을 가지고 있고, 원본은 경찰에 전달했다”며 “그 정보기관이 저희가 보유할 수 있도록 별도의 카피를 또 만드는 것을 허락했다”고 말했다. 국정원 “유출자 접촉·포렌식이미지 등도 지시한 바 없어” 로저스 대표의 ‘한국 정부 지시’ 발언에 국정원은 “명백한 허위”라며 국회 과방위에 로저스 대표에 대한 위증 혐의 고발을 요청했다. 국정원은 이날 배포한 보도자료에서 “고발권을 가지고 있는 국회 쿠팡 청문회가 (해롤드 로저스) 쿠팡 대표를 ‘국회에서의 증언·감정 등에 관한 법률’ 제14조 제1항에 따른 위증죄로 고발해 주시라고 요청했다”고 밝혔다. 국정원은 이날 국회에서 열린 ‘쿠팡 침해사고 및 개인정보 유출, 불공정 거래, 노동환경 실태 파악과 재발 방지 대책 마련을 위한 청문회’에 출석한 로저스 대표의 발언들을 조목조목 반박했다. 먼저 ‘국정원의 지시·명령에 따라 (개인정보 유출 사고를) 조사했다’는 발언에 대해 “전혀 사실이 아니다”라며 “국정원은 자료 요청 외에 쿠팡사에 어떠한 지시·명령·허가를 한 사실이 없으며 그럴 위치에 있지도 않다”고 부인했다. 쿠팡이 개인정보 유출 행위자와 연락하도록 국정원이 지시했다는 로저스 대표의 주장에 대해서도 “국정원은 오히려 쿠팡사의 유출자 접촉 관련 의견 문의에 대해 ‘최종 판단은 쿠팡사가 하는 것이 맞다’고 여러 차례 강조했다”고 했다. ‘정부 기관의 지시에 따라 하드 드라이브에서 포렌식 이미지를 채취했다’는 주장에 대해서도 국정원이 쿠팡과 접촉(12월 17일)하기 이전인 지난 15일 이미 쿠팡이 이미지 사본을 복제한 상태였다고 국정원은 밝혔다. 쿠팡과 접촉하기 전까지 이미지가 복제됐다는 사실을 알지 못했다고 국정원은 덧붙였다. 정부 기관이 복사본을 보유하고 있고, 원본은 경찰에 전달됐으며, 쿠팡이 복사본을 보유할 수 있도록 정부기관이 별도의 복사본 제작을 허용했다는 로저스 대표의 주장도 사실이 아니라고 국정원은 밝혔다. 다만 국정원은 지시·명령은 전혀 사실이 아니라면서도 유출자 접촉이나 하드 드라이브 포렌식 이미지 확보 등에 대해 쿠팡에 어떤 견해나 조언을 제시했는지는 구체적으로 설명하지 않았다. 국정원은 “쿠팡사 대표의 허위발언이 국가기관의 신뢰를 저하시키는 중대한 사안임을 쿠팡사에 엄중 경고”한다고 덧붙였다.

온라인 커뮤니티를 중심으로 쿠팡의 최근 내부 정보 유출 논란과 과거 예능 프로그램 장면을 연결 짓는 게시물이 화제를 모으고 있다. 지난 25일 한 온라인 커뮤니티에는 ‘쿠팡 사태도 예언한 무한도전’ 이라는 제목의 글이 게시됐다. 작성자는 최근 보도된 쿠팡 내부 정보 유출 사건 관련 뉴스 화면과 함께, 과거 방송된 MBC 인기 예능 프로그램 ‘무한도전’의 한 장면을 캡처해 비교했다. 25일 쿠팡은 유출자가 언론을 통해 정보 유출 사태를 접한 후 불안함에 증거의 은폐와 파기를 시도했다고 밝혔다. 쿠팡에 따르면 해당 유출자는 노트북을 파손한 뒤 쿠팡 로고가 있는 에코백에 벽돌과 함께 넣어 던졌으며, 회사는 잠수부를 통해 이를 회수했다고 주장했다. 작성자가 게시물에 올린 보도 화면 캡처에는 “언론 보도가 나오자 극도로 불안해진 유출자는 노트북을 부숴 쿠팡 에코백에 벽돌과 함께 넣은 뒤 하천에 던졌다”, “잠수부들이 해당 하천에서 노트북을 회수했다”는 자막이 차례로 등장했다. 이와 함께 올라온 사진은 예능 프로그램 ‘무한도전’의 한 에피소드 장면이다. 해당 장면에서는 인물들이 물가에서 물건을 숨기거나 버리는 상황을 연출하며 “물에다 숨겨 놓을까?”, “던졌어?”, “여기 있어” 등의 대사가 오간다. 게시물 작성자는 이 장면이 최근 쿠팡 사건의 흐름과 묘하게 닮아 있다며 “예능이 현실을 예언한 것 아니냐”는 반응을 보였다. 해당 게시물은 빠르게 확산되며 누리꾼들의 다양한 반응을 불러왔다. 일부 누리꾼들은 “현실이 예능을 따라간 셈”, “이쯤 되면 무한도전은 시사 프로그램”이라며 웃음을 섞은 반응을 보였고, 또 다른 누리꾼은 “웃고 넘길 일이 아니라 내부 통제 문제는 심각하다”는 지적을 내놓기도 했다. 온라인에서 회자된 ‘무한도전’ 장면은 과거 방송분으로, 특정 사건을 염두에 둔 설정은 아니지만 현실 사건과 유사한 연출이 뒤늦게 재조명되며 밈(meme) 형태로 소비되고 있다.

