국회 “자취감춘 김범석 고발”…쿠팡 한국대표는 “어디 있는지 몰라”

정무위서 여야 한목소리 질타
[쿠팡 소유주 김범석 책임론]
美체류로 국감 이어 또 불참
‘검은머리 외국인’ 비판 나와
[피해 큰데 ‘탈팡’ 절차 복잡]
해외 비정상 로그인 시도 지속
中사이트 “6만원에 계정판매”
[개보위, 즉각 시정조치 요구]
키 분실 아닌 보안허점 제기돼
퇴사자 관리체계 재정비 시급

김범석 쿠팡 의장 [쿠팡]

쿠팡에서 3370만개 고객 계정의 개인정보(이름·주소·전화번호·이메일 등)가 유출된 가운데 중국의 주요 온라인 쇼핑 플랫폼과 중고 거래 사이트에서 쿠팡의 한국 계정이 판매되는 정황이 포착됐다. 온라인에서는 비정상 로그인 시도와 해외 결제 승인 알림이 이어졌다는 제보가 잇따르고, 쿠팡 탈퇴·집단 소송 움직임까지 나타나고 있다.

사상 최악의 개인정보 유출 사태에도 쿠팡이 실질적 소유자이자 경영자인 김범석 쿠팡Inc 이사회 의장이 자취를 감추고 있는 등 대책 마련에 미온적인 태도를 보여 정치권과 소비자들의 질타가 이어지고 있다. 국회는 김범석 의장에 대한 고발을 추진하겠다고 밝혔고, 개인정보보호위원회도 쿠팡을 향한 경고장을 날렸다.

서울 시내의 한 쿠팡 캠프에 배송트럭이 주차돼 있다. [이승환 기자]

3일 중국의 주요 온라인 쇼핑 플랫폼과 중고 거래 사이트에서 쿠팡의 한국 계정이 판매되는 정황이 포착됐다. 이날 중국 최대 전자상거래 플랫폼 타오바오몰에는 쿠팡 한국 계정이 320위안(약 6만원)에 매물로 올라왔다.

중국판 ‘당근마켓’으로 불리는 중고 거래 플랫폼 셴위에서도 유사한 매물이 등장한 것으로 전해졌다. 다만 판매자들이 계정 확보 경로를 밝히지 않고 있어 해당 계정 이번 정보 유출 사고와 연관된 것인지는 확인되지 않은 상태다.

온라인상에서는 ‘쿠팡 사태’ 이후 로그인 시도와 스미싱 등 피해를 봤다는 사례가 잇따르고 있다. 로그인 기록이 ‘대한민국’이 아니라 필리핀 등 해외로 나타나거나 ‘위치를 알 수 없는 곳’으로 표시된 사례도 여러 건이었다.

특히 쿠팡 계정에 신용카드 등 결제 수단을 연동해둔 소비자들은 더욱 큰 불안감을 호소하고 있다. 불안감을 느낀 소비자들은 쿠팡 애플리케이션(앱) 탈퇴에 나서고 있지만 구독 서비스 해지를 막기 위한 목적인 ‘다크 패턴’의 설계로 인해 절차가 복잡하다는 불만까지 더해지고 있다.

2차 피해 우려가 커지고 있지만 쿠팡은 소비자들에게 계정 비밀번호 변경 등 후속 조치를 안내하지 않고 있다.

김승주 고려대 교수는 “과거 통신사 사례 때도 최악의 경우를 대비해 유심 교체까지 간 것”이라며 “민관합동조사단이 전수 조사를 하면 피해가 더 확산할 수 있기 때문에 최악의 상황을 가정하고 대책을 공지하는 게 맞다고 본다”고 설명했다.

박대준 쿠팡 대표이사가 3일 서울 여의도 국회 정무위원회에서 열린 쿠팡 개인정보 유출 관련 현안질의에서 인사하고 있다. [뉴스1]

국회 정무위원회에서 쿠팡 개인정보 유출과 관련한 현안질의에서 윤한홍 정무위원장은 “김범석 의장에게 정무위 참석을 요청했으나 불참했다”며 “위원장으로서 강한 유감을 표시한다”고 말했다. 이날 김 의장은 해외체류 등을 이유로 전날에 이어 국회에 모습을 드러내지 않았다.

