이른바 ‘한국의 아마존’을 표방하며 뉴욕 증시에 화려하게 입성한 쿠팡이 사실상 전국민의 개인정보를 외부로 유출하며 창사 15년 만에 최대 위기를 맞았다. 고객 정보가 이미 상반기 때부터 탈취당하는데도 5개월이나 이를 몰랐다고 해명해 논란이 더 커지는 분위기다. 이런 가운데 쿠팡의 전·현직 핵심 임원들은 사고를 관계 당국에 신고하기 직전 보유 주식을 수십억 원씩 현금화해 눈총을 받고 있다. 사고를 인지하기 전이었다지만, 그 시점이 불과 1~8일 전이라는 점에서 묘하다는 지적이 나온다. 자칫 잘못하면 사고를 미리 알고 주가 하락부터 생각해 돈부터 챙긴 게 아니냐는 의심을 살 수 있는 지점인 까닭이다. 여기에 쿠팡 창업주인 김범석 미국 쿠팡Inc 이사회 의장까지 미국 국적 소유자라는 이유로 얼굴도 내비치지 않고 있어 국민들의 공분을 사고 있다. 월가에서는 다만 이번 사태로 인한 쿠팡의 주가 하락폭은 제한적일 것으로 보고 있다. 한국 국민들의 개인정보가 통신, 포털 서비스 등 여러 기업들을 통해 이미 수 차례 유출된 데다 한국의 전자상거래(e커머스) 시장에서 쿠팡을 대체할 정도의 경쟁자는 없다는 이유에서다.
현관 비밀번호까지 3379만 명 고객 정보 유출…사실상 한국 전국민 다 털려
지난달 29일 쿠팡은 돌연 “고객 계정 약 3379만 개가 무단으로 ‘노출’된 것으로 확인됐다”고 공지했다. 쿠팡이 대다수 국민들이 이용하는 압도적인 e커머스 강자인 점을 감안하면 이전 기업들의 정보 유출 사고 때와는 차원이 다른 규모의 사건이었다. 이에 과학기술정보통신부는 민관합동조사단을 꾸려 사고 원인 분석에 나섰고, 서울경찰청 사이버수사대도 수사에 착수했다.
쿠팡은 고객 이름과 e메일·전화번호·주소·주문 정보만 유출됐고, 결제 정보와 신용카드 번호는 포함되지 않았다고 발표했다. 그러면서 “현재까지 조사한 바에 따르면 (누군가) 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다”고 설명했다. 고객 정보 탈취 시도가 6월부터 시작됐는데 5개월 뒤에야 이 사실을 알린 것이다. 뒤늦게 알려진 사실이지만 유출된 정보에는 고객들의 공동 현관 비밀번호도 있었다.
쿠팡은 이 사고를 지난달 18일 인지했다면서 같은 달 20일과 29일 각각 관련 내용을 개인정보보호위원회에 신고했다. 쿠팡은 20일만 해도 정보 유출 피해 고객 계정이 4500여 개라고 발표했다가 29일 이를 3379만 개로 늘려 공지했다. 사고 내용도 제대로 파악하지 못했다는 의심이 드는 대목이다.
게다가 쿠팡은 3분기 실적 발표 당시 상품 구매 이력이 있는 활성 고객 수가 2470만 명이라고 알렸는데 유출된 인원은 이보다 훨씬 많았다. 가입만 하고 서비스를 이용하지 않던 사람들의 정보까지 외부에 다 내보낸 셈이다. 쿠팡의 이번 고객 정보 유출 규모는 개인정보보호위에서 역대 최대 과징금인 1348억 원을 부과받은 SK텔레콤(017670)의 해킹 사고 때의 약 2324만 명보다도 1000만 명 이상 많았다. 지난 2011년 약 3500만 명이 정보를 해킹 당한 싸이월드·네이트 사례도 뛰어넘었다. 한국 국민들은 올 9월 정보 유출 사고를 겪은 롯데카드, KT(030200) 등에 이어 이제 쿠팡 서비스까지 안심하고 쓸 수 없게 되자 큰 충격에 빠졌다.
이 사건은 쿠팡에서 근무했던 중국 국적자의 소행이라는 의혹도 제기됐다. 용의자로 거론된 중국 직원은 쿠팡에서 나와 한국을 떠난 것으로 알려졌다. 앞서 쿠팡은 지난달 25일 서울경찰청 사이버수사대에 고소장을 내면서 피고소인을 ‘성명불상자’로 기재했다. 쿠팡은 또 같은 달 20일 입장문을 통해 “고객 개인정보가 비인가 조회된 것으로 확인됐다”며 “쿠팡 시스템과 내부망에 외부에서 침입한 흔적은 없는 것으로 확인했다”고 밝혔다. 쿠팡의 주장이 맞는다면, 정보는 내부자가 빼돌렸을 가능성이 크다.
