유출자 따로 만난 쿠팡, 왜?‥"유출 정보 모두 파기, 장치도 회수" 주장

다음

 

네이버

 

[뉴스데스크]

◀ 앵커 ▶

쿠팡이 오늘 갑자기 개인정보 유출 사태에 대해 셀프조사를 했다며, 기습적으로 조사결과를 발표했습니다.

쿠팡이 사태를 일으켜서 우리 정부가 민관합동으로 조사를 하고, 경찰도 수사 중인데, 여기에 협조하고 기다리는 게 아니라, 수사와 조사를 받을 장본인이 셀프로 유출자를 특정하고, 진술을 받고, 버려둔 증거도 찾아냈다면서 결론까지 셀프로 내버린 식인데요.

오늘 발표에 대해서도 쿠팡은 우리 정부와 협의조차 하지 않았다고 합니다.

송재원 기자가 보도합니다.

◀ 리포트 ▶

쿠팡은 포렌식을 통해 유출자를 특정해 유출 경위에 대한 진술을 받았다고 밝혔습니다.

유출자인 전직 직원이 중국인으로 알려져 있는 만큼 쿠팡 측이 따로 해외에서 이 직원을 만난 것으로 보입니다.

쿠팡에 따르면 해당 직원은 재직 중에 취득한 내부 보안키를 사용해 3300만 명 고객 정보에 접근했고, 이 중 3천여 개 계정의 고객정보를 저장했습니다.

유출 정보에는 공동현관 출입번호 2천여 개도 있었습니다.

유출자는 언론 보도가 나오자, 불안감을 느껴 증거 인멸을 시도했다고 쿠팡에 진술했습니다.

해킹에 사용한 노트북을 파손한 뒤, 쿠팡 로고가 있는 가방에 넣고 벽돌을 채워 인근 하천에 버렸다는 겁니다.

쿠팡은 잠수부를 동원해 노트북을 발견했고, 범행에 활용된 모든 기기를 회수했다고 주장했습니다.

쿠팡은 고객 개인정보는 유출자의 기기에만 저장돼 있었고, 제3자 등 외부로 전송되지는 않았다고 강조했습니다.

유출 정보를 활용한 2차 피해는 없다는 주장입니다.

쿠팡은 엄격한 포렌식 조사를 위해 전 세계 최상위 3개 보안업체에 조사를 맡겼고, 유출자의 진술과 조사 결과가 일치한다고 강조했습니다. 

하지만 왜 경찰이나 민관합동조사단과의 사전 협의 없이 유출자를 따로 만났는지, 유출자에 대해 어떤 조치를 취할 지 등에 대해서는 입장을 밝히지 않았습니다.

이에 대해 과학기술정보통신부는 "조사 중인 사안을 일방적으로 발표한 것에 대해 쿠팡에 항의했다"며 "쿠팡의 주장은 민관합동조사단에 의해 확인되지 않은 것"이라고 밝혔습니다.

MBC뉴스 송재원입니다.

영상편집 : 장예은

 

송재원 기자(jwon@mbc.co.kr)

---

이번 쿠팡의 고객 정보 유출 사태는 전직 중국인 직원에 의해 발생한 것으로 알려진 가운데, 쿠팡이 수사당국과의 사전 협의 없이 자체적으로 유출자를 특정하고 정보 회수 및 자백을 받아냈다는 점이 큰 논란을 낳고 있습니다.

 

쿠팡이 직접 가해자를 찾아가 자료를 회수하고 자백까지 받아냈다는 것인데.... 쿠팡이 사법 절차에 대한 오해를 하고 있거나, 이를 의도적으로 회피하려는 것 아니냐는 의구심을 낳고 있습니다.

 

개인정보를 빼돌린 행위는 명백히 범죄행위입니다. 개인정보 보호법 위반이죠.

 

참고링크 : 개인정보 보호법

 

이에.. 수사당국이 해당 사실을 수사하고.. 피의자에 대해 기소 및 재판으로 법적조치를 취해야 합니다. 

