"퇴사자에게 털린 고객정보, 쿠팡 보안관리의 총체적 실패"

김지온 취재본부장

쿠팡의 개인정보 관리가 도마 위에 올랐다. 보도에 따르면 국내 1위 전자상거래 기업인 쿠팡에서 약 3,370만 명의 고객 정보가 유출된 것으로 알려지면서 충격을 주고 있다. 이름, 휴대전화번호, 주소, 이메일 등 주요 정보가 포함돼 피해 규모가 작지 않다는 평가가 나온다.

이번 유출 사고는 퇴사한 중국인 직원이 지난 6월부터 내부 정보를 빼돌린 것으로 전해졌으나, 쿠팡은 이 사실을 인지하지 못했다고 한다. 기업 규모에 걸맞지 않은 보안 수준이라는 비판이 커지는 이유다. 더욱이 쿠팡은 최초 피해 규모를 4,500명으로 발표했다가 11일 만에 3,370만 명으로 정정해, 상황 파악조차 제대로 하지 못했다는 지적을 피하기 어렵게 됐다.

쿠팡은 카드번호나 로그인 정보 등 핵심 금융정보는 유출되지 않았다고 설명했지만, 소비자들은 쉽게 신뢰하기 어렵다는 분위기다. 결국 경찰 조사에서 보다 구체적인 사실관계가 확인될 것으로 보인다.

문제가 되는 부분은 유출 자체보다, 유출된 정보가 해외로 넘어갈 경우 발생할 수 있는 2차 피해 가능성이다. 보이스피싱, 스미싱, 스팸 범죄 등에 악용될 여지가 크기 때문이다. 지금은 피해 신고가 많지 않지만, 시간이 지나면 피해가 본격화될 것이라는 우려도 나온다.

특히 충격적인 대목은 퇴사한 직원이 해외에서 쿠팡의 내부 시스템에 접속할 수 있었다는 점이다. 일반적으로 퇴사자 계정은 즉시 비활성화하고, 해외 IP 접근을 차단하는 것이 기본 중의 기본이다. 정보유출 금지 서약이나 법적 책임 고지 등의 절차 역시 필수적이지만, 이런 장치들이 제대로 작동하지 않은 것으로 보인다.

올해 들어 SK텔레콤·KT는 물론 루이비통, 아디다스 등 여러 기업에서 개인정보 유출 사건이 잇따라 발생했다. 한국이 ‘IT 강국’을 자처하면서도 보안 관리만큼은 후진국 수준 아니냐는 비판이 나오는 이유다.

이 같은 유출 사건이 반복되는 근본 원인으로는 솜방망이 처벌이 지목된다. 한국에서는 금전적 피해를 명확히 입증해야 하고, 정신적 피해 배상액도 매우 낮다. 결국 기업들이 보안 시스템에 충분히 투자하지 않는 악순환이 이어지고 있다.

이제는 미국처럼 징벌적 손해배상과 집단소송 제도를 확대해 기업이 개인정보 보호 실패에 대해 실질적 책임을 지도록 해야 한다는 목소리가 높다. 개인정보를 유출한 기업뿐 아니라 경영진에게도 무거운 책임을 부과해, 다시는 같은 사고가 반복되지 않도록 해야 한다.