“미흡한 초기 대응·소통 부족 사과”국회엔 불출석 사유서 내고 여론전 3300만명이 넘는 역대 최대 개인정보 유출 사태에도 침묵하던 쿠팡 창업자 김범석 쿠팡Inc 이사회 의장이 사태 한 달 만인 28일 사과문을 발표했다. 외부 유포는 없었다는 자체 조사 결과를 기습적으로 발표하면서 해당 사안을 조사 중인 한국 정부를 패싱했다는 비난에 부담을 느낀 것으로 보인다. 하지만 김 의장은 사과문에서도 외부 유포는 없었고 정부와 협력한 조사 발표라는 기존 입장을 되풀이해 정부와의 진실 공방에 불을 붙였다. 또 국회 연석 청문회에 또다시 불출석 사유서를 제출하면서 이번 사과가 책임 있는 수습보다 여론전 성격이 짙다는 평가도 나왔다. 김 의장은 이날 쿠팡을 통해 배포한 사과문에서 “쿠팡 전체 임직원을 대표해 진심으로 사과드린다. 이번 데이터 유출로 인해 많은 분께서 개인정보가 안전하지 않다는 두려움과 불안을 느꼈다”면서 “또한 사고 직후 미흡했던 초기 대응과 소통 부족에 대해 진심으로 사과드린다”고 밝혔다. 이어 김 의장은 “무엇보다 제 사과가 늦었다”면서 “모든 사실이 확인된 이후에 공개적으로 소통하고 사과하는 것이 최선이라고 판단했다. 돌이켜 보면 이는 잘못된 판단”이라고 전했다. 김 의장은 정보보안 조치 강화, 조속한 고객 보상안 마련 및 시행, 정부 조사 결과에 따른 재발 방지책 마련 등을 약속했다. 하지만 김 의장은 ‘정부 패싱’ 논란에 대해 “쿠팡은 조사 초기부터 정부와 전면적으로 협력해 왔다”면서 “일련의 과정에서 많은 오정보가 확산하는 상황에서도 정부의 ‘기밀 유지’ 요청을 엄격히 준수했다”고 했다. 이는 정부의 입장과 배치되는 주장이어서 향후 진실 공방은 더욱 확대될 전망이다. 경찰은 쿠팡이 지난 21일 임의 제출한 해당 노트북을 포렌식하며 사실관계 확인 작업에 집중하고 있지만, 무엇보다 ‘증거물 오염’ 가능성을 극도로 경계하고 있다. 특히 기업이 경찰 조사 전에 핵심 증거물을 먼저 확보해 건드린 것은 전례를 찾아보기 힘들다는 반응이 나온다. 수사기관이 압수수색을 통해 확보해야 할 핵심 증거물을 기업이 먼저 수거해 임의로 살펴본 것은 디지털 증거의 생명인 ‘무결성’을 훼손할 수 있어서다. 대통령실도 쿠팡의 개인정보 유출 사건과 기습적인 자체 조사 결과 발표에 대해 배경훈 과학기술정보통신부 부총리 겸 장관 주재로 격상된 범정부 태스크포스(TF)를 앞세워 처벌 및 대책을 마련하겠다는 생각이다. 정부 고위 관계자는 이날 서울신문과의 통화에서 “외교부 등이 포함된 것은 쿠팡과 관련이 있는 것은 전부 조사하겠다는 의미”라고 밝혔다. 쿠팡이 지난 25일 자체 조사 결과 발표 때부터 ‘정부에 보고했다’고 주장한 것은 국정원을 의미한 것으로 알려졌다. 하지만 쿠팡이 정부 지시에 따라 유출자의 자백을 받아내고 기기를 회수했다고 주장한 지난 26일 성명에 대해 국정원은 “업무 협의를 한 적은 있지만 지시는 하지 않았다”고 반박했다. 또 김 의장은 이날 사과문에서 “쿠팡은 최근 정부와의 협력을 통해 유출된 고객 정보 100% 모두 회수 완료했다”고 기존 입장을 재확인했다. 그는 이어 “유출자의 컴퓨터에 저장돼 있던 고객 정보가 3000건으로 제한돼 있었음이 확인됐으며, 이 또한 외부로 유포되거나 판매되지 않았다는 점도 확인됐다”고 했다. 이를 두고 일각에서는 향후 진행될 대규모 집단 소송 등을 염두에 둔 법적 방어 논리로 봤다. 쿠팡 전 직원인 개인정보 유출 범인이 3370만명의 데이터에 접근했지만, 쿠팡이 유출 증거가 확실한 3000건에 대해서만 배상 책임을 지려 한다는 취지다. 특히 미국 뉴욕증시 상장사인 쿠팡Inc에 대해 미 현지에서도 집단소송이 제기됐는데, 미국 증거법에 따르면 상대방의 주장을 곧바로 부인하지 않으면 사실로 간주할 수 있다. 즉 커지는 정부의 압박과 소비자들의 비판에 대해 사과문이라는 형식을 통해 자신들의 입장을 분명히 했다는 것이다. 또 김 의장은 30일과 31일에 국회 6개 상임위가 여는 쿠팡 사태 관련 대규모 연석 청문회에 대해 또 한 번 불출석 사유서를 전날 제출했다. 여권은 불쾌감을 표하며 향후 국정조사 추진과 입국 금지 조치 등 강경 대응을 검토하겠다는 입장이다. 김현정 더불어민주당 원내대변인은 이날 기자들과 만나 “국정조사 요구서를 제출하려고 한다”면서 “동행명령뿐만 아니라 할 수 있는 가장 강력한 조치들을 지금 하겠다는 생각을 갖고 있다. (김 의장을) 입국 금지시킬 수 있다”고 말했다.

쿠팡이 정부 지시에 따라 유출자의 자백을 받아내고 기기를 회수했다고 주장하는 성명을 낸 가운데, 국문본과 영문본 세부 내용이 미묘하게 달라 논란이다. 쿠팡은 지난 26일 홈페이지에 공개한 성명에서 “쿠팡의 조사는 ‘자체 조사’가 아니었다. 정부의 지시에 따라, 몇 주간에 걸쳐 매일 정부와 긴밀히 협력하며 진행한 조사였다”라고 밝혔다. 이어 “정부의 감독 없이 독자적으로 조사했다는 잘못된 주장이 계속 제기되면서 불필요한 불안감이 조성되고 있다”라고 말했다. 쿠팡은 이 가운데 ‘불필요한 불안감’이란 국문 표현을 영문본 성명에서는 ‘잘못된 불안감’(false insecurity)으로 표기했다. 쿠팡은 또 “정부 기관과 국회, 그리고 일부 언론으로부터 ‘쿠팡이 정보 유출 사태에 대해 심각하게 대처하지 않았다’는 억울한 비판을 받았음에도 불구하고”란 문장에서 ‘억울한 비판’ 문구를 ‘잘못된 비난’(falsely accused)이라고 영문본에 표기했다. 국문본과 비교할 때 영문본 성명은 정보유출 사태와 관련한 한국 내 비판 여론이 잘못된 사실에 기인하고 있다는 점을 부각한 것으로 해석될 수 있는 대목이다. 쿠팡은 “12월 1일, 쿠팡은 정부와 만나 전폭적으로 협력하기로 약속했다”라는 국문본 문장을 영문본에서 “12월 1일, 정부가 쿠팡에 접촉해와 전면적인 협조를 요청했다”라고 달리 표현하기도 했다. 쿠팡 김범석, 사과했지만 청문회는 불출석…“대한민국 무시·우롱” 이와 별도로 쿠팡 창업주인 김범석 쿠팡 Inc 이사회 의장은 28일 개인정보 유출 사태와 관련해 처음으로 사과문을 발표했다. 김 의장은 사과문에서 “저희의 책임으로 발생한 이번 데이터 유출로 인해 많은 분께서 자신의 개인정보가 안전하지 않다는 두려움과 불안을 느꼈고, 사고 초기부터 명확하고 직접적으로 소통하지 못한 점으로 인해 큰 좌절감과 실망을 안겨 드렸다”며 사과했다. 개인정보 유출 사실이 알려진 지 한 달만이다. 그는 ‘유출 정보가 회수됐다’고 발표하며 책임을 축소하려 했다는 지적에 대해선 “저희는 애초의 데이터 유출을 예방하지 못한 실패를 엄중히 인식하고 있으며, 그로 인해 끼쳐 드린 모든 우려와 불편에 대해 깊이 사과드린다”고 책임을 인정했다. 하지만 김 의장이 이미 30∼31일 열리는 국회 연석청문회에도 불출석하겠다고 통보한 터라, 한국 사회를 무시한다는 비난이 여전하다. 앞서 지난 청문회에서는 개인정보 유출 사태 이후 새로 선임된 해롤드 로저스 쿠팡 대표가 출석해 동문서답식 불성실한 답변으로 일관해 ‘맹탕 청문회’라고 비난받은 바 있다. 여기에 실질 경영자인 김 의장이 이번 연석 청문회에도 출석하지 않겠다고 밝히면서, 쿠팡이 한국 정부를 ‘패싱’(무시)하기로 방침을 정한 것이 아니냐는 분석이 나온다. 김 의장은 모국인 한국에서 노동 문제 등과 관련해 자신에 대한 책임론이 커지자, 쿠팡 한국법인 지위를 내려놓고 미국으로 떠나 현지에서 원격 경영 중이다. 국회 과학기술정보방송통신위원회 위원장인 최민희 더불어민주당 의원은 이에 대해 “대한민국과 국민들, 그리고 국회를 무시하고 우롱하는 행위가 계속되고 있다”고 지적했다.

