배달 애플리케이션을 이용하는 손님들이 매장에 악성 리뷰를 달거나 무분별한 취소를 요구해 자영업자들이 피해를 보는 사례가 적지 않은 가운데, 이번에는 “밀떡볶이 떡이 쫀득하다”는 이유로 음식값을 환불한 손님의 사연이 알려지면서 공분을 사고 있다. 자영업자 A씨는 지난 2일 자영업자들이 모인 네이버 카페에 글을 올려 “손님이 황당한 이유로 주문을 전체 취소했다”며 이같이 토로했다. 이에 따르면 A씨는 영업 마감 10분 전 배달앱으로 주문이 들어와 떡볶이를 조리해 배송했는데, 음식을 받은 손님이 전화를 걸어 “떡이 너무 쫀득거려서 못 먹겠다”라고 주장했다. A씨는 떡볶이에 밀떡을 사용하는데, 밀떡은 쌀떡보다 쫀득거리고 미끌미끌한 식감이 특징이다. A씨는 이 같은 사실을 설명했지만 손님은 “그래도 쫀득한 게 싫다. 와서 직접 먹어봐라”라며 막무가내였다. 결국 손님은 고객센터에 전화해 ‘주문 전체 취소 및 환불’을 요구했고, 고객센터는 이를 받아들였다. 터무니없는 환불 피해를 겪은 점주는 고객센터에 전화해 자초지종을 물었고, 고객센터 측은 “손님이 못 먹겠다고 해서 취소했다”라고 답했다. “떡볶이만 취소해야지 왜 전체 주문을 취소하냐”는 질문에는 “고객이 해달라고 했다”는 답변만 돌아왔다. 또한 음식은 손님이 자체 폐기하기로 했다고 고객센터 측은 전했다. A씨는 “음식은 다 먹고 환불받은 것 아닌가”라고 반문했다. 손님이 음식에 문제가 없음을 증명할 수 없으니 다 먹어놓고 ‘자체 폐기’를 했다고 주장했을 수 있다는 설명이다. A씨는 “늦은 밤이 아니었다면 음식을 가지러 가고 싶었지만 너무 피곤해서 못 갔다”면서 “잠도 안 오고 밤새웠다”라고 토로했다. A씨는 배달앱으로부터 “손실 보상을 해주겠다”는 답변을 들었지만, “손님에게 떡볶이값은 빼고 돌려받을 것”이라고 응수했다. ‘배달의 민족’, ‘쿠팡이츠’ 등 배달앱들은 손님의 무분별한 환불 요구로부터 점주들을 보호하기 위한 자체 규정을 두고 있다. 이들 배달앱은 약관을 통해 “손님의 주문에 따라 음식이 조리된 경우 업주에게 회복할 수 없는 손해가 발생하므로 단순 변심에 의한 주문 취소 등은 할 수 없다”고 규정한다. 또 ▲주문 내역과 제공된 상품이 다른 경우 ▲주문 내역이 누락된 경우 ▲조리 및 포장 과정에서 훼손된 경우 ▲이물질이 있거나 변질돼 위생상 문제가 있는 경우 ▲일정 시간 이상의 조리 지연이 발생한 경우 ▲매장의 사정으로 조리가 불가능한 경우 등 객관적인 사유가 있을 경우에 한해 환불이 가능하게 하고 있으며, 매장 측의 원인이 아닌 사유의 경우 매장 측에 손실 보상을 하기도 한다. 그러나 이 같은 규정이 있음에도 무분별한 환불로 인한 피해를 보고 있다는 자영업자들의 호소가 나온다. A씨의 이 같은 사연에 한 자영업자는 댓글을 달아 “메인 음식이 아닌 사이드 메뉴를 트집 잡아 전체 주문 환불을 요청한다”고 말했고, 또 다른 자영업자는 “기분이 별로면 온갖 트집을 잡고 ‘자체 폐기’를 주장하며 환불한다고 한다. 배달앱 고객센터도 이런 손님에게는 전체 환불밖에는 답이 없는 것 같다”고 말했다.

쿠팡의 대규모 고객정보 유출 사태와 관련해 집단소송 움직임이 확산되고 있다. 이용자들이 승소하더라도 현실적으로 전체 피해자를 구제하기 어렵다는 지적이 나오면서 집단소송제 도입 필요성도 제기된다. 3일 법조계에 따르면 일부 로펌을 중심으로 집단소송 참여자 모집이 구체화되고 있다. 지난 1일 이용자 14명과 함께 1인당 20만원씩의 위자료를 청구하는 소송을 가장 먼저 제기한 법무법인 청은 “소장 제출 소식이 알려진 지 이틀 만에 소송 의사를 밝힌 이용자가 800여명으로 늘었다”고 말했다. 법무법인 지향, 법률사무소 번화, 로피드 등에도 각각 수천명의 쿠팡 이용자가 손해배상 청구 소송을 신청한 것으로 알려졌다. 그러나 과거 개인정보 유출 소송 전례에 비춰봤을 때 승소가 쉽지 않고, 기업의 배상책임이 인정된다 하더라도 배상액이 1인당 10만원 수준에 그쳐 실익이 크지 않다는 지적이 나온다. 일각에선 기업의 배상책임이 인정될 경우 같은 피해를 본 소비자 전체에게 효력이 미치는 정식 집단소송제도를 도입해야 한다는 주장도 나온다. 광범위하게 피해가 확산되는 개인정보 유출 사건의 특성상 피해자들의 접점이 없어 공동 소송 진행이 제한적이라는 이유에서다. 국회입법조사처는 지난달 26일 발간한 연구보고서에서 “판결 효력이 모든 피해자에게 미치고 손해배상을 청구할 수 있는 정식 집단소송이 소액·다수 피해 구제에 적합할 것”이라고 짚었다. 다만 집단소송제도 피해 입증이 까다로울 수 있다는 점에서 국가가 행정·사법 절차를 통해 손해를 복구하는 ‘공중피해보상조치’, 사업자가 제안한 시정방안이 타당하면 규제당국이 사건을 종결하는 ‘동의의결제도’ 등도 대안으로 제시했다.

대규모 정보 유출 사고를 낸 쿠팡에서 무단 결제 등 2차 피해 우려가 제기되는 상황에서 이찬진 금융감독원장이 결제정보 유출 정황이 확인되는 즉시 검사로 전환하겠다고 밝혔다. 이 원장은 3일 국회 정무위원회 현안 질의에서 “어제부터 현장 점검에 들어갔다”며 “의심되는 부분이 있으면 곧바로 검사로 전환하려고 한다”고 말했다. 검사는 기관 제재 절차로 이어질 수 있다. 쿠팡과 쿠팡페이가 ‘원아이디’로 플랫폼을 같이 이용하기 때문에, 이에 따른 결제정보 유출 피해가 있는지 적극 살펴보겠다는 것이다. 여야 의원들은 쿠팡이 소비자의 탈퇴 과정을 고의적으로 복잡하게 만들었다고 지적했다. 유동수 더불어민주당 의원은 “본인 인증, 비밀번호 입력, 설문조사까지 강제로 응해야 탈퇴가 가능한데, 모두 합치면 무려 20단계에 달한다”고 비판했다. 이에 남동일 공정거래위원회 부위원장은 “소비자의 선택을 방해하는 행위로 보여진다. 제도 개선 및 제재 방안을 검토하겠다”고 했다. 쿠팡은 비밀번호 없이 생체인식과 핀(PIN) 등을 활용하는 안전 인증 수단인 ‘패스키’ 도입을 시사했다. 쿠팡은 지난달 대만에서 패스키를 도입했지만 한국에선 도입하지 않았다. 이헌승 국민의힘 의원이 “대만 쿠팡에서 보급한 전용 패스키를 한국에도 도입했다면 이런 사고가 일어났겠냐”고 질타하자 박대준 쿠팡 대표는 “훨씬 더 안전하게 서비스할 수 있었을 것이라 생각한다”고 했다. 박 대표는 자발적 배상 조치를 하라는 지적에는 “피해범위가 확정되지 않았다”면서도 “합리적 방안을 마련하겠다”고 했다. 3370만개의 개인정보 유출 사고가 알려진지 나흘만에 첫 보상 관련 언급이지만 보상 시점 등 구체적 답변은 피했다. 박 대표는 사고 발생 후 입장 없는 창업자 김범석 쿠팡InC 이사회 의장의 거취에 대해선“해외에 있는 걸로 안다. 올해 국내에서 만난 적이 없다”면서도 “(김 의장에게) 이사회를 통해 사건 발생 후 현재 상황에 대해 보고했다”고 했다. 쿠팡이 ISMS-P 등 7개의 주요 보안 인증을 보유하고도 대규모 개인정보 유출 사태를 막지 못하면서 인증 제도에 대한 무용론도 제기됐다. 특히 ISMS-P는 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 국내 유일의 정보보호·개인정보보호 관리체계 인증 제도다. 송경희 개인정보위원회 위원장은 “ISMS-P 인증을 받았는데 사고가 난 24개 기업에 대해 이번 달에 현장 조사를 계획하고 있다”고 밝혔다. 또 개인정보위는 고객들에게 개인정보 ‘노출’이라고 통지한 쿠팡에 ‘유출’ 통지로 수정하고, 공동현관 비밀번호 등 유출 항목을 빠짐없이 반영해 재통지하라고 요구했다.

