국정원 접촉 내세운 쿠팡의 ‘물타기’…정부 발끈 “국민 혼란 부추겨” – 한겨레

핵심 요약

12월 26일 과학기술정보통신부가 쿠팡의 자체 조사 발표에 대해 강한 유감을 표명했다. 쿠팡은 전직 직원이 3,300만명 규모 고객정보에 접근했으나 실제 저장된 계정은 약 3,000개에 불과하고 외부 전송 정황은 없었다고 발표했다. 민관합동조사단과 경찰 수사가 진행 중인 상황에서 정부는 쿠팡의 일방적 공개가 확인되지 않은 사실을 유포한다고 비판했다. 이후 양측은 공조 여부·조사 주체를 두고 이틀째 공방을 이어갔다.

핵심 사실

• 쿠팡은 12월 25일 전직 직원을 특정했다고 발표했으며, 해당 직원이 고객정보에 접근한 규모를 3,300만명으로 밝혔다.
• 쿠팡 조사 결과 실제로 회사 내부에 저장된 계정은 약 3,000개였고, 외부 전송 정황은 발견되지 않았다고 회사는 주장했다.
• 과기정통부는 12월 26일 ‘쿠팡 사태 대응 범부처 태스크포스(TF)’ 명의의 입장문을 내고 쿠팡 발표가 공식 확인되지 않은 내용이라고 반박했다.
• 쿠팡은 같은 날 정부와 공조했다고 반박문에서 밝히며, 12월 9일 정부가 유출자 접촉을 제안했다고 주장했다.
• 민관합동조사단과 경찰은 쿠팡과의 공조 사실을 부인했고, 국가정보원은 회사에 지시한 바는 없다고 밝혔다.
• 범부처 TF는 배경훈 부총리(과기정통부 장관)를 팀장으로 구성됐으며, 12월 30일 여섯 개 상임위가 참여하는 연석 청문회를 지켜본 뒤 추가 입장을 내놓을 예정이다.

사건 배경

대규모 개인정보 유출 사건은 기업의 내부 통제와 사고 대응 능력을 시험하는 전형적 사례다. 최근 디지털 플랫폼의 이용자 데이터가 사업의 핵심 자산이 됨에 따라 유출 사고 발생 시 사회적 파급력과 규제 압박이 커졌다. 한국에서는 민관합동조사단을 통해 사고의 원인과 피해 범위를 확인하는 절차가 마련돼 있으나, 조사 초기 단계에서 기업의 자체 발표가 곧바로 공론화되면서 공적 검증과 충돌하는 사례가 늘고 있다.

기업의 ‘셀프 조사’는 신속한 정보 제공이라는 장점이 있지만, 검증되지 않은 내용이 확산되면 조사 신뢰도를 훼손할 우려가 있다. 정부 기관은 독립적으로 증거를 수집·분석해 최종 결론을 내리는 역할을 맡는다. 특히 국가안보와 연관될 가능성이 제기되는 경우 관련 기관의 정보 수집·분석 작업이 병행되기도 한다. 쿠팡 사태는 이러한 절차적 긴장과 공적·사적 책임의 경계가 충돌한 사례로 해석된다.

주요 사건 전개

쿠팡은 먼저 내부 조사 결과를 공개하며 전직 직원이 대량의 고객정보에 접근했다고 발표했다. 회사는 접근 규모를 3,300만명으로 제시하면서도 내부에 실제로 남아 있는 계정은 약 3,000개에 불과하고 외부로 전송된 정황은 없다고 설명했다. 이 발표는 빠르게 언론과 소셜미디어로 확산됐다.

다음날 과기정통부 명의의 범부처 TF는 쿠팡 발표를 문제 삼으며 정부가 공식 확인하지 않은 내용을 기업이 사실처럼 공표했다고 비판했다. TF는 조사를 통해 투명하게 결과를 공개하겠다고 밝혔고, 이로써 정부와 쿠팡 사이의 공방이 본격화됐다. 쿠팡은 곧바로 추가 입장문을 내어 정부의 제안에 따라 일부 협의가 있었다고 반박했다.

이후 민관합동조사단과 경찰은 쿠팡과의 공조 사실을 부인했고, 국가정보원도 회사에 지시한 바는 없다고 밝혔다. 다만 국가정보원은 외국인 등에 의한 대규모 정보유출 사태를 국가안보 차원의 위협으로 인식해 관련 정보 수집·분석을 위한 업무협의를 진행했다고 설명했다. 각 주체의 입장 차이는 조사 절차와 결과 공개 시점에 대한 혼선을 키웠다.

