“쿠팡 3천300만건 유출 재확인”…배경훈, 쿠팡 자체발표 “악의적 의도” 직격
대규모 개인정보 유출 의혹을 둘러싸고 정부와 쿠팡이 정면 충돌했다. 쿠팡 침해사고의 유출 규모와 경위를 둘러싼 공방이 이어지면서 정치권까지 가세해 후폭풍이 커지고 있다.
30일 국회에서 열린 쿠팡 침해사고 및 개인정보 유출, 불공정 거래, 노동환경 실태 파악과 재발 방지 대책 마련을 위한 청문회에서 배경훈 부총리 겸 과학기술정보통신부 장관은 쿠팡의 개인정보 유출 범위를 최소 3천300만 건 이상으로 재확인했다. 그는 쿠팡 측이 자체 조사 결과라며 3천건 유출만 인정한 데 대해 강하게 문제를 제기했다.
배 부총리는 청문회에서 쿠팡 측 설명과 배치되는 내용을 조목조목 제시했다. 배 부총리는 쿠팡 측이 전 직원을 조사해 계정 3천개만 확인했고 나머지는 삭제했다고 밝힌 점을 언급하며 "동의할 수 없다"고 말했다. 이어 "3천300만 건 이상의 이름, 이메일이 유출됐고 개인정보보호위원회, 경찰청, 민관 합동 조사단에서 이 사실을 확인했다"고 강조했다. 정부 합동 조사 결과가 쿠팡 자체 수치와는 전혀 다른 양상을 보인다고 주장한 셈이다.
그는 유출 범위가 이메일에 그치지 않는다고도 지적했다. 배 부총리는 "추가로 배송지 주소, 주문 내용도 유출한 것으로 본다"며 "쿠팡 측이 합의되지 않은 결과를 사전에 발표했다는 것에 대해 심각한 우려를 표하고 싶다. 지극히 악의적인 의도가 있다고 생각한다"고 말했다. 쿠팡이 정부와 조사 내용이 정리되기도 전에 축소된 자체 수치를 내놓았고, 그 배경에 고의성이 있다고 본다는 취지다.
배 부총리는 유출 방식에 대해서도 구체적으로 설명했다. 그는 "용의자가 쿠팡 서버에 접속해서 마음껏 고객 정보를 확인하고 필요한 정보를 다운로드한 것"이라며 "쿠팡은 용의자 노트북, 컴퓨터 저장 장치 총 4개 중 노트북을 압수해서 그중 확인된 3천 건을 유출된 정보라고 이야기하는 것"이라고 비판했다. 일부 저장 장치에서만 확인된 분량만을 근거 삼아 전체 피해를 축소했다는 주장이다.
또한 배 부총리는 유출 정보의 저장 경로가 노트북과 PC에 한정되지 않을 수 있다고 경고했다. 그는 "용의자가 노트북, 컴퓨터 외에도 클라우드에 정보를 올렸을 수도 있으며 이러한 모든 분석을 해야 한다"고 말했다. 디지털 저장 매체 전반에 대한 포렌식과 분석이 마무리돼야만 실제 유출 규모가 드러난다는 점을 거듭 부각한 것이다.
쿠팡 측이 국가정보원이 개입한 가운데 정부 지시에 따라 자체 조사를 진행했다고 주장한 점도 청문회 쟁점으로 떠올랐다. 배 부총리는 국정원 역할 논란과 관련해 "노트북 등을 이송하는 과정에서 유실, 국제적인 사이버 공격 배후 사태로 활용되는 것에 대한 우려 때문에 이송 과정을 협조한 것으로 안다"고 설명했다. 그러면서 "쿠팡에 지시할 수 있는 것은 플랫폼 주무 부서인 과기정통부이지 국정원 지시 권한은 없다"고 선을 그었다.
류제명 과학기술정보통신부 제2차관도 같은 취지의 입장을 밝혔다. 류 차관은 "정부에서 어떤 기관도 쿠팡의 자체 조사를 지시하거나 개입한 적이 없음을 분명히 말씀드린다"고 말했다. 이에 따라 국정원이 쿠팡 조사에 직접 개입했다는 관측은 정부 공식 입장과는 거리가 있다는 점이 확인됐다.
야당은 쿠팡 유출 규모가 정부가 재확인한 수치보다 훨씬 크다고 주장하며 압박 수위를 높였다. 더불어민주당과 조국혁신당 소속 청문위원들은 청문회 도중 별도 성명을 통해 총 7억 건 이상 데이터가 유출됐다는 주장을 내놨다.
청문위원들은 쿠팡 개인정보 유출 사태의 용의자인 전 직원이 쿠팡에 보낸 경고 메일을 확보했다며, 그 내용에 유출 규모가 구체적으로 적시돼 있다고 밝혔다. 이들은 "배송주소 데이터가 1억2천만 건 이상, 주문 데이터가 무려 5억6천만 건 이상, 이메일 주소 데이터는 3천300만 건 이상 유출된 것으로 드러났다"고 말했다.
또한 해외 법인 피해 의혹도 제기했다. 청문위원들은 "이 직원은 일본·대만 쿠팡 애플리케이션과 웹사이트에서도 100만건 이상의 배송지 주소, 400만건 이상의 주문, 45만건 이상의 이메일 주소가 유출됐다고 밝혔다. 그러면서 유출 데이터가 계속 증가하고 있다고 주장했다"고 전했다. 한국뿐 아니라 일본과 대만 서비스에서도 정보가 빠져나갔을 수 있다는 문제 제기다.
해당 전 직원 진술의 신빙성에 대해서도 야당은 상당한 무게를 두는 분위기다. 청문위원들은 "이 직원이 내부고발자를 자처하며 금전적 요구 등이 아닌 데이터 유출 취약점에 대해 경고하기 위해 보낸 메일에서 거짓말을 했을 가능성은 작다고 판단한다"고 주장했다. 시스템 취약점 경고를 목적으로 한 이메일 내용인 만큼 과장 가능성이 낮고, 오히려 쿠팡 대응의 성실성이 도마에 올랐다는 인식이다.
국회 청문회에서는 쿠팡 책임론과 함께 정부의 관리·감독 체계 부실 여부도 도마에 올랐다. 여당은 사실관계 확인과 수사 진행 상황을 보며 신중한 입장을 취하는 가운데, 야당은 피해 범위와 정보보호 대책을 두고 연일 공세를 이어가는 구도다. 개인정보 유출 사태가 플랫폼 규제와 데이터 보호 법제 강화 논의로 번질 수 있다는 관측도 나온다.
국회는 향후 추가 자료 제출 요구와 추가 청문회 개최를 검토하고 있다. 정부와 수사기관도 디지털 포렌식과 국제 공조 수사를 병행하며 유출 규모와 책임 소재를 가리는 작업을 이어갈 방침이다. 정치권은 쿠팡 개인정보 유출 사태를 둘러싸고 재발 방지 대책의 실효성을 놓고 계속 공방을 벌일 전망이다.