쿠팡의 퇴사한 직원이 회원 3370만명의 개인정보를 유출한 사태와 관련, 해외 체류 중인 김범석 쿠팡Inc 의장이 입국해 직접 입장을 밝혀야 한다는 목소리가 정치권에서 쏟아지고 있다. 3일 국회 정무위원회에서 열린 쿠팡 관련 현안 질의에서 윤한홍 정무위원장은 김 의장이 이날 불참한 것에 대해 “위원장으로서 강한 유감”이라고 밝혔다. 미국 국적인 김 의장은 주로 미국 등 해외에 머물고 있다. 쿠팡의 대규모 개인정보 유출 사태가 발생한 지 나흘째인 이날까지 김 의장은 사태에 대한 공식적인 입장을 표명한 바 없다. 박대준 쿠팡 대표는 이헌승 국민의힘 의원이 “김 의장이 한국에 어느 정도 체류하냐”, “돈은 한국에서 벌어가면서 왜 한국에 오지 않나”고 따져 묻자 “올해 김 의장을 만난 적이 없다”라면서 “귀국 여부는 모른다”라고 답했다. 이어 “김 의장이 직접 사과하고 보상 대책을 말하도록 건의할 생각이 있느냐”는 질문에 박 대표는 “한국 사업은 제가 대표로서 책임지고 추진하고 있다”라면서도 “이사회를 통해서 보고하겠다”라고 밝혔다. 신장식 조국혁신당 의원은 김 의장에 대해 “미국 국적이고 쿠팡Inc가 미국에 상장했다는 이유로 국회와 국민의 부름에 답하지 않고 있다”면서 “고발해야 한다”고 목소리를 높였다. 강민국 국민의힘 의원도 김 의원을 ‘검은 머리 외국인’이라고 지칭하며 “한국 국민의 개인정보를 활용하고 한국의 물류 배송 인프라를 사용하지만 법적 책임은 전혀 지지 않고 있다”고 질타했다. 한편 박 대표는 개인정보 유출 피해를 본 회원들에게 피해 보상을 검토하겠다고 밝혔다. 박 대표는 “합리적인 방안을 마련하겠다”라면서도 “현재는 피해 범위가 확정되지 않았다”면서 구체적인 보상 시점에 대해서는 말을 아꼈다.

항공사고 역사상 최악의 미스터리로 꼽히는 11년 전 실종된 말레이시아 항공 MH370편 여객기의 수색 작업이 재개된다. 말레이시아 교통부는 3일(현지시간) “미국 해양탐사업체 오션인피니티가 오는 30일부터 총 55일 동안 실종된 여객기를 찾을 가능성이 높은 지역을 대상으로 수색을 진행한다”면서 “이 비극으로 피해를 본 가족들에게 마음의 평화를 주려는 정부의 의지를 보여주는 것”이라고 밝혔다. MH370편은 2014년 3월 8일 승객 227명과 승무원 12명을 태우고 말레이시아 쿠알라룸푸르를 이륙해 중국 베이징으로 향하던 중 돌연 인도양으로 기수를 돌린 뒤 실종됐다. 이후 말레이시아 당국과 오션인피니티는 3년여에 걸쳐 호주 서쪽 인도양 12만㎢ 권역을 여러 차례 샅샅이 훑었으나 끝내 동체와 잔해를 찾지 못했다. 이어 지난 2월에도 오션인피니티가 새롭게 지역을 추가해 수색에 나섰으나 악천후로 인해 4월 중단됐다. 보도에 따르면 이번 수색 지역의 정확한 위치는 공개되지 않았으며, 만약 실제 잔해가 발견되면 오션인피니티는 7000만 달러를 보상금으로 받게 되지만 실패하면 비용은 없다. 특히 MH370편이 감쪽같이 사라진 원인은 지금까지도 여전히 미스터리로 남아있다. 앞서 말레이시아 당국은 2018년 “MH370편의 비행경로가 바뀐 것은 시스템상 오류로 보기 힘들다”며 사고기가 고의로 항로를 이탈한 것으로 추측했으나 동체와 블랙박스가 발견되지 않아 사라진 경위를 밝혀내지는 못했다. 다만 일부 전문가들은 기장이 기내압을 의도적으로 낮춰 승객과 승무원들을 실신하게 한 뒤 홀로 산소마스크를 쓴 채 인도양으로 비행기를 몰고 가 자살 비행을 한 것으로 추정하기도 했다.

항공사고 역사상 최악의 미스터리로 꼽히는 11년 전 실종된 말레이시아 항공 MH370편 여객기의 수색 작업이 재개된다. 말레이시아 교통부는 3일(현지시간) “미국 해양탐사업체 오션인피니티가 오는 30일부터 총 55일 동안 실종된 여객기를 찾을 가능성이 높은 지역을 대상으로 수색을 진행한다”면서 “이 비극으로 피해를 본 가족들에게 마음의 평화를 주려는 정부의 의지를 보여주는 것”이라고 밝혔다. MH370편은 2014년 3월 8일 승객 227명과 승무원 12명을 태우고 말레이시아 쿠알라룸푸르를 이륙해 중국 베이징으로 향하던 중 돌연 인도양으로 기수를 돌린 뒤 실종됐다. 이후 말레이시아 당국과 오션인피니티는 3년여에 걸쳐 호주 서쪽 인도양 12만㎢ 권역을 여러 차례 샅샅이 훑었으나 끝내 동체와 잔해를 찾지 못했다. 이어 지난 2월에도 오션인피니티가 새롭게 지역을 추가해 수색에 나섰으나 악천후로 인해 4월 중단됐다. 보도에 따르면 이번 수색 지역의 정확한 위치는 공개되지 않았으며, 만약 실제 잔해가 발견되면 오션인피니티는 7000만 달러를 보상금으로 받게 되지만 실패하면 비용은 없다. 특히 MH370편이 감쪽같이 사라진 원인은 지금까지도 여전히 미스터리로 남아있다. 앞서 말레이시아 당국은 2018년 “MH370편의 비행경로가 바뀐 것은 시스템상 오류로 보기 힘들다”며 사고기가 고의로 항로를 이탈한 것으로 추측했으나 동체와 블랙박스가 발견되지 않아 사라진 경위를 밝혀내지는 못했다. 다만 일부 전문가들은 기장이 기내압을 의도적으로 낮춰 승객과 승무원들을 실신하게 한 뒤 홀로 산소마스크를 쓴 채 인도양으로 비행기를 몰고 가 자살 비행을 한 것으로 추정하기도 했다.