분석 및 의미

첫째, 이번 사안은 기업의 위기관리와 정부의 공적 검증 사이의 역할 분담이 재정립돼야 함을 보여준다. 기업이 신속히 사실관계를 밝히려는 의도는 이해되지만, 민관 공동조사나 수사 진행 중인 사안을 확정적으로 발표하면 수사·검증의 객관성이 훼손될 수 있다. 향후 관련 법규나 가이드라인에 ‘조사 중 발표’에 대한 명확한 기준이 요구된다.

둘째, 정보유출의 규모와 성격을 놓고 제기되는 해석들은 소비자 신뢰와 규제 대응에 직접적인 영향을 미친다. 쿠팡이 제시한 ‘저장 계정 3,000개’라는 수치는 피해 범위를 축소해서 보이게 할 수 있으나, 접근권한 자체의 존재만으로도 감독 당국의 책임 추궁 대상이 된다. 감독기관은 기업의 내부 통제와 로그·접근 기록의 보관·관리 실태를 면밀히 들여다볼 가능성이 크다.

셋째, 국가안보 요소가 결부된 정황은 사안의 복잡성을 높인다. 국가정보원이 관련 정보를 수집·분석했다는 사실은 사건을 단순한 개인정보 사고를 넘는 차원으로 확장시킬 수 있다. 다만 국가기관의 개입 범위와 절차는 투명하게 공개돼야 하며, 그렇지 않을 경우 정치적 논란이나 과도한 정보 수집 우려가 제기될 수 있다.

위 표는 쿠팡이 공개한 핵심 수치와 현재 조사 단계에서의 확인 상태를 비교한 것이다. 회사 발표의 많은 부분이 정부 검증을 기다리고 있어 최종 판정까지는 추가 증거와 절차적 검증이 필요하다. 특히 접근 대상의 범위와 실제 저장·전송 여부는 로그 분석과 포렌식 결과에 크게 의존한다. 따라서 공개된 수치만으로 피해 범위의 최종 확정은 불가능하다.

반응 및 인용

과기정통부는 쿠팡의 일방적 발표가 국민에게 혼란을 준다며 공식 조사 후 결과를 공개하겠다고 밝혔다. TF 명의의 입장문은 정부의 공식 발표가 아닌 내용을 회사가 공표한 점을 지적하며 향후 절차적 검증을 약속했다.

쿠팡이 정부가 공식적으로 확인하지 않은 사항을 자체 발표해 국민들에게 혼란을 초래한 것에 대해 유감스럽게 생각한다.

과학기술정보통신부(범부처 TF)

보안 전문가들은 기업이 정부 요청으로 자료를 제출하는 것과 그 결과를 독자적으로 확정 발표하는 것은 전혀 다른 문제라고 지적했다. 독립적 검증을 거치지 않은 발표는 오해를 불러일으킬 수 있다는 설명이다.

정부가 요청한 자료를 제출했다는 사실은 인정될 수 있으나, 그 자체가 조사 결과의 확정적 진술을 정당화하지는 않는다.

김승주(고려대 정보보호대학원 교수)

국가정보원은 회사에 지시한 사실은 없다고 해명하면서도 국가안보 차원의 정보 수집·분석을 위한 업무협의는 진행했다고 밝혔다. 이 발언은 공조 여부와 지시의 유무를 구분하려는 취지로 해석된다.

쿠팡 사태와 관련해 회사에 어떠한 지시를 한 바는 없으나, 외국인에 의한 대규모 유출을 국가안보 위협으로 인식해 관련 정보 수집·분석을 위한 협의를 진행한 바 있다.

국가정보원(공식 해명)

불확실한 부분

• 쿠팡이 밝힌 ‘정부의 제안(12월 9일)으로 유출자와 접촉했다’는 주장에 대한 구체적 기관·문서 증거는 공개되지 않았다.
• 회사 측 발표의 ‘외부 전송 정황 없음’은 현재 민관합동조사단과 경찰의 독립적 검증을 거치지 않아 최종 확인이 필요하다.
• 쿠팡이 특정했다고 밝힌 전직 직원의 신원·동기·구체적 행위에 대한 수사 결과는 아직 공개되지 않았다.

총평

이번 사태는 기업의 투명성, 정부의 검증 절차, 그리고 공적·사적 정보통제의 경계가 충돌한 사건이다. 쿠팡의 신속한 정보 공개 의도는 이해되지만, 조사·수사 중인 사안을 확정적으로 발표하면 공적 검증의 신뢰를 약화시킬 수 있다. 소비자 신뢰 회복과 규제적 후속조치는 조사 결과에 따라 달라질 전망이다.

향후 절차는 민관합동조사단과 경찰의 포렌식 결과에 크게 의존한다. 정부와 기업 간 협의 내용과 공개 시점에 대한 명확한 기준이 마련되지 않는 한 유사한 갈등은 반복될 가능성이 크다. 독자는 조사 결과의 공식 발표를 기준으로 추가 정보를 확인할 필요가 있다.

출처

• 한겨레(언론) — 원문 보도