쿠팡 정보 유출 사건이 사회 문제로 비화되자 정부도 즉각 대책 회의에 나섰다. 배경훈 과학기술부총리 겸 과학기술정보통신부 장관은 30일 정부서울청사에서 관계 부처 긴급 대책회의를 열고 “국민들이 많이 이용하는 플랫폼 회사까지 침해 사고, 개인정보 유출이 발생하게 돼 송구하다”고 말했다.
박대준 쿠팡 대표도 이날 비공개 정부 회의에 참석하면서 취재진과 만나 “쿠팡 고객들과 국민들에게 심려를 끼쳐드려 너무 죄송한 말씀과 사과의 말씀을 드린다”며 이례적으로 고개를 숙였다. 박 대표는 피해자 보상과 관련한 질문에는 “지금은 피해 범위와 유출된 내용을 명확하게 확정하는 게 우선”이라며 “그 다음은 재발 방지 대책 수립이 급하고, 이런 부분이 확정되면 피해에 대해 합리적인 방안을 성실하게 수행할 수 있을 것으로 보고 있다”고 한참을 에둘러 답변했다. 쿠팡은 이날 박 대표 명의의 사과문을 별도로 내고 “최근 사고에 유감을 표명한다”며 “국민 여러분께 큰 불편과 걱정을 끼쳐드려 진심으로 사과드린다”고 밝혔다.
내수 시장에서 돈 벌고 10년 만에 미국 상장…중국인 용의자설엔 “수사 중이라 말할 수 없어”
쿠팡에 정보 보안 문제가 터져 나온 것은 이번이 처음이 아니다. 쿠팡은 쿠팡이츠 배달원 개인정보 유출 사고 등으로 지난 2020년부터 세 차례나 과징금·과태료 처분을 받았다. 총 액수는 16억 원에 불과했지만 말이다.
그러다 이번에 더 충격적인 사건이 발생하자 일부 소비자들은 시민단체 등을 중심으로 집단소송과 서비스 탈퇴 움직임을 보였다. 30일에는 쿠팡 이용자 14명이 1인당 20만 원씩 위자료를 청구하는 내용의 소장을 서울중앙지방법원에 제출하기도 했다.
개인정보가 외부로 유출되면 스미싱·보이스피싱 범죄에 쓰이는 상황이 가장 큰 문제가 된다. 사칭 전화, 환불 안내, 배송을 빙자한 문자 등으로 고객 정보를 사기 범죄에 악용할 수 있다. 더욱이 최근에는 사기 범죄 수법도 인공지능(AI)의 발달에 따라 음성 조작 등 개인 맞춤형으로 진화하고 있다.
박 대표는 이달 2일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 현안 질의에서 용의자로 지목된 전직 중국 직원과 관련해 “인증 업무를 한 직원이 아니라 관련 시스템을 개발하는 개발자였다”고 해명했다. 박 대표는 “개발팀은 여러 명이 여러 역할을 맡는 식으로 구성된다”며 “피의자를 단수나 복수로 단정할 수는 없고 수사 중이라 말할 수도 없다”고 밝혔다. ‘유출과 노출 가운데 어느 게 맞느냐’는 국회의원 질문에는 “‘유출’이 맞다”고 답했다. 브랫 매티스 쿠팡 최고정보보안책임자(CISO)는 같은 자리에서 “공격자라고 생각되는 사람은 훔친 서명 키를 사용해서 다른 사용자인 것처럼 가장했다”며 “쿠팡 내부에 있는 개인 서명 키를 취득한 뒤 이를 인증해 가짜 토큰을 만들었다”고 설명했다.
쿠팡은 2010년 8월 30억 원을 출자받아 유통 스타트업으로 출범한 회사다. 초기에는 매출만 빠르게 늘고, 적자폭이 매년 수천억 원에 달한 탓에 위기설에 휩싸이기도 했다. 그럴 때마다 거액의 외부 투자를 받아 버티고 버텼다. 이후 국내 소비 시장이 e커머스 중심으로 대전환하는 과정에서 ‘로켓배송’ 등 혁신 서비스로 이마트(139480), 롯데쇼핑(023530) 등 유통 시장의 기존 터줏대감들을 하나둘 밀어내기 시작했다.