쿠팡의 퇴사한 직원이 회원 3370만명의 개인정보를 유출해 정보 보안에 비상이 걸린 가운데, 이번에는 지마켓에서 일부 회원들이 ‘무단 결제’ 피해를 입은 사실이 드러났다. 3일 유통업계에 따르면 지마켓 회원 60여명은 지난달 29일 이 같은 내용의 피해 사실을 금융감독원에 신고했다. 피해자들은 지마켓의 간편결제서비스인 ‘스마일페이’에 등록된 개인정보를 도용당해 기프트 상품권이 무단 결제된 것으로 알려졌다. 피해 금액은 1인당 3만원에서 20만원 수준이다. 지마켓 측은 “해킹이 아닌 명의 도용 사고로 추정된다”라고 설명했다. 외부 공격자가 취득한 이용자들의 계정과 아이디, 비밀번호, 스마일페이 비밀번호 등을 도용해 무단 결제한 것으로 보인다는 설명이다. 지마켓은 지난 1일 금감원에 문의한 뒤 이튿날 정식 신고했다. 이어 전날 홈페이지에 ‘개인정보 보호 강화 대책’을 공지하고 ▲로그인 비밀번호 변경 ▲로그인 2단계 인증 ▲보안 알림 기능 사용 등을 권장했다. 또 기프트 상품권 등 환금성 상품을 구매하는 회원에 대해 본인 인증을 강화했다고 덧붙였다. 금융당국은 지마켓에 대해 긴급 현장점검에 나섰다. 금감원 관계자는 “업체 측은 해킹이 아니라 외부에서 탈취된 계정 정보로 부정 결제가 이뤄졌다고 주장하고 있어 실제 사실관계를 확인하려고 한다”라면서 “피해자 보상이 제대로 진행되는지도 점검할 것”이라고 설명했다.

경기도의회 교육기획위원회 이호동 의원(국민의힘·수원8)이 1일 수원시청을 방문해 권혁주 환경국장, 유정수 청소년자원과장과 함께 수원시 자원회수시설(영통소각장) 이전 추진 현황을 논의했다. 현재 영통소각장 이전 문제는 2023년 세 차례 진행된 입지 후보지 공모가 모두 무산되면서 대체 부지 선정이 난항을 겪고 있다. 수원시는 지난해 3월 사전 조사 용역을 발주해 자체 부지 발굴에 착수했고, 2025년 12월 입지평가위원회 구성 및 후보지 압축, 2026년 7월 최종 후보지 선정을 목표로 절차를 진행 중이다. 이날 면담에서 이호동의원은 “영통소각장 이전은 영통주민뿐만 아니라 수원시민의 오랜 숙원이며, 이미 시민의 압도적 지지로 이전이 확정된 사안”이라며 “민선 8기 핵심 공약인 만큼, 흔들림 없는 추진이 이뤄져야 한다”고 강조했다. 또한 이 의원은 “수년간 영통소각장을 둘러싼 우려와 갈등이 누적돼 왔고, 당초 예정보다 진척이 더딘 데다가 행정의 소통이 미진해 우려 섞인 시선을 보내는 시민 여러분들이 많다”며 “이를 불식시키고 신속한 이전을 완수하기 위해서는 시민을 대상으로 이전 경과를 그때그때 설명해 주실 필요가 있다”고 밝혔다. 이에 대해 권혁주 환경국장은 “올해 용역이 마무리되는 대로 후보지 주민대표가 참여하는 입지선정위원회를 구성할 계획”이라며 “1월부터는 수원시 44개 동을 직접 방문해 설명회를 열고, 시민들과의 소통에 적극 나서겠다”고 설명했다. 끝으로 이호동 의원은 소각장 이전 과정에서의 지역 형평성과 주민 피해 문제도 지적하며, “영통소각장 이전은 오랜 기간 시민이 감내해온 사안인 만큼 간접영향권 확대 등 정당한 보상과 현실적인 지원책이 반드시 마련돼야 하고 이를 위한 수원시 집행부 발의 조례 제정 등이 이뤄져야 한다”고 강조했다. 한편 이호동 의원은 2023년 경기도의회 제367회 임시회 도정질문에서 영통소각장의 신속하고 확실한 이전을 경기도에 공식 요구하며, 부지 선정 지연에 따른 주민 피해와 행정 공백을 강하게 지적한 바 있다. 또한 이후에도 현장 점검, 관계자 면담 등 다양한 의정활동을 통해 영통소각장 이전 문제 해결을 위한 지속적인 역할을 이어오고 있다.

미국 스타벅스가 뉴욕시 직원 1만 5000여명에게 총 3500만 달러(약 514억원)를 배상하기로 합의했다. 회사가 근무 일정을 안정적으로 보장하지 않고 근무 시간을 임의로 줄인 데 따른 조치다. 1일(현지시간) AP통신, 뉴욕타임즈(NYT) 등 외신에 따르면, 뉴욕시 당국은 이날 스타벅스와의 합의 내용을 발표했다. 이는 스타벅스 노조가 지난달부터 시작한 파업이 이어진 가운데 나온 결정이다. 파업에 참여한 직원들은 만성적인 인력 부족으로 힘든 근무 환경을 겪고 있다고 호소했다. 온라인 주문이 너무 복잡해 주문서가 컵보다 길 때도 있고, 갑작스러운 출근 요청도 잦지만 회사가 충분한 인력을 제공하지 않았다는 것이다. 뉴욕시 소비자 및 근로자 보호국과의 합의에 따라 스타벅스는 직원들에게 3500만 달러(약 514억원)를 지급하는 것 외에 민사 벌금 340만 달러(약 450억원)를 추가로 낸다. 회사는 앞으로 뉴욕시의 공정근로주간법을 준수하기로 약속했다. 이 법은 근로자에게 안정적인 근무 일정을 보장하고, 갑작스러운 일정 변경을 제한하는 내용을 담고 있다. 시간당 임금을 받던 대부분의 직원은 2021년 7월부터 2024년 7월까지 근무한 기간 동안 주당 50달러(약 7만 3000원)씩 보상받는다. 그 이후에 피해를 입은 직원들은 시 당국에 신고하면 보상을 받을 수 있다. 이번 합의에는 최근 뉴욕시 내 매장 폐점으로 해고된 직원들이 다른 스타벅스 매장에서 복직할 기회를 보장받는 내용도 포함됐다. 뉴욕시는 2022년 여러 스타벅스 매장에 대한 수십 건의 직원 민원을 접수한 뒤 조사에 착수했다. 조사 대상은 결국 수백 개 매장으로 확대됐다. 시 당국은 조사 결과 대부분의 스타벅스 직원들이 정규 근무 일정을 받지 못해 육아나 교육, 다른 일자리 같은 개인 활동을 계획하기 어려웠다고 밝혔다. 또한 회사가 직원들에게 추가 근무 기회를 주지 않아, 더 많이 일하기를 원하는 직원들도 시간제 근로자로 남을 수밖에 없었다고 덧붙였다. 스타벅스 대변인 재시 앤더슨은 회사가 사업을 하는 모든 지역에서 현지 법규를 준수하기 위해 노력하고 있다고 밝혔다. 다만 뉴욕시의 법규가 복잡하다는 점도 언급했다. 앤더슨은 “이 법은 관리하기가 매우 어렵기로 악명 높다”고 말했다.

부산진해경제자유구역청(경자청)이 장기간 표류한 웅동1지구 개발 정상화에 나선다. 박성호 경자청장은 1일 경남도청에서 기자회견을 열고 골프장 인수를 시작으로 한 재추진 계획을 발표했다. 웅동1지구 개발은 진해구 제덕동 매립지 225만㎡에 관광·휴양단지를 조성하는 사업이다. 기존 민간사업자인 진해오션리조트가 2017년 골프장만 조성하고 후속 시설을 이행하지 않아 사업이 중단됐다. 개발 사업시행자인 경남개발공사와 창원시는 지난 6월 사업권을 회수했다. 단독 시행자가 된 공사는 지난달 진해오션리조트와 골프장 명도에 합의하고 공사채 발행과 창원시 분담금을 합쳐 진해오션리조트의 대출금 1009억원을 금융기관에 대신 갚았다. 공사는 통합 전산망·예약 시스템 구축, 인력 확보 등을 마무리하는 내년 4월부터 골프장 직영 운영 수익으로 공사채를 갚을 계획이다. 경자청은 소멸어업인 생계 대책 터 문제도 정리한다. 해당 터는 2021년 창원시가 어업 피해 보상을 위해 조합에 매각했지만 개발 권한이 진해오션리조트에 있어 재산권 행사가 제한됐다. 경자청은 내년 4월까지 개발 계획을 변경해 소멸어업인 조합이 직접 개발 권리를 행사하게 할 방침이다. 넘어야 할 산도 있다. 협약이 해지되면서 공사와 창원시는 진해오션리조트에 확정 투자비(골프장 건설비용 등)를 지급해야 한다. 서로 주장하는 투자비 차이가 500억원이 넘어 소송이 불가피할 전망이다. 박 청장은 “내년 하반기 기본구상 완료, 내후년 사업자 선정, 2029년 착공, 2032년 잔여 시설 준공 등 지연된 사업을 다시 궤도에 올려 지역 관광·휴양 인프라를 확보하겠다”고 말했다.