쿠팡 창업주인 김범석 쿠팡Inc 이사회 의장이 최근 개인정보 유출 사태와 관련해 처음으로 고개를 숙였다. 김 의장은 28일 “질책을 겸허히 받아들인다. 철저히 쇄신하겠다”는 내용의 사과문을 냈다. 개인정보 유출 사실이 알려진 지 한 달 만의 사과다. 사과문에서 김 의장은 “쿠팡의 창업자이자 이사회 의장으로서, 쿠팡의 전체 임직원을 대표해 진심으로 사과드린다”며 “많은 국민이 실망한 지금 상황에 참담함을 금할 수가 없다”고 밝혔다. 그는 “저희의 책임으로 발생한 이번 데이터 유출로 인해 많은 분께서 자신의 개인정보가 안전하지 않다는 두려움과 불안을 느꼈고, 사고 초기부터 명확하고 직접적으로 소통하지 못한 점으로 인해 큰 좌절감과 실망을 안겨 드렸다”며 “사고 직후 미흡했던 초기 대응과 소통 부족에 대해 진심으로 사과드린다”고 했다. 유출 사실이 알려지고 한 달 만에 사과한 데 대해서는 “무엇보다 제 사과가 늦었다”면서 “모든 사실이 확인된 이후에 공개적으로 소통하고 사과하는 것이 최선이라고 판단했다. 돌이켜보면 이는 잘못된 판단”이라고 말했다. 최근 쿠팡의 자체 조사 결과 발표와 관련한 논란에 대해서는 “쿠팡은 조사 초기부터 정부와 전면적으로 협력해 왔다”며 “일련의 과정에서, 많은 오정보가 확산하는 상황에서도 정부의 ‘기밀 유지’ 요청을 엄격히 준수했다”고 정부와 협력한 결과라는 기존 쿠팡이 밝힌 입장을 유지했다. 다만 김 의장은 앞서 국회 연석청문회 불출석 의사를 밝혀 한국 사회에 대한 책임을 외면하거나 무시한다는 비판에 휩싸인 상태다. 김 의장은 불출석 사유서를 통해 “이미 확정된 일정이 있다”며 오는 30~31일 열리는 국회 6개 상임위원회 연석청문회에 출석하지 않겠다는 의사를 밝혔다. 다음은 쿠팡 김범석 의장 사과문. 쿠팡에서 일어난 개인정보 유출 사고로 고객과 국민들께 매우 큰 걱정과 불편을 끼쳐드렸습니다. 쿠팡의 창업자이자 이사회 의장으로서, 쿠팡의 전체 임직원을 대표해 진심으로 사과드립니다. 많은 국민들이 실망한 지금 상황에 참담함을 금할 수가 없습니다. 저희의 책임으로 발생한 이번 데이터 유출로 인해 많은 분들께서 자신의 개인정보가 안전하지 않다는 두려움과 불안을 느끼셨습니다. 또한 사고 초기부터 명확하고 직접적으로 소통하지 못한 점으로 인해 큰 좌절감과 실망을 안겨 드렸습니다. 사고 직후 미흡했던 초기 대응과 소통 부족에 대해 진심으로 사과드립니다. 무엇보다도 제 사과가 늦었습니다. 저는 모든 자원과 인력을 투입해 상황을 해결하고 고객 여러분께 2차 피해가 발생하지 않도록 하는 데 전적으로 지원했습니다. 말로만 사과하기보다는, 쿠팡이 행동으로 옮겨 실질적인 결과를 내고 대한민국 국민을 위한 최선의 이익에 부합하는 모든 가능한 조치를 취하고자 했습니다. 또한 많은 오정보가 난무하는 가운데 상황이 매우 빠르게 변화하고 있었기에, 모든 사실이 확인된 이후에 공개적으로 소통하고 사과하는 것이 최선이라고 판단했습니다. 돌이켜보면, 이는 잘못된 판단이었습니다. 쿠팡이 밤낮없이 상황을 해결하기 위해 노력하는 동시에, 저도 처음부터 깊은 유감과 진심 어린 사과의 뜻을 전했어야 했습니다. 데이터 유출의 초기 정황을 인지한 이후 제 마음은 무겁기만 했습니다. 오늘 쿠팡은 개인정보 유출 사건의 진행 경과와 쇄신의지를 밝히고자 합니다. 한국 쿠팡과 쿠팡의 임직원은 사태 직후 고객의 신뢰 회복을 위해 ‘2차 피해 가능성’부터 즉각 차단해야 한다는 막중한 책임감으로 문제 수습을 최우선 과제로 삼았습니다. 지난 한달간 매일 지속적인 노력 끝에, 쿠팡은 최근 정부와의 협력을 통해 유출된 고객 정보 100% 모두 회수 완료했습니다. 유출자의 진술을 확보했고, 모든 저장 장치를 회수했습니다. 이 과정에서 유출자의 컴퓨터에 저장되어 있던 고객 정보가 3,000건으로 제한되어 있었음이 확인되었으며, 이 또한 외부로 유포되거나 판매되지 않았다는 점도 확인되었습니다. 조사는 계속 진행 중이며, 추가 사항이 확인되는 대로 안내 드리겠습니다. 쿠팡은 조사 초기부터 정부와 전면적으로 협력해 왔습니다. 사고 직후 유출자를 특정하여 정부에 통보했고, 정부와의 협력을 통해 사용된 장비와 유출된 정보를 신속히 회수했으며 모든 관련 자료를 정부에 제출했습니다. 일련의 과정에서, 많은 오정보가 확산되는 상황에서도 정부의 ‘기밀 유지’ 요청을 엄격히 준수했습니다. 유출자가 탈취한 고객의 개인 정보를 100% 회수하는 것만이 ‘고객 신뢰 회복’의 모든 것이라 생각했습니다. 그렇게 달려오다 보니 국민 여러분과 소통에 소홀했습니다. 소통의 문제점을 지적하신 모든 분들께 송구하며 비판과 질책을 겸허히 받아들입니다. 유출된 개인정보를 성공적으로 회수하여 확보한 이후에도, 저희는 애초의 데이터 유출을 예방하지 못한 실패를 엄중히 인식하고 있으며, 그로 인해 끼쳐 드린 모든 우려와 불편에 대해 깊이 사과드립니다. 처음부터 다시 신뢰를 쌓겠습니다. 이사회를 중심으로 한국 쿠팡이 불편을 겪으신 한국 고객들에게 보상안을 마련해 조속히 시행할 수 있도록 하겠습니다. 나아가 다시는 이번 개인정보 유출 사태와 같은 실수를 반복하지 않기 위해, 쿠팡의 정보보안 조치와 투자를 전면적으로 쇄신하겠습니다. 책임을 다해 필요한 투자와 개선이 지연되지 않도록 하겠습니다. 이번 실패를 교훈이자 도약의 발판으로 삼아 세계 최고 수준의 사이버 보안 체계를 구축하겠습니다. 보안 허점의 원인을 철저히 규명하고 보안 시스템을 혁신하겠습니다. 정부의 최종 조사 결과가 나오면, 그 내용을 토대로 재발방지 대책을 만들어 시행하겠습니다. 고객 여러분의 신뢰와 기대가 쿠팡이 존재하는 이유입니다. 쿠팡은 이번 사건을 계기로 스스로를 철저히 쇄신하고, 세계 최고의 고객 경험을 만들기 위한 도전을 결코 멈추지 않겠습니다. 다시 한번 국민 여러분께 사과드립니다.