김 의장이 현안질의에 참석하지 않은 것을 두고 정무위 소속 의원들은 그를 고발하겠다는 의지를 보였다. 신장식 조국혁신당 의원은 “김 의장은 한국 쿠팡 지분을 100% 소유한 쿠팡Inc 의결권을 74% 넘게 보유했다”며 “(김 의장이) 자기는 미국 국적이고 쿠팡Inc도 미국 상장사라는 이유로 국회 부름에 답하고 있지 않다”고 지적했다.

그는 이날 현안질의에 참석한 박대준 쿠팡 대표에게 “김 의장은 한국에 보통 얼마나 체류하냐”고 물었다. 이에 박 대표는 “귀국 여부를 모르겠다”며 “국내에서 만나본 적이 없다”고 답했다.

강민국 국민의힘 의원도 “검은 머리 외국인이 김범석 의장”이라면서 “미국인 김범석 의장은 한국의 인프라스트르럭처와 한국 국민의 정보를 활용해 한국에서 돈을 벌면서 한국에서 발생한 정보 유출 사고에 대해선 아무런 책임을 지지 않고 있다”고 목소리를 높였다.

개인정보위도 이날 오전 긴급 전체회의를 열고, 쿠팡이 개인정보 유출 사실을 정확히 고지하지 않은 점을 문제 삼아 즉각적인 시정 조치를 하도록 심의·의결했다.

개인정보위는 쿠팡이 고객 개인정보가 외부로 유출된 사실을 확인하고도 정보 주체에 노출 통지로만 안내해 실제 유출 사실을 명확히 알리지 않았다고 판단했다.

박대준 쿠팡 대표이사가3일 서울 여의도 국회 정무위원회에서 열린 쿠팡 개인정보 유출 관련 현안질의에서 의원 질의에 답변하고 있다. [뉴스1]

또한 홈페이지 내 공지도 1~2일간만 짧게 게시했고, 공동 현관 비밀번호 등 일부 유출 항목을 빠뜨려 이용자 혼란을 키웠다고도 지적했다.

개인정보위는 쿠팡이 자체 모니터링을 강화하고, 전담 대응팀을 확대해 민원·언론 대응을 신속하게 수행할 것을 요구했다. 7일 이내 조치 결과를 제출받아 이행 상황을 지속적으로 점검한다는 방침이다.

쿠팡 내부 보안의 허점도 계속 드러나고 있다.

이준석 개혁신당 대표는 자신의 페이스북에 “시작은 ‘키(Key)’ 탈취였지만, 그 키를 만능키로 만들어준 것은 잘못된 유저 인증 시스템 설계”였다고 지적했다.

쿠팡 측은 인증 토큰을 만드는 키가 탈취된 것이 문제라고 해명해왔지만 이 대표 주장은 해커가 쿠팡의 사용자 계정을 뚫기 위해 이메일 주소를 다 알 필요가 없었던 이유는 쿠팡이 내부 데이터베이스의 사용자 식별값을 순서대로 1씩 늘어나는 정수로 설정해두고 있었기 때문이라는 것이다.

이 대표는 “결국 이번 사태는 단순한 관리자 키 분실 사고가 아니다”며 “누구나 예측 가능한 번호표를 달아놓고, 직원 전용 출입구를 활짝 열어둔 것과 다름없는 안일한 보안 아키텍처가 불러온 예견된 인재”라고 지적했다.

퇴사한 쿠팡 직원들이 사내 메신저 ‘슬랙(Slack)’ 계정을 통해 회의 내용과 업무 대화 등을 확인할 수 있었다는 의혹도 나왔다.

박대준 대표가 “퇴직자 권한은 즉시 말소된다”고 해명한 내용과 정반대되는 것으로 쿠팡이 퇴사자의 내부 계정 비활성화 절차를 제대로 지키지 않았다는 비판이 제기된다.

이번에 대량 정보 유출의 용의자로 꼽히는 중국 국적의 보안인증 개발자가 쿠팡 고객들 개인정보를 빼돌린 시점도 그가 지난해 12월 퇴사한 뒤인 올해 6월부터 11월까지로 알려졌다.

[ⓒ 매일경제 & mk.co.kr, 무단 전재, 재배포 및 AI학습 이용 금지]