국내 이커머스 1위 업체 쿠팡의 대규모 고객정보 유출 사태와 관련해 집단소송 움직임이 본격화되고 있다. 현재까지 알려진 피해자 숫자만 3370만명에 달해 소송 규모도 역대 최대가 될 것으로 관측된다. 다만 과거 사례에 비춰 봤을 때 소송의 실익이 크지 않을 것이라는 지적도 나온다. 쿠팡 이용자 14명은 1일 쿠팡을 상대로 1인당 위자료 20만원을 청구하는 손해배상 청구 소송을 서울중앙지법에 제기했다. 소송을 대리하는 곽준호 법무법인 청 대표변호사는 “개인정보 유출에 따른 보상 책임 및 유출 사실을 고객에게 통보하기까지 시간이 지연된 데 대한 책임 등을 재판에서 강조할 것”이라며 “소송 인원은 늘어날 수 있다”고 밝혔다. 이날 기준 네이버 등에는 집단소송 준비 카페가 다수 개설돼 전체 가입자 수가 25만명을 넘어섰다. 하지만 실제 소송을 통해 피해를 보상받기는 쉽지 않을 것이라는 게 법조계 중론이다. 개인정보 유출 손해배상 소송은 피해자가 피해 규모 및 기업의 중대 과실 여부를 입증해야 하기 때문이다. 이날 대통령실에서 언급한 징벌적 손해배상 확대 도입의 필요성도 제기된다. 현행 손해배상 제도는 인과관계가 입증된 구체적인 손해에 대해서만 배상하는 것이 원칙이다. 개인정보보호법에도 중대한 과실이 확인될 경우 최대 5배까지 징벌적 손해배상을 하도록 정하고 있지만, 손해배상의 기준이 되는 손해액 책정 자체가 쉽지 않아 실효성이 부족하다는 지적이다. 일각에선 쿠팡에 최대 1조원대의 과징금이 부과될 수 있다는 전망도 나온다. 개인정보보호법에 따르면 개인정보 유출 시 관련 매출액의 최대 3%까지 과징금 부과가 가능하다. 쿠팡의 지난해 매출은 약 41조원이었다.

“서버 접근권 말소 안 해 생긴 일”개인정보 문 열어 놓은 꼴… 대통령실 “징벌적 손배 필요” 쿠팡에서 인증 관련 담당자로 일하던 중국인 개발자가 고객 3370만명의 개인정보를 유출한 사태와 관련해 쿠팡 측의 안일한 대응에 대한 비판이 커지고 있다. 정부는 외부 해킹이 아닌 쿠팡 측의 방치에 따라 이번 사건이 벌어졌다고 보고 관련 책임을 엄중히 묻겠다는 입장이다. 원활한 피해자 보상을 위해 징벌적 손해배상제 개선 카드도 꺼내 들었다. 경찰도 범행에 사용된 인터넷주소(IP)를 확보하는 등 수사에 속도를 내고 있다. 1일 정부 고위 관계자는 “쿠팡이 서버 관리를 굉장히 부실하게 한 것이라 책임을 피하기 어려울 것”이라고 말했다. 이 관계자는 “인증 관리 업무를 담당하던 중국인 개발자가 퇴사한 후에도 계속 서버 접근 권한을 말소하지 않아서 생긴 일”이라며 “본질적으로 해킹을 당한 롯데카드와는 아예 다른 사건”이라고 진단했다. 그는 또 “(인증키를) 말소시키지 않으니 시스템은 정상적 접근이라고 본 것”이라며 “혹시 다른 해킹이 있을지 한국인터넷진흥원(KISA)이 들여다보고 있는데 현재까진 나온 게 없다”고 전했다. 그러면서 “피해자 숫자와 범위 등이 더 늘어날 가능성은 충분해 보인다”고도 했다. 국회 과학기술정보방송통신위원장인 최민희 더불어민주당 의원실 등에 따르면 고객 정보를 빼돌린 직원은 퇴사 이후인 지난 6월 24일부터 개인정보에 접근한 것으로 추정된다. 이 직원은 개인정보 탈취 과정에서 시스템에 로그인 없이 접근할 수 있는 ‘인증 토큰’을 이용한 것으로 보인다. 이와 관련해 강훈식 대통령실 비서실장은 “징벌적 손해배상 제도가 사실상 작동하지 않고 있는 현실은 대규모 유출 사고를 막는 데 한계가 있다”며 “기업의 책임이 명백한 경우 제도가 실효성 있게 작동할 수 있도록 개선 방안을 검토하라”고 밝혔다. 아울러 강 실장은 과학기술정보통신부 등에 “근본적인 제도 보완, 현장 점검 체계 재정비, 기업 보안 역량 강화 지원책 등을 신속히 보고해 달라”고도 지시했다. 국회는 쿠팡 및 유관 기관 관계자들을 출석시켜 긴급 현안 질의를 진행한다. 2일에는 국회 과학기술정보방송통신위원회에서, 3일에는 정무위원회에서 각각 현안 질의를 한다. 경찰도 관련 수사를 진행 중이다. 서울경찰청 관계자는 이날 “쿠팡 측으로부터 서버 로그 기록을 제출받아서 분석 중”이라며 “정보 유출 등으로 협박하는 내용이 담긴 이메일 계정 2개를 추적하고 있다”고 밝혔다. 경찰은 피의자의 국적과 함께 정보 유출 당사자가 협박성 이메일을 보낸 사람과 동일인인지 등을 파악하고 있다. 경찰 관계자는 “피의자를 특정하기 위한 수사를 진행 중”이라며 “IP 추적을 위한 해외 공조도 벌이고 있다”고 설명했다. 쿠팡은 지난달 18일 개인정보보호위원회 등에 고객 4500여명의 개인정보가 유출됐다며 신고했고, 이후 같은 달 25일 정보통신망 침입 혐의로 고소장을 제출했다. 쿠팡 측은 협박 메일이 발송된 지 이틀이 지나서야 대응에 나섰다. 경찰은 지난달 28일 쿠팡 측 관계자를 불러 조사했다. 쿠팡이 회사 외형을 키우는 데 몰두한 나머지 정보보호에는 무감각했다는 비판이 거세지고 있다. 2023년부터 매년 10조원가량 매출이 뛰며 급성장해 오는 동안 정보보호 투자 비중은 반대로 감소해서다. 2010년 출범한 쿠팡이 로켓배송에 나선 것은 2014년이었다. 2012년 이후 규제에 묶인 대형마트의 빈자리를 채우기 시작하면서 급격히 몸집을 불렸다. 쿠팡은 2023년 매출 31조 8298억원을 기록하며 이마트(연결 기준 매출 29조 4722억원)를 처음 넘어섰다. 지난해 매출 41조 2901억원을 올렸고 올해에는 50조원 달성도 가능하다는 예측이 나왔다. 반면 최근 4년간 쿠팡의 정보기술(IT) 투자 대비 정보보호 투자 비중은 꾸준히 하락했다. KISA 공시에 따르면 쿠팡은 전체 IT 부문에 1조 9171억원을 투자했으며 이 가운데 정보보호 부문에 투입한 금액은 890억원으로 전체의 4.6%에 그쳤다. 전체 정보보호 투자 공시 기업 773곳의 평균(6.28%)보다 낮은 수준이다. 쿠팡의 지난해 매출 대비 정보보호 부문 투자액은 0.2%로 같은 기간 카카오·SK텔레콤(0.7%), 네이버·KT(0.4%)보다 저조했다. 숱한 논란에도 쿠팡의 사업이 순항한 건 정치권 및 정부 출신 인사를 대거 영입해 온 점과 무관하지 않다. 올해 쿠팡 또는 그 계열사로 이직하기 위해 취업 심사를 받은 4급 보좌관은 총 9명이었다. 정부 출신 중 4급 이상 등 취업 심사 대상 퇴직자 9명이 올해 쿠팡이나 그 계열사에 취직했다.

