쿠팡 3370만 고객 계정 무방비 유출…국회·정부 전면 조사 착수
쿠팡, 최대 1조원대 과징금 부과되나…민관합동조사단도 가동

쿠팡에서 3370만건의 고객 계정 정보가 무단 노출된 초대형 사고가 발생하면서, 정부·국회·공정위가 동시에 움직이는 ‘전방위 압박’이 시작됐다. <출처=연합뉴스>

쿠팡에서 3370만건의 고객 계정 정보가 무단 노출된 초대형 사고가 발생하면서, 정부·국회·공정위가 동시에 움직이는 ‘전방위 압박’이 시작됐다. 이번 사태는 단순한 해킹 수준을 넘어 ‘인증 구조 자체가 뚫린’ 중대 사고로 확인되면서, 전자상거래 업계 전반에 걸쳐 보안·내부통제·플랫폼 규제 전면 재검토 가능성이 커지고 있다.

1일 국회에 따르면 과학기술정보통신부는 내일 오전 전체회의를 열고 한국인터넷진흥원(KISA)와 개인정보위 관계자, 박대준 쿠팡 대표를 불러 △피해 규모 추산 과정 △초기 축소 신고 의혹 △사고 인지·보고 체계 문제 등을 집중 추궁할 계획이다.

배경훈 부총리 겸 과기정통부 장관은 지난 30일 긴급 대책회의에서 “쿠팡 개인정보 유출 사건 피해 확산을 막기 위해 민관 합동 조사단을 가동했다”며 “쿠팡이 개인정보 보호 의무를 제대로 지켰는지도 면밀히 살펴보고 있다”고 말했다.

쿠팡의 이번 개인정보 유출 사건은 5개월간 공격이 지속됐지만 뒤늦게 인지했다는 점에서 사고 규모와 기간, 내용 면에서 ‘역대급 유출’이라는 평가가 나온다. 정부 발표에 따르면 공격자는 올해 6월 24일부터 해외 서버를 통해 비정상 접근을 시작, 쿠팡이 이를 인지한 시점은 11월 18일이며, 이후 20일 침해 사실을 신고했다. 즉, 약 5개월 동안 대규모 침해 시도가 진행됐음에도 내부 모니터링 체계가 탐지하지 못했다는 의미다.

쿠팡 측은 “추가 피해 방지를 위해 과기정통부·개인정보위·한국인터넷진흥원(KISA)·경찰 등과 협력 중이며, 고객 여러분께 큰 불편과 걱정을 끼쳐드린 점 깊이 사과드린다”고 말했다.

배경훈 부총리 겸 과학기술정보통신부 장관이 30일 서울 종로구 정부서울청사에서 열린 쿠팡 관련 긴급 관계부처 장관회의에서 발언하고 있다. <출처=연합뉴스>

이에 개인정보위원회는 쿠팡이 개인정보보호법에 규정된 안전조치 의무를 이행했는지 면밀히 들여다보고 있다. 해당법은 접근 통제·권한 관리·암호화·접속 기록 보관과 위변조 방지 등을 사업자의 기본 의무로 명시한다. 2023년 개정 이후 해당 의무를 어길 시 전년도 매출의 최대 3%까지 과징금을 부과할 수 있게 됐다.

또한 개인정보위는 과기정통부와 함께 유출 정보를 악용한 스미싱 같은 2차 피해를 막기 위한 보안 공지도 진행할 계획이다. 이름, 전화번호, 주소만 있어도 정교한 스미싱이나 피싱이 가능해지는 만큼 쿠팡을 사칭한 문자와 전화를 경고하는 안내를 강화한다는 방침이다. 또한 과기정통부, 개인정보위, KISA, 경찰 등으로 구성된 민관합동조사단은 사고 원인 조사와 별도로 3개월 동안 다크웹을 포함한 인터넷상의 개인정보 불법 유통을 집중 감시할 예정이다.

업계 전문가들은 쿠팡이 국내 이커머스 1위 사업자이고 분기 매출만 13조원을 넘는 만큼, 법상 이론적으로는 과징금이 조 단위에 이를 수 있다고 보고 있다. 침해 사실을 5개월 동안 파악하지 못했고 최초 신고에서 피해 계정 수를 지나치게 적게 보고한 점도 불리하게 작용할 가능성이 높다는 지적도 나온다.

또한 이번 유출 사태의 핵심은 단순 정보보호 예산 부족이 아닌, 운영과 통제의 실패라는 지적도 나온다. KISA 공시에 따르면 쿠팡은 올해 IT 분야에 1조9171억원을 투입했고, 이 중 정보보호 예산만 890억원(4.6%)에 달한다. 정보보호 투자액은 2022년 535억, 2023년 639억, 지난해 660억으로 꾸준히 늘었고 최근 4년 누적액은 2700억원을 넘는다.

한 업계 관계자는 “쿠팡은 5개월 동안 이어진 대규모 탈취를 감지하지 못했고 초기 피해 계정 산정에서도 큰 오차를 보이면서 경보 시스템, 내부 통제, 인증키 로테이션 같은 기본 체계가 제 기능을 하지 않은 것으로 보인다”고 말했다.

쿠팡 홈페이지에 공지된 사과문. <출처=쿠팡 홈페이지 화면 캡처>

한편, 공정위는 12월 1일 ‘온라인 인터페이스 자율규약 시행’에 들어갔다. 한국온라인쇼핑협회가 마련한 이 규약에는 쿠팡, 네이버, 11번가 등 28개 주요 플랫폼이 참여했다. 전자상거래법 개정으로 이미 금지된 6대 다크패턴(순차공개 가격, 잘못된 계층구조, 특정 옵션 사전 선택, 취소나 탈퇴 방해, 반복 간섭, 숨은 갱신)에 더해, 법에 직접 명시돼 있지는 않지만 소비자 오인을 유발할 수 있는 ‘몰래 장바구니 추가’, ‘속임수 질문’ 같은 인터페이스도 자율적으로 금지하는 내용이 담겼다.

쿠팡은 다크패턴 자율규약 참여 기업 중 하나지만, 이번 유출 사태로 개인정보보호법 위반 조사까지 더해지면서 쿠팡을 둘러싼 규제 환경은 노동, 공정거래, 개인정보, 소비자보호가 한꺼번에 얽힌 복합 리스크로 확대될 전망이다.

한 업계 관계자는 “향후 개인정보위의 제재 수준, 국회의 질의 결과, 집단소송 움직임, 공정위의 다크패턴 규제 집행 여부에 따라 쿠팡뿐 아니라 전자상거래 업계 전체의 보안 투자와 내부 통제, 규제 체계가 크게 달라질 수 있다”고 말했다.

[CEO스코어데일리 / 진채연 기자 / cyeon1019@ceoscore.co.kr]