대규모 개인정보 유출 사고를 빚은 쿠팡이 뉴욕 증시에서 급등했다. 26일(현지시간) 뉴욕증시에서 쿠팡 모회사인 쿠팡아이엔씨는 전 거래일보다 6.45% 오른 24.27달러에 거래를 마쳤다. 뉴욕증시는 전날 성탄절 휴일로 휴장해 이날이 쿠팡의 자체 조사 결과 발표 이후 첫 거래일이었다. 쿠팡은 25일 보도자료를 내고 고객 정보를 유출한 전직 직원이 행위 일체를 자백했다고 밝혔다. 유출자는 탈취한 보안 키를 사용해 고객 계정 3300만개의 기본적인 정보에 접근했으나, 이 중 약 3000개 계정의 고객 정보만 저장했다고 설명했다. 쿠팡은 또 고객 정보 접근 및 탈취에 사용된 모든 장치와 하드디스크 드라이브를 모두 회수·확보했으며 외부 전송은 없었던 것으로 조사됐다고 전했다. 이에 정부는 이 같은 내용을 쿠팡의 일방적인 주장으로 규정했다. 쿠팡은 정부 지시에 따라 조사를 진행했다고 재반박하며 논란이 확산되고 있다. 특히 쿠팡 측의 중국 내 조사에 개입한 것으로 알려진 경찰은 “노트북을 제출받기 전에 피의자를 접촉하거나 증거 제출을 논의한 바 없다”고 재반박했다. 국정원도 “어떤 지시도 한 바 없고 지시할 위치도 아니다”라고 해명해 진실 공방으로 번지고 있다.

쿠팡이 개인 정보 유출 사태 수사와 관련 “정부의 지시에 따라 유출자의 완전한 자백을 받아내고, 유출에 사용된 모든 기기를 회수했으며, 유출 고객 정보에 대한 중요한 사실도 확보했다”고 26일 밝혔다. 전날 쿠팡이 기습적으로 자체 조사 결과를 발표한 데 대해 정부가 ‘일방적 주장’이라며 반박하자 이를 재반박한 것이다. 쿠팡은 3370만명의 개인정보 유출에 사용돼 직접 하천에서 회수했다고 밝힌 ‘맥북 에어’ 노트북 사진도 공개했지만, 경찰은 “쿠팡과 협의가 없었다”라고 다시 반박하는 등 ‘진실 공방’으로 흐르는 양상이다. 쿠팡은 이날 보도자료를 통해 “정보 유출자로부터 알게 된 새로운 사실, 진술서, 장비 등을 받은 즉시 정부에 제출했다”면서 이같이 설명했다. 쿠팡은 “조사는 ‘자체 조사’가 아니었고, 정부의 지시에 따라, 몇 주간에 걸쳐 매일 정부와 긴밀히 협력하며 진행한 조사였다”면서 “그러나 정부의 감독 없이 독자적으로 조사했다는 잘못된 주장이 계속 제기되면서 불필요한 불안감이 조성되고 있다”고 주장했다. 이어 “쿠팡은 지난 1일 정부와 만나 전폭적으로 협력하기로 약속했다”며 “2일에는 정부로부터 유출 사고에 대한 공식적인 공문을 받았고, 이후 몇 주간 쿠팡은 거의 매일 정부와 협력해 유출자를 추적, 접촉하며 소통해왔다”고 설명했다. 그러면서 “정부는 9일 쿠팡이 유출자와 접촉할 것을 제안했고, 14일에는 정보 유출자를 처음 만났으며, 이 사실을 정부에 보고했다”고 덧붙였다. 쿠팡은 또 “16일에는 정부의 지시에 따라 정보 유출자의 데스크톱과 하드디스크 드라이브를 1차 회수해 정부에 보고하고 제공했다”며 “쿠팡은 하드 드라이브를 정부에 제출한 즉시 정부가 이에 대한 조사에 착수한 것으로 이해하고 있다”고 밝혔다. 당시 정부가 쿠팡에 정보 유출자로부터 추가로 기기를 회수해 달라고 요청했다는 게 쿠팡의 주장이다. 쿠팡은 “지난 18일에는 인근 하천에서 유출자의 맥북 에어 노트북을 회수했다”며 “쿠팡은 정부 지시에 따라 포렌식팀을 투입, 물증을 확보하고 증거를 문서에 기록한 즉시 노트북을 정부에 인계했다”고 설명했다. 이어 “정부는 21일 쿠팡이 하드 드라이브, 노트북, 그리고 세 건의 진술서(지문 날인 포함)를 경찰에 제출하도록 허가했다”며 “수사 과정의 기밀을 유지하고 세부 조사사항에 대해 공개하지 말라는 정부의 지시를 철저히 준수했다”고 말했다. 쿠팡이 그간 조사 경위와 정부 협력 여부를 밝힌 것은 전날 조사 상황을 긴급 발표한 이후 ‘증거 사진이나 영상이 없다’, ‘경찰 수사가 진행 중인데 독단적인 자체 조사에 나선 경위가 무엇이냐’는 등의 의문이 제기된 것에 대한 해명 성격이다. 쿠팡은 “정부의 요청에 따라 쿠팡은 23일 정부와의 협력 사항을 포함해 조사 세부 내용에 대해 추가 브리핑을 실시했다”며 “이후 25일 쿠팡 고객들에게 조사 진행 상황을 안내했다”고 전했다. 그러면서 “현재 진행 중인 정부 수사에 전적으로 협조하는 한편 2차 피해를 방지하기 위해 필요한 모든 조치를 취할 것”이라고 강조했다. 하지만 경찰은 이날 “노트북 등 증거를 임의 제출한 21일 이전에 피의자 접촉이나 증거 제출과 관련해 쿠팡과 사전에 연락하거나 협의한 적이 없다”고 쿠팡의 주장을 일축했다. 이어 “쿠팡의 조사 과정에 대해서도 사실관계를 면밀히 확인하고 있다”고 밝혔다.

