쿠팡 3370만 정보유출, 참가비 1만 원 집단소송 시작됐다

쿠팡이 3370만 명의 고객 개인정보를 유출하고도 피해 규모를 축소 신고하고, 임원들은 유출 사실이 알려지기 전 수십억 원어치 주식을 처분한 정황이 드러났다. 쿠팡 내부 제보자는 "중국인 직원이 정보를 빼돌렸다는 쿠팡 측 주장은 사실이 아닐 가능성이 높다"며 해킹 가능성을 제기했다. 피해자들을 대리해 집단소송을 준비 중인 법무법인 자연과 김영희·김석연 변호사는 "한국 소비자를 만만히 보는 쿠팡에 뜨거운 맛을 보여줘야 한다"며 참가비 1만 원으로 소송 원고단을 모집하고 있다.

내부 제보자 "중국인 유출 주장, 쿠팡 물타기용 의심"

쿠팡 블랙리스트 사건 당시 내부 제보자였던 김준호 씨는 이번 정보 유출 사건에 대해 의문을 제기했다. 그는 "쿠팡이 중국인 직원이 정보를 유출했다고 주장하는데, 제가 느끼기에는 사실 같지 않다"고 말했다. 쿠팡은 유출 책임자를 고소하면서 피고소인을 '성명불상'으로 기재했다. 김 씨는 "쿠팡이 내부 정보 보안 시스템을 취급하는 직원이라면 누군지 알 텐데, 왜 고소장에 성명불상으로 했느냐"고 반문했다.

김 씨는 자신의 경험을 근거로 들었다. "쿠팡 블랙리스트 폭로 당시 저는 비실명이었는데, 쿠팡은 저와 다른 제보자를 특정해서 고소했다"고 설명했다. 그러나 이번 사건에서는 특이하게 '성명불상'으로 고소장을 냈다는 것이다. 그는 "중국인 얘기가 나왔을 때 물타기 느낌이 확 들었다"며 "사건의 본질을 흐리려는 프레임"이라고 지적했다. 내부에서 정보를 빼가기 어려운 구조임을 감안하면 외부 해킹일 가능성이 높고, 쿠팡이 책임을 회피하려 한 사람에게 뒤집어씌우는 방식으로 빠져나가려 한다는 분석이다.

유출 인지 시점 의혹…피해 규모 3370만 명을 '4500건'으로 축소 신고

쿠팡은 11월 18일 유출 사실을 최초 인지했다고 주장하지만, 실제로는 그 이전에 알았을 가능성이 제기된다. 언론에 최초로 알려진 피해 사례는 11월 16일이다. 한 피해자가 "귀하의 개인정보가 유출될 수 있습니다"라는 협박 메일을 받고 쿠팡에 민원을 제기했다. 메일에는 5년간의 배송지 주소, 현관 출입 방법, 최근 주문 내역까지 상세히 담겨 있었다. 피해자는 "한 시간 반 동안 멍 때렸다. 멘탈이 부서졌다"고 증언했다.

그러나 쿠팡은 11월 20일 개인정보보호위원회에 신고하면서 피해 규모를 고작 4500건이라고 보고했다. 유출된 정보 항목에서도 공동현관 출입번호 같은 핵심 정보는 빠뜨렸다. 개인정보보호위원회가 추궁하자 11월 29일에야 피해자 수를 3370만 명으로 정정했다. 김영희 변호사는 "쿠팡의 주장일 뿐"이라며 "수사와 조사를 통해 실제 인지 시점이 밝혀질 것"이라고 말했다. 개인정보보호법상 유출 사실을 알게 된 때로부터 24시간 이내 신고해야 하는데, 이를 어겼다면 책임이 가중된다.

'유출'을 '노출'로 표기…공동현관 비밀번호는 숨기기도

쿠팡의 피해자 통지 과정에서도 책임 회피 정황이 드러났다. 11월 29일 쿠팡이 회원들에게 보낸 첫 번째 문자에는 '개인정보 노출 통지'라고 적혀 있었다. '유출'이라고 하면 책임을 인정하는 것 같으니 '노출'로 표현을 바꾼 것으로 보인다. 유출된 정보 항목도 이름, 이메일, 주소, 배송지, 주문 정보만 나열했다.

12월 7일에야 쿠팡은 '유출'이라는 표현으로 바꿔 다시 통지했다. 이때서야 '공동현관 출입번호'가 유출 항목에 추가됐다. 혼자 사는 여성이나 독거 어르신에게 이 정보 유출은 치명적이다. 공동현관이 막혀 있어 안전하다고 믿었는데, 범죄자가 문 앞까지 올 수 있게 된 셈이다. 주문 목록만으로도 개인의 취향을 파악해 보이스피싱이나 스토킹 범죄에 악용될 수 있다.