쿠팡의 대규모 개인정보 유출 사태가 확인되면서 소니나 야후 해킹에 버금가는 수준의 글로벌급 사고로 번질 수 있다는 우려가 커지고 있다. 단순한 이메일·비밀번호 유출을 넘어 집주소·배송기록·공동현관 비밀번호 등 생활형 정보까지 포함된 것으로 알려져 2차 피해 경고도 잇따르고 있다. 경찰, 피의자 IP 확보…협박 메일 2개 계정 추적 중 서울경찰청 사이버수사대는 1일 “쿠팡 측으로부터 서버 로그기록을 제출받아 분석 중이며 피의자가 사용한 IP를 확보해 추적 중”이라고 밝혔다. 경찰은 ‘회원들의 개인정보를 가지고 있다’며 협박성 이메일을 보낸 계정 2개에 대해서도 송신 경로를 추적하고 있다. 이메일은 지난달 16일과 25일 두 차례 발송됐고 동일인 소행인지 실제 유출자와 동일인인지 여부가 수사 중이다. 앞서 쿠팡에서 근무했던 중국 국적의 전직 직원이 고객 정보를 빼돌린 뒤 협박성 이메일을 보낸 정황이 포착됐다. 피의자가 이미 퇴사 후 출국한 상태로 확인되자 경찰은 국제 공조 수사에 나섰다. 30억 계정 털린 야후…역대 최대 유출 사건 2013~2014년 발생한 야후 해킹 사건은 역사상 최대 규모의 개인정보 유출로 기록됐다. 당시 약 30억 개 계정의 이름, 이메일 주소, 전화번호, 생년월일, 암호화된 비밀번호, 보안 질문·답변이 노출됐다. 이 사건은 2017년 야후의 매각 과정에도 직접적인 영향을 미쳐 인수 주체였던 버라이즌이 인수가를 3억 5000만 달러(약 4000억 원·모든 원화 환산은 사건 발생 당시 환율 기준) 낮췄다. 야후는 결국 피해자들과의 집단소송에서 총 1억 1750만 달러(약 1338억 원)의 합의금을 지급했다. 다만 전체 30억 계정이 아닌 실제 보상 대상은 약 1억 9400만 명 규모로 추정됐고 신청서를 제출한 이용자만 최대 358달러(약 40만 원) 한도 내에서 보상받았다. 소니 PSN 해킹…“기업 신뢰 무너진 상징적 사건” 2011년에는 일본 소니의 플레이스테이션 네트워크(PSN)가 해킹당해 7700만 명의 회원정보와 신용카드 정보가 유출됐다. 소니는 24일간 서비스를 중단하고 PSN 이용자 전원에게 무료 게임 2편과 30일 무료 이용권을 제공하는 등 사과·보상 조치를 취했다. 영국 당국은 정보보호법 위반으로 과징금을 부과했고 일본에서는 “기업 신뢰 붕괴”라는 여론이 확산되며 ‘소니 쇼크’라는 표현이 등장했다. 에퀴팩스·메리어트 등 글로벌 기업들도 잇단 유출 2017년 미국 신용평가사 에퀴팩스는 시스템 취약점을 방치한 채 수개월간 보안 경고를 무시하다가 1억 4700만 명의 신용정보가 유출됐다. 이 사건으로 경영진이 사퇴하고 미 의회 청문회가 열리는 등 파문이 컸다. 회사는 집단소송 합의로 총 7억 달러(약 8300억 원) 규모의 보상·과징금 패키지를 마련했으나 피해자 대부분은 애초 약속된 125달러 대신 10~20달러(약 1만~2만 원대)의 실보상만 받았다. 이듬해에는 세계 최대 호텔 체인 메리어트 인터내셔널의 예약망이 해킹돼 최대 5억 명의 투숙객 정보가 새나갔다. 영국 정보보호당국은 1840만 파운드(약 276억 원)의 과징금을 부과했고 미국·캐나다 등에서도 집단소송이 제기됐으며 피해 신고 고객을 대상으로 최대 100달러(약 12만 원) 수준의 보상이 제공됐다. 쿠팡, 외부 해킹 아닌 내부자 소행 정황쿠팡의 피해 규모(3370만 건)는 야후(30억)나 메리어트(5억)에 비하면 작지만 노출된 정보의 현실적 민감도는 훨씬 높다는 평가가 나온다. 특히 이름·주소·휴대전화번호뿐 아니라 공동현관 비밀번호, 배송 위치, 가족 구성 등 생활 공간과 연결된 정보가 포함돼 피해가 장기화될 가능성이 제기된다. 쿠팡은 “시스템 외부 침입 흔적은 없다”며 내부 비인가 조회로 인한 유출임을 시사했다. 보안 업계는 “이건 단순한 기술적 해킹이 아니라 내부 통제 실패”라며 기업의 데이터 접근 권한 관리가 허술했다는 점을 문제로 지적하고 있다. 집단소송, 실제 보상은 얼마나 받나 이번 사태를 계기로 해외 기업의 집단소송 보상 구조에도 관심이 쏠리고 있다. 미국 등에서는 대표 원고와 변호사단이 전체 피해자를 대신해 소송을 제기하며 개별 피해자는 변호사비를 직접 내지 않지만 전체 합의금의 20~40%가 수임료와 행정비용으로 공제된다. 결과적으로 1인당 보상액은 매우 낮아지는 구조다. 예를 들어 에퀴팩스 사건의 경우 총 7억 달러 중 약 25%가 변호사비로 빠졌고 피해자 대부분은 약속된 125달러 대신 10~20달러 수준만 받았다. 이처럼 집단소송은 금전적 보상보다 기업의 책임을 공식화하는 징벌적 절차라는 평가가 많다. 정부 조사 및 과징금 전망정부는 개인정보보호위원회와 과기정통부, 민간 보안 전문가들이 참여하는 민관합동조사단을 구성해 사고 원인을 조사 중이다. 개인정보보호법 개정으로 위반 시 전년도 매출의 최대 3%까지 과징금을 부과할 수 있어 쿠팡이 수천억 원대 제재를 받을 가능성도 제기된다. 앞서 2024년 SK텔레콤은 개인정보 유출로 역대 최대인 1347억 원의 과징금을 부과받았다. “사과보다 복구 중심 대응이 신뢰 회복의 출발점”쿠팡 사태는 한 기업의 보안 실패를 넘어 국민 대다수의 생활 정보가 얼마나 취약한지 드러낸 사건으로 평가된다. 데이터가 곧 신뢰가 되는 시대, 이번 사태가 ‘한국판 개인정보 위기’로 기록되지 않으려면 신속하고 투명한 대응이 필요하다.