관계부처 회의중 쿠팡 “피해 없다”정부 “확인 안 된 사실” 강력 항의 쿠팡의 역대 최대 개인정보 유출 사태와 관련해 대통령실을 중심으로 범부처 긴급대책회의가 진행되는 가운데 쿠팡이 기습적으로 개인정보 외부 유출은 3000개 계정뿐이었다는 자체 조사 결과를 발표했다. 범정부 조사와 경찰 수사가 진행 중인 상황에서 개인정보 유출 기업이 일방적으로 조사 결과를 밝힌 이례적인 상황에 정부는 거친 표현으로 유감을 나타냈다. 쿠팡은 25일 보도자료를 내고 “디지털 지문 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했고, 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”며 “유출자는 탈취한 보안 키를 사용해 고객 계정 3300만개의 기본적인 고객 정보에 접근했으나 이중 약 3000개 계정의 고객 정보만 저장했다”고 설명했다. 이어 유출 정보에는 이름, 주소, 전화번호가 포함됐고 2609건의 공동현관 출입번호도 있었다고 했다. 결제 정보나 로그인 비밀번호 등 핵심 민감 정보는 아니라는 것이다. 쿠팡은 유출자가 언론보도를 통해 사태의 심각성을 느낀 듯 저장했던 개인정보를 모두 삭제했고, 제3자에게 전송한 데이터는 없다고 했다. 또 유출자가 범행 은폐를 위해 개인용 노트북을 하천에 투기했지만, 쿠팡은 직접 잠수부를 동원해 회수하고 포렌식을 했으며 외부 전송 흔적이 없음을 확인했다고 설명했다. 쿠팡은 조만간 고객 보상 방안을 별도로 발표하겠다고 했다. 하지만 과학기술정보통신부는 “민관합동조사단(조사단)이 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 것에 대해 쿠팡에 강력히 항의했다”면서 “현재 조사단이 정보 유출 종류 및 규모, 유출 경위 등에 대해 면밀히 조사 중이며, 쿠팡이 주장하는 사항은 조사단에 의해 확인되지 않았다”고 밝혔다. 통상 정부 조사를 받는 기업은 조사 중에는 함구하는 것이 일반적이다. 지난 4월 SK텔레콤을 시작으로 KT와 LG유플러스도 해킹으로 인한 개인 정보 유출에 대해 조사를 받았지만 해당 기업들은 조용히 사태 수습에 집중하는 모습이었다. 또 쿠팡은 지난 17일 확보된 증거와 진술서를 정부 기관에 제출했다고 주장했다. 이에 과기정통부 관계자는 “쿠팡이 공개한 내용을 조사단이 일체 보고받은 바 없다”면서 “쿠팡이 포렌식도 자체적으로 하고 유출된 고객 계정도 3300만개가 아니라 3000개라고 했는데 황당한 얘기”라고 말했다. 그는 “공식적으로 확인되지 않은 내용을 발표해 국민에게 큰 혼란을 줄 수 있다”며 “조사 대상인 민간 기업이 이렇게 언론 플레이를 하는 건 처음”이라고 덧붙였다. 다만, 해당 사안을 수사 중인 경찰 관계자는 “지난 21일 쿠팡 측으로부터 피의자가 작성했다는 진술서와 범행에 사용됐다는 노트북 등 증거물을 임의 제출 받았다”며 “범행에 사용된 증거물인지 여부 등을 면밀히 분석하고 있다”고 했다. 일각에선 쿠팡이 범정부 조사로 수세에 몰리자 여론전으로 나서는 동시에 유출 규모를 3000여건으로 한정해 법적 분쟁에 대비하는 것 아니냐는 관측도 나온다. 쿠팡은 개인정보 유출 사태 이후 창업자인 김범석 쿠팡Inc 의장의 국회 청문회 불출석과 소극적 대응으로 정부, 국회, 소비자 등의 집중포화를 받고 있다. 국내외에서 소비자와 주주 등이 쿠팡을 상대로 복수의 집단 소송을 제기한 상태다. 쿠팡은 국내는 물론 미국에서도 여론전에 나선 것으로 보인다. 미국 정계에서 쿠팡을 한국 정치권이 압박한다며 비난하는 발언이 잇따라 나왔다. 트럼프 1기 행정부 시절 국가안보보좌관을 지낸 로버트 오브라이언은 24일(현지시간) 엑스(X)에서 “도널드 트럼프 대통령이 한국과의 무역 관계 균형을 회복하기 위해 많은 노력을 기울였는데, 한국이 미국 기술 기업을 겨냥해 그의 노력을 훼손한다면 매우 유감스러운 일이 될 것”이라고 밝혔다. 트럼프 대통령의 지지자로 유명한 미 정치평론가 스티브 코르테스도 최근 엑스에서 “한국 정부는 막대한 투자를 해 온 미국 기업 쿠팡을 오히려 제재하고 있다”며 ‘한국의 미국 기업 배신 행위’라는 의견을 개진했다. 미 상원의 로비 보고서에 따르면 쿠팡은 지난해 12월 트럼프 대통령 취임준비위원회에 100만 달러를 기부하는 등 최근 5년간 미 행정부와 의회를 대상으로 1075만 달러(약 155억원)의 로비 자금을 지출했다.

과학기술정보통신부가 쿠팡 고객 정보를 유출한 것으로 특정된 전직 직원이 약 3000개 계정의 정보만 저장한 뒤 폐기했다는 회사 측의 발표에 “일방적 주장”이라고 반박했다. 과기정통부는 25일 “민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 데 대해 쿠팡에 강력히 항의했다”며 이같이 밝혔다. 앞서 쿠팡은 이날 보도자료를 통해 “고객 정보를 유출한 전직 직원을 특정했고, 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”고 밝혔다. 이에 따르면 유출자가 탈취한 보안 키를 사용해 고객 계정 3300만개의 기본적인 정보에 접근했으나, 이중 약 3000개 계정의 고객 정보만 저장했다. 유출자는 유출 사태 언론 보도를 접한 뒤 저장했던 정보를 모두 삭제했으며, 고객 개인정보 중 제3자에게 전송된 데이터는 일절 없는 것으로 조사됐다고 쿠팡은 밝혔다. 쿠팡은 지난 17일 유출자의 진술서 제출을 시작으로 관련 장치 등 자료가 확보되는 즉시 정부에 제출해왔다고 부연했다. 다만 개인정보 유출자의 진술 확보 등을 어떤 이유로 경찰이나 민관합동조사단이 아닌 쿠팡이 수행하게 됐는지는 확인되지 않았다. 과기정통부는 “민관합동조사단에서 정보 유출 종류 및 규모, 유출 경위 등에 대해 면밀히 조사 중”이라며 “쿠팡이 주장하는 내용은 민관합동조사단에 의해 확인되지 않았다”고 강조했다.

