쿠팡 유출 한달 만에 용의자 특정…범행 윤곽 드러날까

쿠팡이 25일 대규모 개인 정보 유출 사태의 용의자를 특정하고 장비를 회수했다고 밝히면서 사태 범행 전후의 윤곽이 드러날지 주목된다. 지난달 29일 쿠팡이 개인정보가 노출된 고객 계정이 3370만개로 확인됐다고 밝힌 지 약 한 달 만이다.

쿠팡 발표에 따르면 중국 국적자로 알려진 전직 직원인 유출자는 탈취한 보안 키를 사용해 고객 계정 3300만개의 기본적인 고객 정보에 접근했으나 이중 약 3000개 계정의 고객 정보만 저장한 것으로 드러났다. 쿠팡은 "디지털 지문(digital fingerprints) 등 포렌식 증거를 활용해 고객 정보를 유출한 전직 직원을 특정했다"며 "유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다"고 밝혔다.

체포시점·장소·범행 동기 등 의문

다만 유출된 정보의 처리 경로까지 파악해 추가 피해는 없다는 취지로 발표했지만, 체포 시점과 장소, 수사 주체 등 구체적인 사법 절차 내용은 공개하지 않아 의문은 여전히 남아 있다. 용의자가 중국 국적자로 알려졌던 만큼 체포 장소에도 관심이 쏠린 게 사실이다. 게다가 국내 수사 기관과 해외 사법 당국과 공조가 있었는지 등 사건 해결 과정도 전혀 알려지지 않았다.

이에 따라 용의자의 범행 동기는 여전히 베일에 싸여 있으며, 쿠팡의 발표대로 탈취한 정보를 제3의 인물이나 기관에 유출하지 않았는지도 불투명한 상황이다. 실제로 일각에서는 쿠팡의 개인 정보 자료가 거래되고 있다는 제보도 나와 불안감은 여전한 상태다. 결국 사실관계는 일부 확인됐지만 사건의 전모는 극히 제한적으로만 공개돼 그동안 팽배해진 국민 불안감과 사회적 혼란을 해소하기에는 부족한 셈이다.

발표 배경 놓고도 정부와 '충돌'

실제로 이번 사건 이후 국회 현안질의와 청문회까지 열렸으며, 대통령실 역시 이날 '쿠팡대책 장관회의'를 긴급 소집할 만큼 국가적 이슈로 번졌다. 여기에 오는 30∼31일 이틀 동안 국회 과학기술정보방송통신위·정무위·국토교통위·기후에너지환경노동위·기획재정위·외교통일위 등 총 6개 상임위가 참여하는 대규모 연석 청문회도 열린다. 쿠팡 사태 이후 대형 플랫폼의 개인정보 보호 체계 전반에 논의가 이뤄지는 것이다.

특히 실질적 결정권자인 창업주 김범석 쿠팡 Inc 의장이 이번 사태 이후 국회의 출석 요구에도 불응할 뿐만 아니라 외부에 전혀 모습을 드러내지 않은 채 입장 발표도 하지 않으면서 비판이 집중되고 있다. 게다가 이번 사태를 책임지겠다던 박대준 전 대표가 지난 10일 국회 청문회 직전 사임하고, 그 자리에 해롤드 로저스 쿠팡 Inc. 최고관리책임자(CAO) 겸 법무 총괄을 임시 대표로 선임한 것을 두고도 논란이 일고 있다. 정치권에서는 책임을 회피하기 위해 고의로 한국말을 못 하는 미국인을 대표로 내세운 것 아니냐는 의혹도 제기되고 있다.

민관합동조사단이 가동 중임에도 휴일에 전격적으로 쿠팡 단독으로 발표한 배경을 놓고도 논란이 일고 있다. 이와 관련 쿠팡은 여러 차례 검증으로 진술과 조사 내용이 일치한다는 것을 확인한 만큼 휴일이지만 하루라도 빨리 고객 불안을 덜기 위해 발표했다는 입장인 것으로 전해졌다.

그러나 과학기술정보통신부는 쿠팡의 발표 직후 "일방적 주장"이라며 "민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 데 대해 쿠팡에 강력히 항의했다"고 밝혔다.

보상 등 과제 산적

이렇게 정보 유출 용의자를 특정했다고는 하지만 여전히 밝혀야 할 의문이 산적하고, 개인 정보 보호 관리 체계에 대한 점검은 계속돼야 하는 상황이다. 쿠팡 전직 직원이 퇴사 후에도 쿠팡의 서버에 접속하고, 더구나 수개월에 걸쳐 비인가 접근을 했었지만 이에 대한 경고 시스템이 작동하지 않은 허술한 관리 체계도 문제로 지적되고 있다.

정보 유출에 대한 보상 문제 역시 풀어야 할 과제다. 쿠팡은 이날 "이번 사태로 인한 고객 보상 방안을 조만간 별도로 발표할 예정"이라고 밝혔다.

안혜원 한경닷컴 기자 anhw@hankyung.com