쿠팡 참사는 인재...민주당 출신이 대다수 임원으로 일해

쿠팡 사태는 인재(人災)

​

법적 책임은 월급 사장에게

보안 참사 뒤엔 '김범석式 경영'

​

중국인 직원 '접속 권한' 방치

"탈영병이 매일 암구호 받은 격"

​

중국인 소행인데 말한마디 못해

언론통제로 내부 기밀 봉쇄

(편집자주)

https://www.chosun.com/economy/industry-company/2025/12/01/QTJGV2LN2ZDETFO6PRTFXA24NE/

3370만명의 개인 정보가 유출된 쿠팡 사태는 인재(人災)라는 정황이 속속 확인되고 있다. 1일 더불어민주당 최민희 의원실이 쿠팡에서 제출받은 자료 등에 따르면 용의자로 지목된 중국인은 쿠팡 재직 당시 내부망에 접속해야 하는 직원들에게 토큰(암호)을 발급하는 업무를 맡았다. 정상적인 기업이라면 퇴사 후 해당 권한이 차단돼야 하지만 이 중국인은 퇴사 후 5개월 동안 쿠팡 내부망을 들락거리며 하루 평균 23만명의 개인 정보를 빼돌린 것으로 추정된다. 황석진 동국대 정보보호대학원 교수는 “탈영병이 암구호를 매일 받아보며 자유롭게 부대를 드나든 것과 같은 이야기”라며 “기업에서 일어났다고 믿기 힘든 일”이라고 말했다.

이번 사태를 두고 사업 확장을 위한 기술(엔지니어)과, 사고 수습을 위한 기술(변호사·대관)만 비대해지고 내부를 관리·단속할 책임 경영은 실종된 ‘쿠팡식 경영’의 예견된 귀결이라는 분석이 나온다. 특히 한국 쿠팡을 100% 보유한 미국 모회사 쿠팡Inc 의결권 74.3%를 보유한 김범석(47) 창업주가 최악의 정보 유출 사고에도 아무런 입장을 밝히지 않은 것도 공분을 사고 있다.

​

사태의 파장은 갈수록 커지고 있다. 이번 사태 이후 처음으로 쿠팡 이용자 14명이 쿠팡을 상대로 각 20만원의 위자료를 청구하는 소장을 1일 서울중앙지법에 제출했다. 소송 참여자를 모집하는 온라인 카페의 회원 수는 급증하고 있다. 이날 대통령실 강훈식 비서실장은 “징벌적 손해배상 제도가 사실상 작동하지 않는 현실은 대규모 유출 사고를 막는 데 한계가 있다”며 “기업의 책임이 명백한 경우 제도가 실효성 있게 작동할 수 있도록 개선 방안을 검토하라”고 주문했다.

권한 움켜쥐고 책임은 월급 사장에… 보안 참사 뒤엔 ‘김범석式 경영’

정보 보호 전문가들은 이번 사태에 대해 “기본 중의 기본을 지키지 않은 관리 실패”라고 말한다. 기업 보안 체계에서는 토큰·인증키·서명키의 3단계 개념이 사용된다. 토큰은 매일 바뀌는 군대의 암구호, 인증키는 당일의 암구호를 확인하는 열쇠, 서명키는 암구호가 실제 부대에서 나온 게 맞는지 확인하는 도장에 해당한다. 이번 사태의 용의자로 지목된 중국인 개발자는 쿠팡 재직 당시 내부망에 접속해야 하는 직원들에게 토큰을 발급하는 업무를 했던 것으로 알려졌다. 정상적인 기업은 퇴사자 권한이 모두 사라지는데, 쿠팡에선 이 당연한 일이 지켜지지 않았다. 이 개발자는 퇴사해 중국으로 간 뒤에도, 쿠팡 내부망을 들락거리며 147일간 이용자 정보를 빼냈다는 게 쿠팡의 의심이다.