쿠팡이 최근 고객 개인정보 유출 사태의 범인인 전직 직원을 특정하고, 범행 기기 일체를 회수했다고 25일 밝혔다. 다만 해당 사안을 조사 중인 정부 민관합동조사단과 사전 소통 없이 일방적으로 이같은 내용을 공개하면서 정부와 정면충돌하는 모습을 보여 의문을 낳고 있다. 쿠팡은 이날 보도자료를 통해 “자체 포렌식 조사와 가해자 자백에 따르면 A씨는 재직 시절 취득한 내부 보안 키를 이용해 고객 3300만명의 정보에 접근했으나, 실제 기기에 저장한 것은 약 3000개의 계정 정보에 한정된 것으로 파악됐다”고 했다. 쿠팡 조사에 따르면 유출된 정보에는 이름, 주소, 전화번호 및 2609건의 공동현관 출입번호가 포함됐다. 하지만 결제 정보나 로그인 비밀번호, 개인통관고유번호 등 핵심 민감 정보는 제외됐다. 특히 A씨는 사태에 대한 언론보도를 접한 후 저장했던 정보를 모두 삭제했으며, 고객 정보 중 제3자에게 전송된 데이터는 없는 것으로 조사됐다. 이후 범행 은폐를 위해 정보 유출에 사용한 개인용 노트북을 하천에 투기했으나, 쿠팡 측은 잠수부를 동원해 해당 기기를 회수하고 포렌식을 통해 외부 전송 흔적이 없음을 확인했다. 쿠팡은 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영을 통해 조사를 진행하고 유출자의 진술도 검증했다. 이후 지난 17일 확보된 증거와 진술서를 정부 기관에 제출했다. 쿠팡은 “현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다”고 강조했다. 쿠팡은 이날 “최근 발생한 개인정보 유출이 고객들에게 얼마나 큰 우려를 불러일으켰는지 책임을 통감한다”며 “쿠팡 개인정보 유출 사태로 인해 수많은 국민들이 걱정과 불편을 겪게 된 것에 대해 진심으로 사과드린다”라고 했다. 그러면서 “향후 진행될 조사 경과에 따라 지속적으로 안내를 할 예정으로, 이번 사태로 인한 고객 보상 방안을 조만간 별도로 발표할 것”이라고 했다. 정부 “쿠팡 일방적 주장…강력 항의”다만 이날 쿠팡의 발표에 대해 과학기술정보통신부는 “일방적 주장”이라고 즉각 반박했다. 과기정통부는 이날 “민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 데 대해 쿠팡에 강력히 항의했다”며 “현재 민관합동조사단에서 정보유출 종류 및 규모, 유출경위 등에 대해 면밀히 조사 중에 있는 사항으로, 쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았다”고 덧붙였다. 개인정보 유출자의 진술 확보 등을 어떤 이유로 경찰이나 민관합동조사단이 아닌 쿠팡이 수행하게 됐는지는 확인되지 않았다. 쿠팡은 조사 주체에 대한 질문에 “현재로서는 제공된 정보 외에는 확인할 수 없다”고 답했다. 향후 쿠팡의 발표에 대해 경찰이나 민관합동조사단 등의 검증도 필요한 상황이다. 쿠팡은 실질 피해 규모가 알려진 것보다 작다는 이번 조사 결과를 전면에 내세워 ‘사상 초유의 개인정보 유출’이란 거센 비판과 책임론의 화살로부터 벗어나려는 모습이다. 쿠팡은 사태 이후 창업자인 김범석 쿠팡Inc 의장의 청문회 불출석을 비롯한 소극적 대응에 ‘괘씸죄’가 더해지면서 정부와 국회 등으로부터 집중포화를 받고 있다. 업계에서는 이번 발표를 향후 전개될 법적·행정적 리스크를 최소화하기 위한 전략적 포석으로 풀이하고 있다. 실제 유출 규모를 3000여건으로 한정하고 외부 전송이 없었음을 포렌식으로 입증하면서 소비자와 주주 등이 제기한 집단 소송에서 손해 배상금 산정 기준을 대폭 낮추는 법적 방어막을 구축할 수 있다는 해석이다.

도널드 트럼프 미국 행정부와 가까운 인사나 여당인 공화당 의원이 대규모 개인정보 유출 사태를 일으킨 쿠팡에 대한 한국 정치권의 압박을 비난하는 발언을 잇따라 내놓고 있다. 미 정계 주요 인사가 사실상 외국에서 영업하는 기업 이슈와 관련해 관심을 표명한 것은 드문 일이라 쿠팡의 미국 로비가 영향력을 발휘한 것 아니냐는 관측이 나온다. 뉴욕증권거래소(NYSE)에 상장한 ‘미국 법인’ 쿠팡은 최근 5년간 미 정계에 150억원에 달하는 로비 자금을 지출한 것으로 파악된다. 트럼프 1기 행정부 시절 국가안보보좌관을 지낸 로버트 오브라이언은 24일(현지시간) 엑스(X)를 통해 “트럼프 대통령이 한국과의 무역 관계 균형을 회복하기 위해 많은 노력을 기울였는데, 한국이 미국 기술 기업을 겨냥해 그의 노력을 훼손한다면 매우 유감스러운 일이 될 것”이라고 밝혔다. 이어 “(한국) 국회가 쿠팡을 공격적으로 겨냥하는 것은 향후 공정거래위원회의 차별적 조치와 미국 기업에 대한 광범위한 규제 장벽을 구축하는 발판이 될 것”이라고 덧붙였다. 미국 보수 진영의 대표적인 외교안보 전문가인 오브라이언 전 보좌관은 트럼프 2기 행정부 출범 당시 국무장관 후보로 거론되기도 했던 인사로, 현재도 상당한 영향력을 끼치고 있는 것으로 알려졌다. 공화당 중진인 대럴 아이사(캘리포니아) 하원의원도 지난 22일 보수 매체 ‘데일리 콜러’에 게재한 기고문에서 애플·구글·메타 등과 함께 쿠팡을 언급하며 미국 기업들이 한국 정부의 제재 대상에 올랐다고 지적했다. 그는 “최근 한국 정부 내부에서 미국 기업과 심지어 미국 시민까지 겨냥한 공격적인 움직임이 드러나면서 양국의 특별한 관계가 위협받고 있다”고 주장했다. 트럼프 대통령의 지지자로 유명한 미 정치평론가 스티브 코르테스도 최근 엑스에서 “한국 정부는 막대한 투자를 해 온 미국 기업 쿠팡을 오히려 제재하고 있다”며 ‘한국의 미국 기업 배신 행위’라는 의견을 개진했다. 미 정치권에서 이런 주장이 나오는 배경에는 쿠팡의 모기업 쿠팡Inc가 미국 증시에 상장돼 있어 미국 기업으로 보는 시각이 강한 데다 막대한 로비 활동 영향도 있는 것으로 보인다. 미 상원 로비 보고서에 따르면 쿠팡은 지난해 12월 트럼프 대통령 취임준비위원회에 100만 달러를 기부하는 등 최근 5년간 미 행정부와 의회를 대상으로 1075만 달러(약 155억원)의 로비 자금을 지출했다. 트럼프 행정부는 한국과 디지털 규제 등 비관세 장벽에 대해 논의하고 있어 정치권에서 ‘쿠팡 피해자론’이 확산될 경우 의제로 다뤄질 가능성도 있다. 앞서 지난 18일 워싱턴DC에서 열릴 예정이었던 양국 간 고위급 무역회담(한미 자유무역협정 공동위원회 회의)이 내년으로 연기됐는데, 한국 정부의 디지털 규제에 대한 미국 측 불만 때문이라고 폴리티코가 보도하기도 했다. 개인정보 유출 사고 관련 수사가 진행 중인 가운데 쿠팡은 25일 보도자료를 내고 유출한 전직 직원을 특정해 조사를 벌였다고 밝혔다. 유출자는 3300만개의 기본적인 고객 정보에 접근해 이 가운데 3000여개 정보만 저장했으며, 외부에 전송된 데이터는 없었다는 설명이다. 경찰은 쿠팡이 스스로 조사해 끝낼 사안은 아니라는 입장이다. 경찰 관계자는 “기업의 자체 조사 결과와는 별도로 객관적인 증거를 중심으로 유출 여부와 규모 등을 종합적으로 검토하고 있다”고 말했다.