2021년 3월 11일(현지 시간)에는 국내 시장에서의 성과를 발판으로 뉴욕증권거래소(NYSE)에 상장하는 데에도 성공했다. 창업부터 뉴욕 증시 상장까지 고작 10년 남짓 밖에 걸리지 않았다. 쿠팡은 공모가를 35달러로 책정해 기업공개(IPO)로 34억 달러를 조달했다. 2022년에는 한국 e커머스 시장 점유율에서도 네이버(NAVER)를 제치고 1위에 올랐다. 2023년 1분기에는 이마트의 매출을 제쳤고, 그해 연간으로는 사상 처음 흑자를 달성했다.
쿠팡의 모기업이자 뉴욕증권거래소 상장사인 미국 쿠팡Inc의 지난해 매출은 40조 원보다도 많았다. 올해에는 3분기에만 약 13조 원의 매출을 거뒀다. 이번 사건만 아니었다면 올해 연간 매출은 50조 원을 가볍게 넘어설 것으로 관측됐다. 쿠팡이 현재 고용하는 직원 수도 5만 명이 넘는다.
미국인이라고 총수 의무도 피한 김범석 창업주…대정부 로비만 강화
창업주인 김범석 의장은 쿠팡이 사회적 질타를 받는 상황에서도 두문불출로 일관해 뒷말을 낳았다. 김 의장은 이 사건 전에도 택배 기사·물류센터 노동 문제, 쿠팡풀필먼트서비스(CFS) 퇴직금 미지급 사건 관련 수사 외압 의혹, 입점 수수료 논란 등이 잇따라 불거질 때에도 직접 모습을 드러내지 않았다. 수사 외압 의혹의 경우는 10월 국정감사를 통해 상설 특별검사 수사까지 받게 됐는데도 말이다. 쿠팡에서 택배·물류센터 일을 하다 숨진 노동자 수도 올해에만 8명에 이른다.
한국소비자단체협의회는 이에 대해 2일 국회에서 기자회견을 열고 “김 의장은 소비자에게 사죄하고 책임 있는 해결 방안을 마련하라”며 “개인정보 유출사건에 대한 사실 관계를 투명하게 공개하고 소비자 보호와 배상 대책을 수립하라”고 촉구했다.
김 의장이 책임을 계속 피할 수 있던 데에는 그가 미국 국적 소유자라는 점과 쿠팡의 본사가 미국에 있다는 점이 유리하게 작용했다. 쿠팡의 본사 소재지는 한국이 아니라 미국 캘리포니아주 마운틴뷰다.
1978년생으로 아직 40대인 김 의장은 서울 서초구(옛 강남구)에서 태어나 7살 때 대기업 주재원인 아버지를 따라 미국으로 간 뒤 시민권까지 취득한 인물이다. 미국에서 하버드대 정치학과를 나온 김 의장은 보스턴컨설팅그룹(BCG)에서 컨설턴트로 2년간 일하다 2010년 쿠팡을 창업했다. 미국인이지만 그는 자신이 태어난 모국에서 사업을 시작했다.
김 의장은 현재 주당 29배의 차등의결권을 가진 쿠팡의 클래스B 보통주를 8.8% 보유하고 있다. 김 의장의 지분율은 의결권 기준으로 73.7%에 달한다. 김 의장은 지난해 11월 보유하고 있던 클래스B 보통주를 클래스A 보통주 1500만 주로 전환해 처분하면서 4846억 원을 현금화하기도 했다. 이 과정에서 김 의장은 200만 주만 자선 기금에 증여하고 나머지 돈은 상당 부분 미국에서 사용해 논란을 빚었다. 쿠팡은 이를 두고 “기부금 배정과 운영 등 실무 진행을 위한 계정이 미국에 있다”며 “해당 계정을 통해 국내 의료기관과 종교단체 등에도 지속적으로 기부하고 있다”고 해명했다.
김 의장은 쿠팡을 실질적으로 지배하는데도 미국인이라는 이유로 공정거래위원회의 ‘기업 총수 지정’까지 피했다. 김 의장은 지금도 예외 조항을 통해 사익편취 금지, 친·인척 자료 제출 등 각종 의무를 피하고 있다. 당연히 해외 체류 등을 이유로 국회 청문회와 국정감사 등에도 나오지 않고 있다. 김 의장은 올 1월 21일 열린 쿠팡 심야 택배 근로 조건 관련 국회 환경노동위원회의 청문회에도 미국 워싱턴DC에서 열린 도널드 트럼프 대통령 취임식에 참석한다는 이유로 불참했다.
김 의장은 직접 논란에 맞서는 대신 정부·국회 출신 인사들을 대거 영입해 ‘로비’ 작업에 공을 들이는 식으로 대응했다. 쿠팡은 올해에만 정부·국회 출신 대관 인사를 18명이나 영입했다.