퇴사 직원 접근 권한 방치…마스터키로 무제한 출입 가능했다

쿠팡의 보안 시스템 허점은 상상을 초월한다. 개인정보보호법과 안전성 확보 조치 기준에 따르면, 개인정보 취급자가 퇴사하거나 업무가 변경되면 시스템 접근 권한을 즉시 말소해야 한다. 그러나 쿠팡은 이를 이행하지 않았다. 퇴사한 직원이 여전히 보안 시스템에 접근할 수 있는 상태로 방치한 것이다.

더 심각한 문제는 '서명키' 관리다. 서명키는 호텔의 마스터키와 같다. 방 카드(인증 토큰)를 잃어버려도 프론트에서 새로 발급받을 수 있게 해주는 열쇠다. 김영희 변호사는 "쿠팡은 이 서명키를 5년에서 10년 동안 한 번도 갱신하지 않고 방치했다"고 설명했다. 퇴사 직원이 마스터키를 들고 나가 인증 토큰을 마음대로 재발급할 수 있었다는 뜻이다. 147일 동안 대량의 개인정보가 빠져나간 배경이다. 해외 IP 접근 탐지도 실패했고, 월 1회 이상 접속 기록 점검 의무도 지키지 않았다.

정보 유출 전 임원들 주식 43억 원어치 매도…내부자 거래 의혹

더 충격적인 사실은 쿠팡 임원들의 주식 거래 내역이다. 쿠팡 최고재무책임자(CFO) 가우랍 아난드는 11월 10일 32억 원 상당의 쿠팡 주식을 매도했다. 언론에 유출 사실이 최초로 알려진 11월 16일보다 일주일 전이다. 11월 17일에는 검색·추천 기술 담당 핵심 임원 콜랄라 부사장이 사임 직후 11억 원 상당 주식을 팔았다.

쿠팡 측은 "예전부터 예정되어 있던 매도"라고 해명했다. 그러나 왜 기술 담당 핵심 임원이 사임까지 했는지, 왜 사임 직후 주식을 팔았는지는 설명하지 못했다. 김영희 변호사는 "내부자들이 언제 유출을 알고 있었는지가 중요하다"며 "중과실이냐 경과실이냐를 가르는 핵심 쟁점"이라고 강조했다. 금융감독원도 내부정보 이용 거래 여부를 조사하겠다고 밝힌 상태다.

"한국 소비자는 정보 유출에 덜 민감"…JP모건 보고서에 담긴 모욕

미국 투자은행 JP모건은 쿠팡에 대한 보고서에서 "한국 고객은 데이터 유출에 덜 민감해 보인다"고 평가했다. 고객 이탈도 제한적일 것이라며 주가 영향이 크지 않을 것으로 전망했다. 김영희 변호사는 "가장 마음에 안 들고 화가 났던 대목"이라며 "대규모 유출이 있어도 한국인들은 소송을 안 한다는 뜻"이라고 해석했다.

실제로 쿠팡은 2020년부터 2023년까지 네 차례나 정보 유출 사고를 냈지만, 과징금과 과태료 합계액은 고작 16억 원에 불과했다. 보안 시스템 강화에 드는 비용보다 사고 후 과징금 내는 게 더 싸다는 계산이 가능한 구조다. 쿠팡의 매출 대비 보안 투자 비율은 0.2%로, 카카오·SKT(0.7%)의 3분의 1도 안 된다. 네이버나 KT보다도 절반 수준이다.

집단소송 원고단 모집…참가비 1만 원, 30만 원 위자료 청구

법무법인 자연과 김영희·김석연 변호사는 쿠팡 집단소송 법률센터를 구성하고 원고단을 모집하고 있다. 참가비는 1만 원이다. 위자료 청구액은 1인당 30만 원이다. 쿠팡의 보안 중과실이 입증되면 개인정보보호법상 최대 5배까지 징벌적 손해배상이 가능하다. 최재홍 변호사는 "쿠팡의 위법 사항이 더 확인되면 금액은 증가할 수 있다"고 밝혔다.

소송 참여 방법은 간단하다. QR코드를 통해 전자서명 프로그램에 접속해 위임계약서를 작성하고, 법무법인 자연 계좌로 1만 원을 입금하면 된다. 입금 시 '이름+휴대폰 뒷자리 4자리'를 기재해야 동명이인과 구분된다. 쿠팡을 이미 탈퇴한 회원도 가입 당시 아이디나 유출 통지 문자가 있으면 참여할 수 있다. 네이버 카페 '쿠팡 집단소송 법률센터'에서 진행 상황을 확인할 수 있다.

김영희 변호사는 "현재 24만 명이 소송에 참여했다고 하지만, 피해자 3370만 명의 1%도 안 된다"며 "쿠팡은 웃고 있을 것"이라고 지적했다. 그는 "분쟁조정에 응할 리 없는 쿠팡에 집단소송으로 압박해야 한다"며 "국민운동 차원으로 발전시켜야 한다"고 강조했다.