쿠팡이 최근 개인정보 유출 사태와 관련해 정보를 유출한 전직 직원을 특정해 정보 접근 및 탈취에 사용된 모든 장치와 하드디스크 드라이브를 모두 회수·확보했으며, 외부 전송은 없었던 것으로 자체 조사됐다고 25일 밝혔다. 쿠팡은 이날 보도자료를 통해 ”디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했고, 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다“며 이같이 밝혔다. 유출자의 진술과 사이버 보안 업체 조사를 종합하면 유출자는 탈취한 보안 키를 사용해 고객 계정 3300만개의 기본적인 고객 정보에 접근했고, 이 중 3000개 계정의 고객 정보만 저장했다. 여기에는 이름, 이메일, 전화번호, 주소, 일부 주문정보, 2609개의 공동현관 출입 번호가 포함됐다. 유출자가 유출 사태 언론보도를 접한 뒤 저장했던 정보를 모두 삭제했으며, 고객 개인정보 중 제3자에게 전송된 데이터는 일절 없는 것으로 조사됐다고 쿠팡은 밝혔다. 유출자는 재직 중 취득한 내부 보안 키를 탈취, 개인용 데스크톱 PC와 맥북 에어 노트북을 사용해 공격을 시도한 뒤 정보 일부를 해당 기기에 저장했다고 진술했다. 포렌식 조사 결과, 이러한 진술이 사실로 확인됐고 유출자가 제출한 데스크톱 PC와 PC에서 사용된 하드디스크 드라이브 4개를 분석한 결과 이들 장치에서 공격에 사용된 스크립트가 발견됐다고 쿠팡은 설명했다. 쿠팡은 사건 초기부터 엄격한 포렌식 조사를 위해 최상위 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영에 의뢰해 조사를 진행해왔으며, 유출자의 진술도 검증했다고 전했다. 쿠팡에 따르면 유출자는 언론을 통해 개인정보 유출 관련 보도가 나오자 극도의 불안에 빠졌으며, 언론보도를 접한 직후 저장돼있던 고객 정보를 모두 삭제했다고 진술했다. 또 ‘(데이터 유출에 사용된) 맥북 에어 노트북을 물리적으로 파손한 뒤 쿠팡 로고가 있는 에코백에 벽돌을 채워 하천에 던졌다’고 진술했는데, 진술에 따라 해당 하천을 수색한 결과 벽돌이 담긴 쿠팡 에코백에서 해당 기기를 회수했다. 이 노트북의 일련번호가 유출자의 아이클라우드(iCloud) 계정에 등록된 일련번호와 정확히 일치하는지도 확인했다. 쿠팡은 “현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다”고 강조했다. 쿠팡은 지난 17일 유출자의 진술서 제출을 시작으로 관련 장치 등 자료가 확보되는 즉시 정부에 제출해왔다고 부연했다. 다만 개인정보 유출자의 진술 확보 등을 어떤 이유로 경찰이나 민관합동조사단이 아닌 쿠팡이 수행하게 됐는지는 확인되지 않았다. 쿠팡은 조사 주체에 대한 질문에 “현재로서는 제공된 정보 외에는 확인할 수 없다”고 답했다. 쿠팡은 이날 ”최근 발생한 개인정보 유출이 고객들에게 얼마나 큰 우려를 불러일으켰는지 책임을 통감한다“며 ”쿠팡 개인정보 유출 사태로 인해 수많은 국민들이 걱정과 불편을 겪게 된 것에 대해 진심으로 사과드린다“라고도 밝혔다. 그러면서 ”향후 진행될 조사 경과에 따라 지속적으로 안내를 할 예정으로, 이번 사태로 인한 고객 보상 방안을 조만간 별도로 발표할 것“이라고 했다.

쿠팡은 최근 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정해 고객 정보를 탈취하는 데 사용된 모든 장치와 하드디스크 드라이브를 모두 회수·확보했다고 25일 밝혔다. 쿠팡은 이날 보도자료를 통해 “디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했고, 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”고 밝혔다. 유출자의 진술과 사이버 보안업체의 조사를 종합하면 유출자는 탈취한 보안 키를 사용해 고객 계정 3300만개의 기본적인 정보에 접근했으나 이중 약 3000개 계정의 고객 정보만 저장했다. 여기에 이름, 이메일, 전화번호, 주소, 일부 주문정보, 2609개의 공동현관 출입 번호가 포함됐다. 결제 정보, 로그인 관련 정보, 개인 통관번호에 대한 접근은 없었다. 유출자는 또 이번 사태에 대한 언론보도를 접한 후 저장했던 정보를 모두 삭제했으며 고객 정보 중 제3자에게 전송된 데이터는 일절 없는 것으로 조사됐다.

쿠팡이 최근 개인정보 유출 사태와 관련, 포렌식 증거를 활용해 고객 개인정보를 유출한 전직 직원을 특정했고, 정보를 접근 및 탈취하는 데 사용된 모든 장치와 하드디스크 드라이브를 회수·확보했다고 25일 밝혔다. 쿠팡은 이날 보도자료를 통해 “디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했고, 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”며 이같이 밝혔다. 유출자의 진술과 사이버 보안 업체의 조사를 종합하면 유출자는 탈취한 보안 키를 사용하여 고객 계정 3300만개의 기본적인 정보에 접근했으나 이중 약 3000개 계정의 고객 정보를 저장했다. 여기에 이름, 이메일, 전화번호, 주소, 일부 주문정보, 2609개의 공동현관 출입 번호가 포함됐다. 결제정보, 로그인 관련 정보, 개인 통관번호에 대한 접근은 없었다. 유출자는 또 사태에 대한 언론보도를 접한 후 저장했던 정보를 모두 삭제했으며 고객 개인정보 중 제3자에게 전송된 데이터는 일절 없는 것으로 조사됐다고 쿠팡은 주장했다.

경찰이 3370만여명의 개인정보가 유출된 쿠팡에 대해 9일 강제수사에 나섰다. 사상 최대 규모의 정보 유출 사태에 경찰이 칼을 빼든 가운데 피해자들 사이에선 “터질 게 터졌다”는 반응이 나온다. 이미 1년 전부터 개인정보 도용에 의한 2차 피해 정황이 있었음에도, 쿠팡과 수사당국의 대응이 안일했다는 지적이다. 서울경찰청 사이버수사과는 이 사건을 전담하고 있는 사이버수사과장 등 17명을 투입해 서울 송파구에 있는 쿠팡의 한국 본사 사무실을 압수수색했다. 경찰은 개인정보 유출 경로와 보안 관련 내부 자료를 확보하는 데 주력하고 있다. 경찰 관계자는 “확보해야 할 자료가 방대해 압수수색이 하루 이상 걸릴 가능성도 있다”고 설명했다. 이번 수사는 지난달 18일 쿠팡 측이 개인정보 유출 피해를 인지해 경찰에 신고하면서 시작됐다. 당초 쿠팡이 밝힌 피해 규모는 4500여명 수준이었으나 유출된 계정이 탈퇴회원까지 포함해 약 3370만개로 불어나며 사태가 커졌다. 앞서 경찰은 쿠팡으로부터 임의제출 받은 서버 로그기록 등을 분석해 왔다. 쿠팡 측이 중국 국적의 전직 직원을 피의자로 지목한 가운데 경찰은 이번 정보 유출 사태 피의자의 신원을 특정한 것으로 확인됐다. 아울러 쿠팡의 내부 고객정보 관리 시스템의 허점이나 보안상 취약성은 없는지도 살펴보고 있다. 쿠팡과 경찰은 현재까지 유출된 정보가 2차 피해로 이어진 사례는 확인되지 않았다고 보고 있다. 쿠팡 측은 피싱이나 주거침입 등 범죄에 악용된 피해는 없었다고 밝혔다. 경찰 역시 신고 시스템을 통해 접수된 2차 피해 의심 사례를 점검했지만, 현재까지 구체적인 악용 정황은 발견하지 못했다고 설명했다. 그러나 서울신문 취재를 종합하면 이미 지난해부터 쿠팡의 허술한 본인 확인 절차를 악용한 도용 피해가 있었던 것으로 드러났다. 인천에 사는 쿠팡 이용자 이훈준(54)씨는 지난해 7월 7일 새벽, 쿠팡에서 177만원짜리 아이패드가 결제됐다는 알림을 받았다. 이씨의 쿠팡 계정을 탈취한 범인이 이씨가 쿠팡에 입력해 놓은 개인정보와 카드정보를 활용해 새 계정을 만든 것이다. 이씨가 즉각 결제를 취소해 금전 피해는 막았지만, 쿠팡 측의 사후 대응은 황당했다. 쿠팡 측은 피해 경위를 묻는 이씨에게 “다른 회원의 개인정보라 알려줄 수 없다”고 했다. 피해자인 이씨보다 명의를 도용한 범인의 개인정보 보호를 앞세운 것이다. 이씨는 “내 카드로 물건을 샀는데 누가 샀는지, 무엇을 샀는지조차 처음에는 알려주지 않았다”며 “직접 증거를 수집해 경찰에 제출했지만 범인을 찾진 못했다. 사건을 접수한 경찰은 “용의자가 미국에 있는 것으로 보이지만 더 추적이 어렵다”며 사건을 종결했다. 전문가들은 이번 수사가 정보 유출자를 검거하는 것을 넘어 기업의 보안 불감증을 점검하는 계기가 돼야 한다고 말했다. 개인정보전문가협회장인 최경진 가천대학교 법학과 교수는 “과거 이메일 유출은 스팸 메일 정도의 피해였지만 전화번호와 같은 중요한 개인정보 유출은 다양한 2차 피해로 이어질 가능성이 높다”면서 “보안과 개인정보 보호가 기업 경영의 선택이 아닌 ‘기본값’이 돼야만 대형 사고를 막을 수 있다”고 강조했다. 경찰 관계자는 “확보된 디지털 증거를 분석해 유출 경위뿐만 아니라 2차 피해 여부까지 면밀히 들여다볼 계획”이라며 “국민적 불안감이 큰 만큼 모든 가능성을 열어두고 수사하겠다”고 말했다.