​

쿠팡은 퇴직자가 내부망에 계속 접속하고 있다는 것도, 매일 수십만 명의 개인 정보가 유출되고 있다는 사실도 몰랐다. 중국인 개발자가 쿠팡 이용자에게 협박 메일을 보내 문제가 외부로 드러날 때까지, 쿠팡 내부망은 이 중국인 개발자에게는 안방이나 마찬가지였다. 권헌영 고려대 정보보호대학원 교수는 “퇴사자가 (내부망에 접속할 수 있는) 열쇠를 갖고 있다는 건 개인정보보호법상 기업의 안전 조치 의무를 완전히 방기한 것”이라고 말했다. 테크 기업이라고 하기엔 너무나 허술한 내부 통제 시스템이 드러난 것이다.

정보보호법상 의무 완전 방기

이번 사태로 쿠팡의 이중적인 내부 통제 시스템도 도마 위에 올랐다. 쿠팡은 물류센터에서 일하는 직원들에겐 ‘보안’을 이유로 휴대전화 반입을 금지해 왔다. 과거 물류센터 사망 사고 당시 휴대전화가 없어 ‘골든타임’을 놓쳤다는 비판이 제기된 적도 있다. 반면 핵심 데이터에 접근하는 본사 외국인 개발 인력 관리는 허술하기 짝이 없었다. 현장 근로자는 잠재적 범죄자 취급하며 옥죄면서, 결과적으로 대규모 정보 유출의 키를 쥔 외국인 기술 인력에겐 무제한에 가까운 권한을 부여한 것이다. 업계 관계자는 “성장 제일주의를 추구하는 쿠팡에서 기술 개발(tech) 인력은 성역화된 반면 리스크 관리 기능은 제대로 작동하지 않았음을 보여주는 단면”이라고 말했다.

​

쿠팡의 사후 대처도 빈축을 샀다. 쿠팡은 사태 초기 개인정보 ‘유출’ 대신 ‘노출’이라는 표현을 고수했다. 법조계는 ‘미 증시에 상장된 쿠팡의 모회사 쿠팡Inc에 대한 현지 집단소송(징벌적 배상) 리스크를 줄이기 위한 꼼수’로 본다. 쿠팡은 지난달 29일 오후 언론에 3370만명 정보 유출 사실을 알렸지만, 상당수 쿠팡 사용자는 다음 날에야 통지를 받았다. 앱에 사과문이 게시된 것도 30일 오후였다. 유통업계 관계자는 “쿠팡 의사 결정 구조를 보면 입장문 단어 하나까지 미국에서 검토하는 것으로 안다”며 “대응 속도도 느리고 한국 소비자 정서와 동떨어진 메시지가 나오는 게 특징”이라고 말했다.

책임은 분리, 지배는 유지하는 쿠팡식 경영

사상 최악의 정보 유출 사고에도 보이지 않는 김범석 쿠팡Inc 이사회 의장의 행보도 공분을 키우고 있다. 김 의장은 한국 쿠팡 지분 100%를 갖고 있는 쿠팡Inc의 의결권 74.3%를 보유한 최대 주주다. 그는 2021년 한국 법인 등기 이사직을 사임한 뒤, 법적 책임 선상에서 철저히 빠져 있다. 이해진 네이버 창업자(직원 사망 사건)나 최태원 SK 회장(통신 장애)이 위기 때 전면에 나서 사과하고 재발 방지를 약속했던 것과 대조적이다

유통업계 관계자는 “매출의 90%가 한국에서 나오지만 주요 의사 결정은 김 의장과 미국 이사회가 하고 한국 경영진은 총알받이만 하는 구조가 쿠팡을 기형적인 기업으로 만들고 있다”고 지적했다. ‘사회적 책임’이라는 개념이 희박한 쿠팡식 성장이 최대 위기에 직면했다는 지적이 나온다.

https://www.chosun.com/economy/industry-company/2025/12/02/FVH66QGWCJHZHCDFWSAK3KKB4Q