 

그런데... 쿠팡이 갑자기 위의 보도내용처럼.. 피의자에게 찾아가 자백을 받고 자료를 회수했다고 발표를 합니다.

 

그런데... 정작 이 사실을 수사중인 수사당국에는 알리지 않고 일방적으로 발표했습니다.

 

쿠팡은 왜 이런 행위를 한 것일까요.. 고객의 정보를 탈취당한 기업으로서.. 해당 정보를 회수하는건 당연한 행위이긴 합니다.

 

그런데... 그렇게 데이터를 회수하고 자백까지 받아낸 것을... 수사당국에는 미리 알리지도 않고 일방적으로 발표했습니다.

 

무엇을 노릴려 저런 것일까요?

 

개인적으로 생각해보건대... 쿠팡은 아주 큰 착각을 하는 것 같습니다. 

 

데이터를 회수하고 자백까지 받아내면... 이는 수사당국이 사건을 불기소 처분하거나 수사를 종결할 것으로 기대한 것이라는 해석이 가능합니다.

 

혹은 자체적으로 회수해서 이용자의 개인정보 유출을 막았다고.. 미국과 미국 증시에 어필을 하기 위함으로 저런 행위를 한 것 아닐까 의심합니다. 그도 그럴게.. 쿠팡은 미국회사이고.. 미국 증시에 상장된 회사입니다. 쿠팡에 투자하는 쪽은 미국쪽이니.. 그쪽이 중요하지... 정작 돈줄인 한국과 한국인들은 그리 중요시 여기지는 않는듯 하죠.

 

그외 고객의 정보를 회수했다며... 추가 유출이 없어 고객의 정보 유출 우려는 안해도 된다는 것을 주요 가입자인 한국인들에게 밝히며.. 이후 수사당국의 수사를 중단시킬려 하는거 아닐까 의심합니다. 피해가 발생하지 않았다면... 이는 미수로 그친 사건이 되겠죠..

 

참고링크 : 검찰사건사무규칙

 

미수에 그친 사례라면 가해자는 미수범으로서 처벌을 받겠지만... 개인정보를 관리할 주체인 쿠팡으로선 최종적으로 유출이 되지 않았다는 논리로 이는 쿠팡이 정보 유출에 대한 기업의 책임을 회피하려는 시도로 비쳐질 수 있습니다. 다만 수사를 하는 쪽에서 판단을 내려야 하는 부분이죠.

 

그런데 말이죠... 이런 쿠팡의 발표를... 과연 쿠팡 가입자들이 믿겠냐는 거죠... 더욱이 수사당국을 무시한 채.. 일방적으로 발표하였습니다.

 

일단 쿠팡은 이번 유출 사태에 책임이 없느냐...

 

개인정보 보호법 4장.. 제29조와 제34조를 위반한 책임을 수사당국과 한국정부가 물을 것입니다. 

제29조(안전조치의무) 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2015. 7. 24.>

제34조(개인정보 유출 등의 통지ㆍ신고) ① 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다. <개정 2023. 3. 14.>
1. 유출등이 된 개인정보의 항목
2. 유출등이 된 시점과 그 경위
3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보
4. 개인정보처리자의 대응조치 및 피해 구제절차
5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

② 개인정보처리자는 개인정보가 유출등이 된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다. <개정 2023. 3. 14.>

③ 개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 보호위원회 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다. <개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 2. 4., 2023. 3. 14.>

④ 제1항에 따른 유출등의 통지 및 제3항에 따른 유출등의 신고의 시기, 방법, 절차 등에 필요한 사항은 대통령령으로 정한다. <개정 2023. 3. 14.> [제목개정 2023. 3. 14.]

지금까지 알려진.. 쿠팡 가입자 개인정보 유출 방법은.. 현직도 아니고 전직 직원이 직원만이 가지는 키를 가지고 데이터를 복제.. 유출한 것으로 알려져 있습니다.