박 대표는 2일 국회 과학기술정보방송통신위 현안 질의에서 ‘김 의장이 사과할 의향은 없느냐’는 여야 위원들의 물음에 “한국 법인에서 벌어진 일이고, 내 책임 아래에서 벌어진 일이므로 내가 사과 말씀을 드린다”며 끝까지 김 의장은 엮이지 않게 했다. 반면 배 부총리는 같은 자리에서 “해당 기업의 최고 책임자가 입장을 명확히 밝히는 게 필요할 것 같다”고 꼬집었다.
쿠팡 임원들은 신고 직전 주식 현금화…李대통령 “징벌적손배제 현실화해야”
사태가 심각해지자 이재명 대통령도 2일 서울 용산 대통령실에서 주재한 국무회의에서 경고장을 던졌다. 이 대통령은 “피해 규모가 약 3400만 건으로 방대하기도 하지만, 처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍고 이 정도인가 싶다”며 “사고 원인을 조속하게 규명하고 엄중하게 책임을 물어야 한다”고 질타했다. 이 대통령은 이어 “인공지능(AI)·디지털 시대의 핵심 자산인 개인정보에 대한 보호를 소홀히 여기는 것은 잘못된 관행이고, 이번 기회에 인식을 완전히 바꿔야 한다”며 “관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서 달라”고 지시했다. 박 대표는 같은 날 국회 과학기술정보방송통신위 현안 질의에서 “책임을 회피할 생각은 없다”고 강조했다.
사회는 혼돈에 빠졌는데 사고를 정부 당국에 신고하기 직전에 미국 상장 주식을 팔아치운 쿠팡 임원들도 있었다. 2일 미국 증권거래위원회(SEC) 공시에 따르면 거랍 아난드 쿠팡 최고재무책임자(CFO)는 지난달 10일 쿠팡 주식 7만 5350주를 주당 29.0195달러에 매도했다고 신고했다. 매도 가액은 약 218만 6000달러(약 32억 원)에 달했다. 검색·추천 부문을 총괄하던 기술담당 임원 프라남 콜라리 전 쿠팡 부사장도 같은 달 17일 쿠팡 주식 2만 7388주를 팔았다고 신고했다. 매각 가치는 77만 2000달러(약 11억 3000만 원)였다. 콜라리 전 부사장은 지난달 14일 사임했다.
아난드 CFO와 콜라리 전 부사장의 쿠팡 주식 매도 시점은 공교롭게도 이 회사가 개인정보 유출 침해 사고 발생을 알게 됐다고 주장한 때와 그리 멀지 않았다. 쿠팡이 한국인터넷진흥원(KISA)에 제출한 침해 사고 신고서에 따르면 이 회사의 계정 정보에 무단 접근이 발생한 때는 한국 시간으로 11월 6일 오후 6시 38분이다. 이후 쿠팡이 이를 인지한 시점은 12일이나 지난 같은 달 18일 오후 10시 52분이었다. 6일부터 18일 사이에 정보 유출이 발생한 사실을 안 사람이 사내에 정말 아무도 없었는지 여부는 수사기관이 앞으로 정확히 밝혀야 할 부분이다.
쿠팡의 대형 사고는 뉴욕 증시 주가에도 즉각 반영됐다. 가뜩이나 공모가(35달러) 아래에서 움직이던 쿠팡 주가는 이달 1일 5.36% 급락해 26.65달러로 마감했다. 장중 한 때에는 낙폭이 7% 이상까지 커졌다. 2일에도 장 초반 1.5% 이상 내리다가 0.23% 겨우 반등했다.
쿠팡의 주가가 2일 선방한 것은 1일 나온 글로벌 최대 투자은행(IB) JP모건의 낙관적 보고서 덕분이었다. JP모건은 보고서에서 “쿠팡이 경쟁자가 없는 시장 지위를 누리고 있고 한국 고객이 데이터 유출에 대해 덜 민감해 보인다”며 “잠재적 고객의 이탈은 제한적일 것”이라고 예상했다. JP모건은 그러면서 쿠팡이 자발적 보상과 정부 과징금으로 상당 규모의 ‘일회성 손실’은 입을 수 있다고 예상했다.
이번 정보 유출 사태가 어떻게 흘러가느냐에 따라 이 회사의 기업가치도 상당한 영향을 받을 것으로 보인다. 김 의장을 비롯한 주요 관리자들의 도덕 불감증에 한국 국민들이 정서적으로 어떻게 반응하느냐도 관건이다.
※'트럼프 스톡커(Stocker)'는 도널드 트럼프 대통령 시대에 투자에 도움이 될 만한 미국의 시장·기업·정책·정치·외교 관련 현장 이야기와 현안 분석을 전달하는 코너입니다. 구독하시면 유익한 미국 소식을 받아보실 수 있습니다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
ykh22@sedaily.com