쿠팡의 대규모 개인정보 유출 사태가 확인되면서 소니나 야후 해킹에 버금가는 수준의 글로벌급 사고로 번질 수 있다는 우려가 커지고 있다. 단순한 이메일·비밀번호 유출을 넘어 집주소·배송기록·공동현관 비밀번호 등 생활형 정보까지 포함된 것으로 알려져 2차 피해 경고도 잇따르고 있다. 경찰, 피의자 IP 확보…협박 메일 2개 계정 추적 중 서울경찰청 사이버수사대는 1일 “쿠팡 측으로부터 서버 로그기록을 제출받아 분석 중이며 피의자가 사용한 IP를 확보해 추적 중”이라고 밝혔다. 경찰은 ‘회원들의 개인정보를 가지고 있다’며 협박성 이메일을 보낸 계정 2개에 대해서도 송신 경로를 추적하고 있다. 이메일은 지난달 16일과 25일 두 차례 발송됐고 동일인 소행인지 실제 유출자와 동일인인지 여부가 수사 중이다. 앞서 쿠팡에서 근무했던 중국 국적의 전직 직원이 고객 정보를 빼돌린 뒤 협박성 이메일을 보낸 정황이 포착됐다. 피의자가 이미 퇴사 후 출국한 상태로 확인되자 경찰은 국제 공조 수사에 나섰다. 30억 계정 털린 야후…역대 최대 유출 사건 2013~2014년 발생한 야후 해킹 사건은 역사상 최대 규모의 개인정보 유출로 기록됐다. 당시 약 30억 개 계정의 이름, 이메일 주소, 전화번호, 생년월일, 암호화된 비밀번호, 보안 질문·답변이 노출됐다. 이 사건은 2017년 야후의 매각 과정에도 직접적인 영향을 미쳐 인수 주체였던 버라이즌이 인수가를 3억 5000만 달러(약 4000억 원·모든 원화 환산은 사건 발생 당시 환율 기준) 낮췄다. 야후는 결국 피해자들과의 집단소송에서 총 1억 1750만 달러(약 1338억 원)의 합의금을 지급했다. 다만 전체 30억 계정이 아닌 실제 보상 대상은 약 1억 9400만 명 규모로 추정됐고 신청서를 제출한 이용자만 최대 358달러(약 40만 원) 한도 내에서 보상받았다. 소니 PSN 해킹…“기업 신뢰 무너진 상징적 사건” 2011년에는 일본 소니의 플레이스테이션 네트워크(PSN)가 해킹당해 7700만 명의 회원정보와 신용카드 정보가 유출됐다. 소니는 24일간 서비스를 중단하고 PSN 이용자 전원에게 무료 게임 2편과 30일 무료 이용권을 제공하는 등 사과·보상 조치를 취했다. 영국 당국은 정보보호법 위반으로 과징금을 부과했고 일본에서는 “기업 신뢰 붕괴”라는 여론이 확산되며 ‘소니 쇼크’라는 표현이 등장했다. 에퀴팩스·메리어트 등 글로벌 기업들도 잇단 유출 2017년 미국 신용평가사 에퀴팩스는 시스템 취약점을 방치한 채 수개월간 보안 경고를 무시하다가 1억 4700만 명의 신용정보가 유출됐다. 이 사건으로 경영진이 사퇴하고 미 의회 청문회가 열리는 등 파문이 컸다. 회사는 집단소송 합의로 총 7억 달러(약 8300억 원) 규모의 보상·과징금 패키지를 마련했으나 피해자 대부분은 애초 약속된 125달러 대신 10~20달러(약 1만~2만 원대)의 실보상만 받았다. 이듬해에는 세계 최대 호텔 체인 메리어트 인터내셔널의 예약망이 해킹돼 최대 5억 명의 투숙객 정보가 새나갔다. 영국 정보보호당국은 1840만 파운드(약 276억 원)의 과징금을 부과했고 미국·캐나다 등에서도 집단소송이 제기됐으며 피해 신고 고객을 대상으로 최대 100달러(약 12만 원) 수준의 보상이 제공됐다. 쿠팡, 외부 해킹 아닌 내부자 소행 정황쿠팡의 피해 규모(3370만 건)는 야후(30억)나 메리어트(5억)에 비하면 작지만 노출된 정보의 현실적 민감도는 훨씬 높다는 평가가 나온다. 특히 이름·주소·휴대전화번호뿐 아니라 공동현관 비밀번호, 배송 위치, 가족 구성 등 생활 공간과 연결된 정보가 포함돼 피해가 장기화될 가능성이 제기된다. 쿠팡은 “시스템 외부 침입 흔적은 없다”며 내부 비인가 조회로 인한 유출임을 시사했다. 보안 업계는 “이건 단순한 기술적 해킹이 아니라 내부 통제 실패”라며 기업의 데이터 접근 권한 관리가 허술했다는 점을 문제로 지적하고 있다. 집단소송, 실제 보상은 얼마나 받나 이번 사태를 계기로 해외 기업의 집단소송 보상 구조에도 관심이 쏠리고 있다. 미국 등에서는 대표 원고와 변호사단이 전체 피해자를 대신해 소송을 제기하며 개별 피해자는 변호사비를 직접 내지 않지만 전체 합의금의 20~40%가 수임료와 행정비용으로 공제된다. 결과적으로 1인당 보상액은 매우 낮아지는 구조다. 예를 들어 에퀴팩스 사건의 경우 총 7억 달러 중 약 25%가 변호사비로 빠졌고 피해자 대부분은 약속된 125달러 대신 10~20달러 수준만 받았다. 이처럼 집단소송은 금전적 보상보다 기업의 책임을 공식화하는 징벌적 절차라는 평가가 많다. 정부 조사 및 과징금 전망정부는 개인정보보호위원회와 과기정통부, 민간 보안 전문가들이 참여하는 민관합동조사단을 구성해 사고 원인을 조사 중이다. 개인정보보호법 개정으로 위반 시 전년도 매출의 최대 3%까지 과징금을 부과할 수 있어 쿠팡이 수천억 원대 제재를 받을 가능성도 제기된다. 앞서 2024년 SK텔레콤은 개인정보 유출로 역대 최대인 1347억 원의 과징금을 부과받았다. “사과보다 복구 중심 대응이 신뢰 회복의 출발점”쿠팡 사태는 한 기업의 보안 실패를 넘어 국민 대다수의 생활 정보가 얼마나 취약한지 드러낸 사건으로 평가된다. 데이터가 곧 신뢰가 되는 시대, 이번 사태가 ‘한국판 개인정보 위기’로 기록되지 않으려면 신속하고 투명한 대응이 필요하다.

국내 최대 온라인 유통업체인 쿠팡에서 벌어진 3400만건 고객 정보 유출 사태의 파장이 일파만파다. 올 들어 금융사와 통신사 등에서 유사 사고가 잇따라 터져 가뜩이나 국민 불안이 꼭대기까지 차오른 터에 전 국민을 패닉으로 몰아넣은 최악의 사태가 아닐 수 없다. 국민 4명 중 3명이 해당하는 방대한 피해 규모가 무엇보다 충격적이다. 더욱 기막힌 것은 해외 서버를 통한 비정상 접속이 지난 6월 말부터 계속됐는데도 회사가 이를 5개월간 전혀 알아채지도 못했다는 사실이다. 로켓배송 등 속도와 혁신을 앞세워 초고속 성장한 거대 기업이 정작 디지털 사회의 기본적 신뢰 기반인 고객 정보 보호에는 한없이 굼뜨고 무능했다. 배신감과 분노를 넘어 허탈감까지 든다. 쿠팡은 지난 29일 “고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다”면서 “해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정한다”고 밝혔다. 노출된 정보는 고객 이름과 이메일, 전화번호, 주소, 일부 주문 정보이며 결제 정보와 신용카드 번호는 포함되지 않았다는 것이 쿠팡 측의 주장이다. 그러나 쿠팡은 지난 20일 개인정보보호위원회에 처음 신고할 당시 피해 계정을 4500여개로 보고했다가 9일 만에 사실상 전 회원 규모로 피해 범위를 대폭 수정했다. 앞으로 조사 결과에 따라 피해 규모가 더 늘어날 가능성도 배제할 수 없다. 정부는 민관 합동조사단을 꾸려 사고 원인 분석과 재발 방지 대책 마련에 나섰다. 유출 정보를 악용한 스미싱·보이스피싱 등 2차 피해에 대한 불안이 큰 만큼 이를 차단하기 위한 다각적 대응이 무엇보다 시급하다. 쿠팡은 이번 사태를 외부 해킹이 아닌 내부 직원의 소행으로 보고 경찰에 고소장을 제출했다. 만일 내부자 범죄가 맞다면 조직 관리 부실 책임은 더욱 무거울 수밖에 없다. 기업의 안이한 보안 의식 탓에 국민 전체가 잠재적 범죄 위험에 노출된 만큼 그에 상응하는 책임을 져야 한다. 쿠팡은 박대준 대표의 사과문을 통해 합동조사단과 긴밀히 협력하고 추가 피해 예방에 최선을 다하겠다고 했다. 정부가 “쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 고객 정보가 유출됐다”고 확인한 만큼 실질적인 피해 보상과 재발 방지 대책이 뒤따라야 한다. 정부 역시 이번 사태를 엄중하게 받아들여야 한다. 쿠팡은 국가가 인증한 ‘정보보호 및 개인정보보호 관리체계 인증’(ISMS-P)을 취득하고도 대규모 유출 사고를 냈다. 정부와 기업 모두 보안 의식을 획기적으로 개선하지 않는다면 유사 사고는 언제든 되풀이될 수밖에 없다.

