기본적인 보안이 무너진 순간
쿠팡에서 발생한 3370만 명 규모의 개인정보 유출 사태는 생각보다 훨씬 단순하면서도 충격적인 이유에서 비롯됐습니다. 바로 퇴사한 직원의 시스템 접근 권한을 삭제하지 않은 채 방치한 '인증키 관리 실패'가 결정적인 원인이었습니다. 이번 사고는 기업 보안의 가장 기본적인 절차가 무너졌을 때 어떤 일이 발생하는지 생생하게 보여주고 있습니다.
퇴사 후에도 작동한 '마스터 키'
유출 사고의 핵심은 '서명키'라는 전자출입증과 같은 인증 시스템입니다. 문제가 된 전직 직원은 쿠팡 내부 시스템 접근 권한을 관리하는 업무를 담당했는데, 퇴사 후에도 이 직원의 서명키가 삭제되지 않은 채로 남아 있었습니다. 전문가들이 지적하듯, 퇴사 시점에 마스터 키를 모두 폐기하는 것은 보안 관리의 기본 중 기본입니다. 그런데 쿠팡은 이 기본을 지키지 않았고, 그 결과 퇴사자가 해외에서도 자유롭게 내부 시스템에 접속해 고객 정보를 빼돌릴 수 있었습니다.
더욱 심각한 것은 쿠팡이 이 같은 유출 사실을 5개월 동안 전혀 인지하지 못했다는 점입니다. 지난 6월부터 정보가 유출되기 시작했지만, 쿠팡은 11월이 되어서야 협박 메일을 통해 사태를 알게 되었죠. 정보보호에 2700억 원 이상을 투자했다는 기업이 퇴사자 관리와 실시간 감시 시스템에서 이런 치명적인 허점을 드러낸 셈입니다.
국경을 넘은 정치적 파장
이번 사태는 단순한 개인정보 유출을 넘어 국제적인 문제로 비화되고 있습니다. 유력 용의자가 중국 국적의 전직 직원이라는 점에서 여야를 막론하고 정치권의 우려가 커지고 있기 때문입니다. 국민의힘은 "개인정보 처리 모든 사람에 대한 전수조사"를 촉구하며, 국가기관과 민간 기업에서 일하는 외국인 현황 분석에 나섰습니다. 단순한 민생 범죄를 넘어 국가 안보 차원의 문제로 접근해야 한다는 목소리가 높아지고 있습니다.
한편 백악관 최고 경제보좌관을 지낸 강훈식 대통령 비서실장은 이번 사태를 두고 "개인정보 보호체계에 구조적 허점"이 있다고 지적했습니다. 2021년 이후 4차례나 반복된 개인정보 유출 사고를 겪으면서도 근본적인 해결책을 마련하지 못한 점을 비판하며, 징벌적 손해배상제도 개선을 검토하라고 지시했습니다.
피해자들의 분노와 법적 대응
유출 피해를 입은 이용자 14명이 이미 쿠팡을 상대로 20만 원의 위자료를 청구하는 손해배상 소송을 제기했습니다. 이들은 집 주소와 구매 이력 등 사생활 정보가 유출되면서 보이스피싱 등 2차 피해 가능성에 노출되었다고 주장하고 있습니다. 이번 소송은 국내 개인정보 유출 관련 단체 소송 중 최대 규모로 확대될 가능성이 있습니다.
특히 4년 전 탈퇴한 회원까지 유출 대상에 포함되었다는 사실이 알려지면서 소비자들의 불신은 더욱 커졌습니다. 쿠팡은 탈퇴 회원 정보를 90일 이내에 폐기해야 하지만, 활성 계정과 구분 없이 관리하면서 법적 의무를 다하지 않은 의혹을 받고 있습니다. 개인정보보호위원회는 이 부분에 대한 조사에 나설 예정입니다.
재발 방지를 위한 과제
이번 사태는 국내 IT 기업들의 보안 인식이 여전히 낮음을 보여주는 사례입니다. 과거 KT에서도 퇴사자 아이디를 통한 개인정보 유출 사고가 발생한 바 있는데, 쿠팡은 10년이 지난 뒤에도 같은 실수를 반복한 셈입니다. 전문가들은 정기적인 보안 점검과 퇴사자 관리 시스템 개선이 시급하다고 지적합니다.
해외에서는 이미 쿠팡의 대응이 주목받고 있습니다. 미국 증권거래위원회(SEC)에 상장된 쿠팡Inc는 중대한 사이버 보안 사고 발생 시 4영업일 내 공시해야 할 의무가 있지만, 아직도 관련 공시를 하지 않아 추가적인 제재를 받을 가능성도 있습니다. 이번 사태가 국내를 넘어 글로벌 차원의 신뢰 문제로 번지지 않을지 주목됩니다.