쿠팡이 최근 고객 개인정보 유출 사태의 범인인 전직 직원을 특정하고, 범행 기기 일체를 회수했다고 25일 밝혔다. 다만 해당 사안을 조사 중인 정부 민관합동조사단과 사전 소통 없이 일방적으로 이같은 내용을 공개하면서 정부와 정면충돌하는 모습을 보여 의문을 낳고 있다.

쿠팡은 이날 보도자료를 통해 “자체 포렌식 조사와 가해자 자백에 따르면 A씨는 재직 시절 취득한 내부 보안 키를 이용해 고객 3300만명의 정보에 접근했으나, 실제 기기에 저장한 것은 약 3000개의 계정 정보에 한정된 것으로 파악됐다”고 했다.

쿠팡 조사에 따르면 유출된 정보에는 이름, 주소, 전화번호 및 2609건의 공동현관 출입번호가 포함됐다. 하지만 결제 정보나 로그인 비밀번호, 개인통관고유번호 등 핵심 민감 정보는 제외됐다.

특히 A씨는 사태에 대한 언론보도를 접한 후 저장했던 정보를 모두 삭제했으며, 고객 정보 중 제3자에게 전송된 데이터는 없는 것으로 조사됐다. 이후 범행 은폐를 위해 정보 유출에 사용한 개인용 노트북을 하천에 투기했으나, 쿠팡 측은 잠수부를 동원해 해당 기기를 회수하고 포렌식을 통해 외부 전송 흔적이 없음을 확인했다.

쿠팡은 글로벌 사이버 보안 업체인 맨디언트, 팔로알토 네트웍스, 언스트앤영을 통해 조사를 진행하고 유출자의 진술도 검증했다. 이후 지난 17일 확보된 증거와 진술서를 정부 기관에 제출했다. 쿠팡은 “현재까지 조사 결과는 유출자의 진술 내용과 부합하며, 유출자의 진술과 모순되는 증거가 발견되지 않았다”고 강조했다.

쿠팡은 이날 “최근 발생한 개인정보 유출이 고객들에게 얼마나 큰 우려를 불러일으켰는지 책임을 통감한다”며 “쿠팡 개인정보 유출 사태로 인해 수많은 국민들이 걱정과 불편을 겪게 된 것에 대해 진심으로 사과드린다”라고 했다.

그러면서 “향후 진행될 조사 경과에 따라 지속적으로 안내를 할 예정으로, 이번 사태로 인한 고객 보상 방안을 조만간 별도로 발표할 것”이라고 했다.

정부 “쿠팡 일방적 주장…강력 항의”다만 이날 쿠팡의 발표에 대해 과학기술정보통신부는 “일방적 주장”이라고 즉각 반박했다. 과기정통부는 이날 “민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 데 대해 쿠팡에 강력히 항의했다”며 “현재 민관합동조사단에서 정보유출 종류 및 규모, 유출경위 등에 대해 면밀히 조사 중에 있는 사항으로, 쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았다”고 덧붙였다.

개인정보 유출자의 진술 확보 등을 어떤 이유로 경찰이나 민관합동조사단이 아닌 쿠팡이 수행하게 됐는지는 확인되지 않았다. 쿠팡은 조사 주체에 대한 질문에 “현재로서는 제공된 정보 외에는 확인할 수 없다”고 답했다. 향후 쿠팡의 발표에 대해 경찰이나 민관합동조사단 등의 검증도 필요한 상황이다.

쿠팡은 실질 피해 규모가 알려진 것보다 작다는 이번 조사 결과를 전면에 내세워 ‘사상 초유의 개인정보 유출’이란 거센 비판과 책임론의 화살로부터 벗어나려는 모습이다. 쿠팡은 사태 이후 창업자인 김범석 쿠팡Inc 의장의 청문회 불출석을 비롯한 소극적 대응에 ‘괘씸죄’가 더해지면서 정부와 국회 등으로부터 집중포화를 받고 있다.

업계에서는 이번 발표를 향후 전개될 법적·행정적 리스크를 최소화하기 위한 전략적 포석으로 풀이하고 있다. 실제 유출 규모를 3000여건으로 한정하고 외부 전송이 없었음을 포렌식으로 입증하면서 소비자와 주주 등이 제기한 집단 소송에서 손해 배상금 산정 기준을 대폭 낮추는 법적 방어막을 구축할 수 있다는 해석이다.