6월 24일 발생… 11월 18일에 인지“정상적 로그인 없이 고객정보 유출”“서버 보안인증 취약점 악용해 공격”정부, 국가 배후 범죄 가능성도 논의일부 집단소송 카페·단톡방 개설도 이번 쿠팡의 정보 유출을 두고 특히 사고를 인지하기까지 5개월이나 걸렸다는 데 대한 비판이 거세다. 회사의 깜깜이 대응에 실망한 소비자들은 집단소송 등 단체 행동에 나설 움직임도 보이고 있다. 30일 쿠팡에 따르면 고객 계정과 관련된 개인정보 무단 접근은 지난 6월 24일부터 시작됐지만 쿠팡은 이를 지난 18일에야 인지하게 됐다. 쿠팡은 그동안 공격자 입장에서 취약점을 찾는 ‘레드팀’과 선제적 위협 탐지·대응을 맡는 ‘고스트팀’을 운영하면서 수준 높은 보안 조직을 갖췄다고 홍보했지만, 정작 개인정보 노출 기간이나 사고 발생 원인에 대해서는 ‘조사 중’이라며 함구하고 있다. 쿠팡 측은 “현재까지 2차 피해는 보고된 바 없다”고 했지만 소비자의 불안과 불신은 확산하고 있다. 민관합동조사단을 꾸리고 쿠팡 본사에서 현장 조사를 진행 중인 정부는 쿠팡 서버 인증 체계에 취약점이 있었다고 짚었다. 이날 배경훈 부총리 겸 과학기술정보통신부 장관은 정부서울청사에서 관계 부처 긴급회의를 열고 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3000만개 이상 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인했다”고 설명했다. 정부는 회의에서 국가 배후 범죄 가능성에 대해서도 논의했으며 쿠팡 서버에서 악성 코드는 발견되지 않았다고 밝혔다. 쿠팡의 개인정보보호법상 안전조치의무 위반이 확인되면 엄정 제재할 방침이다. 이번 사고가 쿠팡의 내부 직원 소행이라는 추측이 나오면서 내부 보안 대책에 허점이 있었다는 비판도 피할 수 없게 됐다. 특히 수천만명의 정보가 새 나가는 동안 자체적으로 부정·불법행위를 탐지해 내지 못할 정도로 쿠팡 서버의 모니터링 체계가 미흡했다는 지적이 나온다. 염흥열 순천향대 정보보호학과 명예교수는 “유출자가 직장 상사 등의 ID와 비밀번호를 확보해 타인의 접근 권한까지 가졌을 가능성이 있다”며 “서버 접속 과정에서 2차 인증이 필요한데도 1차 인증만으로 통과되는 등 인증 체계에 취약점이 있는 것으로 추정된다”고 말했다. 쿠팡의 책임과 보상을 촉구하기 위한 소비자 움직임도 확산하고 있다. 지난 29일 네이버에 개설된 ‘쿠팡 정보유출 집단소송 카페’ 운영진은 “3370만명이 피해를 본 초유의 사태에 대해 법적 책임을 묻고 공동 대응 방안을 마련하겠다”며 출범 취지를 밝혔다. 카카오톡에서 ‘쿠팡 정보유출 피해자 모임’ 채팅방을 개설한 이모(49)씨도 “개인의 힘으로는 거대 기업인 쿠팡의 안일한 대응에 맞서기 어렵다고 판단했다”면서 “집단분쟁조정 신청이나 공동소송까지 고려하고 있다”고 설명했다. 손해배상 집단소송을 준비 중인 김경호 변호사(법무법인 호인)는 “핵심 쟁점은 쿠팡이 개인정보보호법 제29조에 따른 안전조치의무를 다했는지 여부”라면서 “해킹 기술이 고도화됐다 하더라도 쿠팡이 당시 기술 수준에서 요구되는 접근 통제, 접속 기록 보관, 암호화 조치 등을 소홀히 했다면 과실이 인정된다”고 주장했다.

쿠팡의 대규모 개인정보 유출로 보이스피싱·스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격) 등 2차 범죄에 대한 경계가 필요한 상황이다. 30일 한국인터넷진흥원(KISA)과 전문가 조언 등을 토대로 상황별 행동 요령을 정리했다. Q. 문자메시지로 ‘피해 보상 신청’ 혹은 ‘환불’ 링크를 받았다면. A. 정보 유출 시 가장 흔한 2차 피해는 피해 보상 신청이나 환불 등을 빌미로 악성 링크를 보내는 스미싱이다. 출처가 불분명한 사이트 주소(링크)가 포함된 문자메시지를 받은 경우 클릭하지 말고 즉시 삭제해야 한다. 카카오톡 채널 ‘보호나라’를 활용하면 스미싱·피싱 의심 사이트를 조회하고 신고할 수 있다. 유출 사실 통보나 보상·환불 절차 안내를 가장해 전화로 원격 제어 앱을 설치하라고 하는 식의 보이스피싱 수법도 조심해야 한다. 기관이나 금융회사는 전화나 문자로 앱 설치나 사이트 접속을 요구하지 않는다. Q. 모바일 결제 피해를 막으려면. A. 유출된 개인정보가 모바일 결제나 휴대전화 개통·계좌 개설에 무단으로 사용될 위험도 있다. 이동통신사 고객센터를 통해 소액결제 내역을 수시로 확인하고 이상이 있으면 경찰에 신고해야 한다. 아울러 명의도용 방지 서비스나 비대면 계좌 개설 안심 차단 서비스 등을 신청하면 추가 피해를 줄일 수 있다. Q. 해외 직구를 자주 한다면. A. 쿠팡이 유출된 개인정보 항목에 ‘일부 주문 정보’가 있었다고 밝히면서 관세청 전자통관시스템을 통해 개인통관고유부호를 재발급받는 소비자들도 있다. 누군가 자신의 고유부호를 이용해 해외에서 사기 주문을 할 수 있다는 우려 때문이다. 개인통관고유부호는 세관 통관절차를 위해 사용되는 개인 식별번호로, 한 사람당 하나의 부호가 부여된다. 쿠팡 측은 “현재까지 확인된 사항에 따르면 개인통관부호는 노출되지 않았다”고 밝혔다. Q. 내 정보가 다크웹에서 유통되는지 확인하려면. A. 개인정보보호위원회가 운영하는 ‘개인정보포털’을 이용하면 ‘다크웹’ 등 음성화 사이트에서 자신의 정보가 유통되고 있는지 확인할 수 있다.

