[천지인뉴스] 수사 전 ‘자체 결론’부터 발표한 쿠팡…개인정보 유출 책임 축소·꼬리 자르기 논란

정범규 기자

고객 개인정보 유출 사태의 당사자인 쿠팡이 수사기관 조사에 앞서 전직 직원 단독 범행이라는 자체 결론을 공개하며 책임을 개인에게 전가했다.
3300만명 고객 정보 접근 가능성이라는 중대 사안에도 불구하고 외부 유출은 없었다는 회사 측 설명이 사실상 면피용 발표라는 비판이 나온다.
재발 방지보다 기업 이미지 관리에 급급한 대응이라는 지적과 함께 독립적 수사와 제도적 검증 필요성이 커지고 있다.

고객 개인정보 대량 유출 의혹으로 사회적 파장을 일으킨 쿠팡이 수사기관의 본격적인 조사도 시작되기 전에 사건의 전모를 스스로 규정하는 입장문을 내놓으면서 ‘꼬리 자르기식 책임 회피’라는 비판에 직면했다. 쿠팡은 25일 입장문을 통해 고객 정보에 무단 접근한 전직 직원을 특정했고, 해당 인물이 사용한 노트북과 하드 드라이브 등을 모두 회수해 확보했다고 밝혔다.

쿠팡의 설명에 따르면 유출자는 재직 당시 취득한 내부 보안키를 이용해 이메일, 주소, 전화번호 등 고객 개인정보에 접근했다. 쿠팡은 이 전직 직원이 최대 3300만개에 달하는 고객 정보에 접근할 수 있었지만 실제로 저장한 정보는 약 3000개 계정에 그쳤고, 외부 유출 정황은 확인되지 않았다고 강조했다. 결제정보나 로그인 정보, 개인통관번호 등 민감 정보에는 접근하지 않았다는 점도 반복적으로 부각했다.

그러나 이러한 해명은 사건의 중대성에 비해 지나치게 빠르고 단정적이라는 지적을 피하기 어렵다. 개인정보 유출은 접근 자체만으로도 심각한 범죄 행위이자 기업의 관리 책임이 수반되는 사안인데, 쿠팡은 수사기관의 객관적 판단이 나오기도 전에 유출자의 진술을 근거로 피해 범위를 축소하는 데 주력하는 모습이다.

쿠팡은 유출자가 개인용 데스크톱 PC와 맥북 에어 노트북을 이용해 일부 고객 정보를 저장했으며, 언론 보도를 접한 뒤 해당 정보를 삭제했다고 진술했다고 밝혔다. 또 공동현관 출입번호 2609개가 저장돼 있었지만 외부 전송은 없었다고 설명했다. 쿠팡은 현재까지의 포렌식 조사 결과가 유출자의 진술과 부합하며 모순되는 증거는 발견되지 않았다고 덧붙였다.

문제는 이 같은 발표가 사실상 회사 내부 조사와 당사자의 자백에만 의존하고 있다는 점이다. 개인정보 보호와 정보보안 체계의 허점, 내부 통제 실패라는 구조적 문제는 뒷전으로 밀리고, 모든 책임은 이미 회사를 떠난 개인에게 집중되는 양상이다.

특히 유출자가 증거 은폐를 시도했다는 대목은 사건의 심각성을 오히려 키운다. 쿠팡에 따르면 유출자는 노트북을 물리적으로 파손한 뒤 쿠팡 로고가 찍힌 에코백에 벽돌과 함께 넣어 인근 하천에 투기했다고 진술했다. 쿠팡은 잠수부를 동원해 해당 노트북을 회수했고, 일련번호가 유출자의 아이클라우드 계정과 일치한다고 밝혔다. 그럼에도 이러한 범죄 행위가 발생하는 동안 회사의 보안 감시 체계가 제대로 작동했는지에 대한 설명은 찾아보기 어렵다.

시민사회와 소비자 단체에서는 쿠팡의 이번 발표가 책임 있는 해명이라기보다 여론 선제 차단을 위한 일방적 주장에 가깝다고 지적한다. 개인정보 보호는 기업의 핵심 책무이며, 접근 권한 관리와 내부 통제 실패는 기업 차원의 문제라는 점에서 전직 직원 한 명의 일탈로 축소할 수 없다는 비판이다.

수사기관의 철저한 조사와 독립적인 검증 없이 기업 스스로 결론을 내리고 이를 공개하는 방식은 오히려 불신만 키울 수 있다. 이번 사안은 단순한 내부자 범죄를 넘어 대형 플랫폼 기업의 정보보안 책임과 관리 체계를 전면적으로 점검해야 할 계기라는 점에서, 쿠팡의 섣부른 ‘자체 결론’ 발표는 부적절했다는 평가가 나온다.