경찰이 회원 3370만명의 개인정보 유출 사고가 발생한 쿠팡에 대해 9일 강제 수사에 착수했다. 서울경찰청 사이버수사대는 이날 오전 서울 송파구 소재 쿠팡 본사에 전담수사팀장인 사이버수사과장 등 17명을 투입해 이번 사태와 관련된 자료를 확보하고 있다. 경찰 관계자는 “압수수색을 통해 확보된 디지털 증거 등을 바탕으로 개인정보 유출자, 유출 경로 및 원인 등 사건의 전반적 사실관계를 종합적으로 규명할 예정”이라고 말했다. 경찰은 범행에 사용된 IP를 확보해 추적하고 있다. 경찰청 관계자는 전날 정례 기자간담회에서 “유출 정보가 보이스피싱·스미싱에 이용되는지, 추가 피해가 발생하는지 지속적으로 확인 중”이라며 “필요한 경우 범위에 제한 없이 추가 수사를 진행할 수 있다”라고 설명했다. 앞서 쿠팡에서는 퇴사한 중국 국적의 전 직원에 의해 회원 약 3370만명의 개인정보가 유출되는 사고가 발생했다. 이로 인해 회원들의 이름과 이메일, 배송지 주소와 공동현관 비밀번호, 주문내역 등이 유출됐다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글은) 사실과 다르다”고 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.

지난달 29일 발생한 쿠팡의 대규모 개인정보 유출 사태로 우려가 커지는 가운데, 쿠팡 내 IT 인력 상당수가 중국인이라는 주장이 나왔다. 지난달 30일 직장인 익명 커뮤니티인 ‘블라인드’에 “쿠팡 IT 인력의 절반 이상이 중국인이고, 매니저는 90% 이상이 중국 국적자”라며 “조직(쿠팡)이 ‘중국인 카르텔’에 의해 장악되고 있다”고 주장하는 글이 올라왔다. 자신을 쿠팡 개발자라고 주장한 글쓴이는 “매 분기 퇴사 인사는 한국인들이고, 매 분기 신규 입사자들을 소개하면 80%가 중국, 나머지가 인도와 한국인들”이라며 “(중국인이) 차근차근 비율을 높이면서 카르텔을 형성하고 있으며 잠실, 용산 등 최고급 주거시설과 자녀 국제학교 학비 등 한국인이 누리지 못하는 복지로 혜택을 보고 있다”고 밝혔다. 이어 “개인적으로 이번 사태는 무분별하게 중국인들을 (IT 인력으로) 데려다 쓴 결과라 생각한다”고 덧붙였다. 해당 글은 삭제됐으나 이미 온라인 커뮤니티를 중심으로 캡처 사진이 돌면서 논란이 확산하고 있다. 이와 관련해 쿠팡은 1일 “수사 영역이고 수사에 적극 협조 중”이라면서 “(블라인드에 올라온 글 내용은) 사실이 아니다”라고 입장을 밝혔다. 쿠팡, 퇴사한 중국인 직원의 데이터 접근 열쇠 갱신 안 했다1일 국회 과학기술정보방송통신위원장 최민희 의원실이 쿠팡에서 제출받은 자료에 따르면, 현재 쿠팡은 전 중국인 직원을 정보 유출자로 추정하고 있다. 문제는 쿠팡이 개인 정보 유출자로 추정되는 중국인 직원이 쿠팡을 퇴사한 후에도 데이터 접근 열쇠인 액세스 토큰과 서명키를 곧바로 삭제하거나 갱신하지 않았다는 사실이다. 액세스 토큰 서명키는 내부 시스템 정보 접근 권한 증명서를 만드는 비밀 암호를 의미한다. 내부 특정 시스템 로그인에 필요한 ‘토큰’이 문을 열어주는 일회용 출입증이라면 ‘서명키’는 출입증이 위조되지 않았음을 확인해주는 도장 역할을 하는 중요한 수단이다. 쿠팡 측이 제공한 자료에 따르면 인증 업무 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키를 직원 퇴사 이후에도 폐기하거나 갱신하지 않았고, 이 때문에 중국인 직원 퇴사 후에도 쿠팡이 내부에서 발급해둔 ‘서명된 액세스 토큰’이 유효한 상태로 유지되면서 퇴사 이후에도 자유롭게 침투가 가능했다. 쿠팡 측은 토큰 서명키 유효 인증기간에 대해 “키 종류에 따라 다양하지만 업계에서는 5~10년으로 설정하는 사례가 많은 걸로 알고 있다”고 답했다. 다만 쿠팡 측은 이번 해킹에 악용된 서명키 유효 기간에 대해서는 경찰 수사를 이유로 대답하지 않았다. 쿠팡, 5개월 간 유출 시도 몰랐다이번 사고로 유출된 쿠팡 고객 계정은 약 3370만 개에 달한다. 쿠팡은 “현재까지 조사에 따르면 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 밝혔다. 사실상 고객 정보 탈취가 5개월 전부터 시작됐지만 쿠팡이 이를 뒤늦게야 인지한 셈이다. 쿠팡은 노출된 정보가 고객 이름과 이메일, 전화번호, 주소, 일부 주문정보로 제한됐고 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러나 소비자들 사이에서는 2차 피해를 우려하는 목소리가 나오고 있다. 더불어 쿠팡의 이번 고객 정보 유출 규모는 개인정보 보호 위반으로 개인정보보호위로부터 역대 최대 과징금(1348억 원) 처분을 받은 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 규모다. 현재 개인정보보호위는 관련 조사를 진행 중이며, 개인정보보호법상 안전조치 의무 위반사항이 확인될 경우 엄정 제재한다는 방침이다. 아울러 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인을 분석하고 재발 방지 대책을 마련하기로 했다. 서울경찰청 사이버수사대는 지난달 25일 쿠팡 측으로부터 이번 사태에 대한 고소장을 받아, 개인정보 유출 사태에 대한 수사에 착수했다.