쿠팡 전 직원이 개인정보 3367만여 건을 유출했을 뿐만 아니라 배송지 목록도 1억4800만 여회나 조회했다는 민관합동조사 결과가 나왔다. 3000개가량의 고객 정보만 유출됐다는 쿠팡의 발표가 거짓으로 드러난 것이다. 하지만 쿠팡은 이와 관련, 사과는 하지 않은 채 한미 통상 갈등 문제로 끌고 가려는 행태를 보여 비난받고 있다.

쿠팡 전 직원이 개인정보 3367만 건을 유출했을 뿐만 아니라 배송지 목록도 1억4800만 여회나 조회했다는 조사가 나왔다.사진은 11일 서울 시내 한 쿠팡 센터의 모습.

과학기술정보통신부는 지난 10일 쿠팡 침해사고에 대한 민관합동조사단의 조사 결과를 발표했다. 유출 계정은 3367만 개, 배송지 목록 페이지 조회 횟수는 1억4800만여 회에 달했다. 가장 우려되는 부분은 규모가 처음 드러난 배송지 정보 피해다. 계정 소유자 본인뿐만 아니라 선물 용도로 저장한 지인 전화번호와 주소들이 포함돼 있어 최종 피해 규모는 가늠조차 할 수 없다. 공동현관 비밀번호가 담긴 배송목록 수정 페이지도 5만 번 넘게 노출됐다. 결제 정보는 유출되지 않았다고 하나, 2차 피해가 벌어졌는지 불확실하다. 이런 정보들이 보이스피싱 범죄에 활용된다면 큰 피해로 이어질 우려가 크다.

이번 조사 결과는 애초 알려진 것보다 정보 유출 규모가 커 충격적이다. 쿠팡은 내부 보안 관리 전반의 취약성이 드러났다는 비판을 받아 마땅하다. 퇴직자는 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 이용자 계정에 접속해 정보를 무단으로 유출했다. 쿠팡은 모의 해킹 실험으로 전자출입증 기반 인증 체계의 취약점을 알았으나 해결책을 찾지 않은 것으로 알려졌다. 전 직원이 빼돌린 서명키를 관리하는 체계 역시 허술했다. 쿠팡이 서버에 접근하는 전자출입증의 진위를 가렸더라면 사고를 막을 수 있었다. 쿠팡은 지난해 12월 사건 직후 “유출자가 3300만 개의 기본적인 고객 정보에 접근했으나 이 중 약 3000개 계정의 고객 정보만 저장했다”고 밝혔다. 정부의 첫 공식 조사 결과 발표에 쿠팡은 약 3000건 유출이라는 자체 조사가 맞다며 반박하고 있다. 나아가 한국 정부가 피해를 부풀려 기업을 탄압하고 있다며 미국 정계 로비를 통해 한국 정부에 압박을 가하고 있다. 쿠팡 관련 사안이 한미간 지정학적 이슈로 전환됐다는 외신 분석도 나왔다. 실제로 미국 하원 사법위원회는 지난 5일 한국 규제 당국의 조치가 미국 기술 기업을 차별했다고 판단, 해롤드 로저스 쿠팡 임시대표에게 청문회 소환장을 보낸 바 있다. 정부는 외교 채널을 통해 미 정부와 소통, 불필요한 오해를 해소하고 분쟁의 빌미를 주지 않도록 면밀히 대응해야 하겠다. 쿠팡 사태에 대한 정부 대응을 두고 공방만 벌일게 아니라 대책 마련에 힘을 보태는 게 정치권 역할이다.

플랫폼 기업의 개인정보 보호 책임은 일반 기업과 다르다. 이용자 수가 많고 일상 서비스와 관련된 만큼 보안은 기본 요건이다. 정부는 개인정보 보호와 소비자 피해 재발 방지를 위한 추가 조치와 제도 보완책을 마련해야 할 것이다.