3370만명 고객정보 무단 노출 확인중국 국적 전 직원이 정보 빼돌린 듯카드·통신 사고 이어 불안감 확산 국내 1위 온라인 유통 기업인 쿠팡에서 우리나라 국민의 절반이 넘는 약 3370만명의 고객 계정 정보가 무단으로 노출되는 초유의 사고가 벌어지면서 국민 불안이 소위 포비아(공포증) 수준으로 치닫고 있다. 역대 최대 규모의 고객 정보 유출인 데다 쿠팡이 5개월간 지속된 개인정보 탈취 시도조차 인지하지 못했기 때문이다. 이번 사고가 중국 국적의 내부자 소행이라는 언급도 나온다. 전문가들은 이 사태가 스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격)이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고했다. 쿠팡이 고객 계정의 이름, 이메일, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보가 노출된 사실을 지난 29일 확인한 가운데 박대준 쿠팡 대표는 30일 정부서울청사에서 “국민 여러분께 불편을 끼쳐 드려 진심으로 사과드린다”며 첫 사과에 나섰다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 노출된 사실을 인지했다고 밝혔지만 후속 조사에서 7500배나 많은 3370만개가 유출된 것으로 확인됐다. 쿠팡 구매 이력이 있는 고객 수(2470만명)보다 900만명이나 많고, 역대 최대 과징금인 1348억원 처분을 받은 SK텔레콤의 개인정보 유출 규모(2324만명)도 크게 웃돈다. 쿠팡은 지난 6월 24일부터 5개월 동안 지속된 개인정보 탈취 시도를 전혀 파악하지 못했다는 점에서도 책임을 피하기 어려워 보인다. 여기에 중국 국적의 전 쿠팡 직원이 고객 정보를 유출했다는 의혹도 제기됐다.  경찰은 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의 제출받아 분석 중이다. 경찰은 “모든 가능성을 열어 두고 절차에 따라 수사하고 있다”고 전했다. 다만 쿠팡 측은 내부 직원 소행 가능성에 대해선 확인이 어렵다는 입장이다. 쿠팡은 이날 오후 웹사이트와 애플리케이션에 게재한 사과문에서 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않아 고객이 계정 관련해 조치를 취할 필요는 없다”고 밝혔다. 하지만 전문가들은 이번 사고가 스미싱이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고한다. 한국인터넷진흥원(KISA)은 ‘피해 보상’이나 ‘피해 사실 조회’, ‘환불’ 등의 키워드로 피해 기업(쿠팡)을 사칭하는 스미싱이나 보이스피싱 등에 주의할 것을 권고했다. 김기형 아주대 사이버보안학과 교수는 “최근 주문 건에 문제가 있다며 주소나 연락처를 다시 확인하라는 식의 피싱이 대표적”이라면서 “문자, 전화, 카카오톡 등 어떤 채널에서도 모르는 링크는 클릭하지 않는 것이 중요하다”고 말했다. 정보 유출 경로가 오리무중인 상황에서 피해를 본 소비자들은 분통을 터뜨리고 있다. 빠른 배송 때문에 쿠팡을 애용했다는 구정순(62)씨는 이번 사태가 터지자마자 쿠팡을 탈퇴했다. 구씨는 “회사가 정확한 진단이나 대책을 내놓지 못해 정보가 유출된 피해자만 발을 동동 구르고 있다”며 “‘전화번호는 노출됐는데 카드 정보와 비밀번호는 노출되지 않았다’는 회사의 설명을 어떻게 믿겠느냐”고 말했다. 일부 고객 사이에서는 공동 현관 비밀번호도 털렸을 수 있다는 불안감이 높은 상황이다. 쿠팡의 경우 음식이나 택배 배송 요청란에 아파트 공동 현관 비밀번호를 쓰는 경우가 많고 이를 배송 정보로 관리하기 때문이다.

이번 쿠팡의 정보 유출은 특히 사고를 인지하기까지 5개월이나 걸렸다는 데 대한 비판이 거세다. 회사의 깜깜이 대응에 실망한 소비자들은 집단소송 등 단체 행동에 나설 움직임도 보이고 있다. 30일 쿠팡에 따르면 고객 계정과 관련된 개인정보 무단 접근은 지난 6월 24일부터 시작됐지만, 쿠팡은 이를 지난 18일에야 인지하게 됐다. 쿠팡은 그동안 공격자 입장에서 취약점을 찾는 ‘레드팀’과 선제적 위협 탐지·대응을 맡은 ‘고스트팀’을 운영하면서 수준 높은 보안 조직을 갖췄다고 홍보했지만 정작 개인정보 노출 기간이나 사고 발생 원인에 대해서는 ‘조사 중’이라며 함구하고 있다. 쿠팡 측은 “현재까지 2차 피해는 보고된 바 없다”고 했지만 소비자의 불안과 불신은 확산하고 있다. 민관합동조사단을 꾸리고 쿠팡 본사에서 현장 조사를 진행 중인 정부는 쿠팡 서버 인증 체계에 취약점이 있었다고 짚었다. 이날 배경훈 부총리 겸 과학기술정보통신부 장관은 정부서울청사에서 관계 부처 긴급회의를 열고 “공격자가 쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3000만개 이상 고객 계정의 고객명, 이메일, 발송지 전화번호 및 주소를 유출한 것으로 확인했다”고 설명했다. 정부는 회의에서 국가 배후 범죄 가능성에 대해서도 논의했으며, 쿠팡 서버에서 악성코드는 발견되지 않았다고 밝혔다. 쿠팡의 개인정보보호법상 안전조치의무 위반이 확인되면 엄정 제재할 방침이다. 이번 사고가 쿠팡의 내부 직원 소행이라는 추측이 나오면서 내부 보안 대책에 허점이 있었다는 비판도 피할 수 없게 됐다. 특히 수천만명의 정보가 새 나가는 동안 자체적으로 부정·불법 행위를 탐지해 내지 못할 정도로 쿠팡 서버의 모니터링 체계가 미흡했다는 지적이 나온다. 염흥열 순천향대 정보보호학과 명예교수는 “유출자가 직장 상사 등의 ID와 비밀번호를 확보해 타인의 접근 권한까지 가졌을 가능성이 있다”며 “서버 접속 과정에서 2차 인증이 필요한데도 1차 인증만으로 통과되는 등 인증 체계의 취약점이 추정된다”고 말했다. 쿠팡의 책임과 보상을 촉구하기 위한 소비자 움직임도 확산하고 있다. 지난 29일 네이버에 개설된 ‘쿠팡 정보유출 집단소송 카페’ 운영진은 “3370만명이 피해를 본 초유의 사태에 대해 법적 책임을 묻고 공동 대응 방안을 마련하겠다”며 출범 취지를 밝혔다. 카카오톡에서 ‘쿠팡 정보유출 피해자 모임’ 채팅방을 개설한 이모(49)씨도 “개인의 힘으로는 거대 기업인 쿠팡의 안일한 대응에 맞서기 어렵다고 판단했다”면서 “집단 분쟁 조정 신청이나 공동소송까지 고려하고 있다”고 설명했다. 손해배상 집단소송을 준비 중인 김경호 변호사(법무법인 호인)는 “핵심 쟁점은 쿠팡이 개인정보보호법 제29조에 따른 ‘안전조치의무’를 다했는지 여부”라면서 “해킹 기술이 고도화됐다 하더라도 쿠팡이 당시 기술 수준에서 요구되는 접근 통제, 접속 기록 보관, 암호화 조치 등을 소홀히 했다면 과실이 인정된다”고 주장했다.

경남소방본부는 상설 운영 중이 ‘화재조사분석지원팀’이 제조물 화재 원인 규명, 제품 리콜·피해 배상에 도움을 주는 등 실질적 성과를 거두고 있다고 30일 밝혔다. 지난해 출범한 화재조사분석지원팀은 X선 촬영기 등 첨단장비를 갖추고 18개 분야 외부 전문가 34명이 참여해 운영 중이다. 화재조사분석지원팀은 지난해 7월 거제시에서 발생한 플러그인하이브리드(PHEV) 차량 화재가 고전압 배터리 제조상 결함으로 발생한 것을 규명해 올해 1월 제작사 리콜을 끌어냈다. 올해 4월 발생한 전기차 화재 원인이 고전압 배터리 제조결함이라고 밝혀내 제작사가 리콜을 준비하도록 한 것도 화재조사분석지원팀의 활동 결과물이다. 화재조사분석지원팀은 또 지난해부터 올 11월까지 가전제품, 배터리, 개인형 이동장치 등 제조물 화재 46건에 대한 원인을 규명, 피해 도민들이 제조사 또는 공급업체로부터 현금·현물 보상 또는 무상 수리 등 배상을 받을 수 있도록 했다. 이동원 소방본부장은 “전기차, 배터리, 에너지저장장치(ESS) 등 신기술 기반 제품이 늘어나는 만큼 소방도 제조사 수준의 분석 능력을 갖춰야 한다”며 “전문 화재조사 역량을 지속적으로 강화해 제조물 안전성을 높이고 도민 피해를 최소화하는 데 노력하겠다”고 말했다.