 

참고뉴스 : [단독] 쿠팡 3370만명 고객정보 털렸다…"내부 직원이 유출"

 

그렇기에 처벌을 받아야 할 위치에 있는 쿠팡인데... 미수로 그친 사례로 만들어버린다면.. 아마도 쿠팡 자체에서 미수 사례로.. 쿠팡은 잘못이 없다는 식으로 주장하며 책임회피를 시도할려 한거 아닐까 의심이 들죠...

 

그리고 이를 미국쪽에 알려.. 알아서 해결했으니 수사당국과 한국정부는 더이상 쿠팡을 괴롭히지 말라며 압박을 가하도록 동원할 가능성도 있습니다. 이미 실제로도 미국 정계에서 한국정부에 압박을 가하는 정황은 나타났죠..

 

[세상논란거리/사회] - "한국 대통령이 지시"..'배신 당했다'는 미국 같은 날 한꺼번에

 

결국.. 책임회피와 쿠팡 주가에 영향을 받는걸 막기 위해 한 행위로 보이는데... 이는 오히려 한국정부와 한국의 수사당국을 무시한 처사가 되었습니다.

 

사실.. 한국의 기업이라면 수사당국의 눈치를 보고.. 위의 보도에 나온.. 쿠팡이 한 행위를 한국기업이 했다 하더라도... 이를 수사당국에 밝히고 수사에 협조했다고 밝히는게 보통입니다.

 

이는 대한민국이 정하는 법을 기업이 준수하고 있다는 걸 밝히는 것으로 이를 통해 준법행위를 한국의 국민들에게 어필하며 신뢰성을 회복하기 위함이죠.

 

그런데... 쿠팡은 다른 기업들의 사례는 무시하고.. 일방적으로 발표합니다. 더욱이 유출되었다는 회원 개인정보 규모도 축소합니다. 자백도 했다고 발표합니다.

 

쿠팡이 수사당국일까요? 멋대로 결론까지 내버리면.. 과연 수사당국은 알았다며 수사를 끝내고 불기소처분이라도 내릴까요? 아니겠죠. 기소를 할지 여부는 오롯이 수사당국이 할 수 있는 권한이고.. 처벌을 결정하는건 사법당국이 결정할 수 있는 권한입니다.

 

위의 보도에 나온 쿠팡의 행적은.. 오히려 대한민국 수사당국을 자극한 꼴이 되었다 생각됩니다. 요새 수사당국의 분위기는 매우 민감합니다. 특히 검찰쪽은 터지기 일보 직전 아닐까 싶도록 불만이 쌓여 있죠.. 

 

본인들이 회수하고.. 자백까지 받아냈다며 발표를 하면.. 한국인들이 쿠팡을 이전처럼 믿고 다시 이용하리라 생각하고.. 개인정보 유출에 대한 책임을 묻지 않거나 감경하리라 기대한 것 아닐까 싶습니다.

 

그런데... 과연 쿠팡의 저 발표를 믿는 한국 국민들은 얼마나 될진 의문입니다. 수사당국도 아닌데 증거물을 회수하고 자백까지 받아냈다고 발표까지 했으니... 그걸 곧이곧대로 믿는 이들은 적으리라 예상합니다. 오히려 일부는 가해자에게 쿠팡측이 진술의 일부에 대해 말을 맞추거나 사법당국의 처벌을 받은 뒤에 보상을 준다는 모종의 거래를 하지 않았겠냐 의심까지 하지 않겠나.. 예상이 됩니다.

 

쿠팡은 자신들이 한 행동이 자신들에게 올 처벌을 막고.. 주가하락을 막고.. 떠나간 고객이 돌아오는 최상의 선택이라 생각하지 않았을까 싶은데... 이것저것 따지고 보니... 오히려 쿠팡은 한국철수를 생각하게 만드는 계기를 스스로 만든 것으로 보입니다.

 

결론적으로, 쿠팡의 이번 일방적인 발표는 단기적인 책임 회피나 주가 방어에는 도움이 될지 모르나, 장기적으로는 대한민국 사법기관과 국민의 신뢰를 잃는 '자충수'가 될 가능성이 커 보입니다. 이러한 행태는 결국 기업의 존속 자체를 위협할 수 있는 중요한 변수가 될 것입니다.