3300만에서 3천 명으로, 극적인 축소의 배경
사건 초기 쿠팡은 전직 직원이 내부 보안 키를 탈취해 약 3370만 명의 고객 정보에 접근한 정황을 파악하고 이를 공개했다. 하지만 크리스마스 당일인 12월 25일, 쿠팡은 글로벌 보안업체들과의 포렌식 조사 결과를 토대로 실제 유출(저장)된 정보는 3000개 계정에 불과하다고 정정했다.
범인은 3300만 명의 데이터에 접근할 권한을 가졌으나, 실제 자신의 기기에 저장한 것은 극히 일부라는 주장이다. 특히 결제 정보나 로그인 비밀번호, 개인통관고유번호 같은 민감 정보는 포함되지 않았으며, 유출된 데이터 역시 외부로 전송되지 않고 파기되었음을 강조했다.
왜 성급하게 3300만 명이라고 발표했나
기업의 위기 관리 측면에서 정보 유출 사고는 '최악의 시나리오'를 먼저 가정하는 것이 일반적이다. 유출 가능성이 있는 전체 모수를 선제적으로 공개함으로써 추후 발생할 수 있는 은폐 의혹을 차단하려는 의도다. 또한 한국의 개인정보 보호법은 유출 인지 후 지체 없이 통지하도록 규정하고 있어, 정확한 집계보다 신속한 보고에 우선순위를 두었을 가능성이 크다.
뉴욕 증시가 쿠팡의 발표를 신뢰하는 이유
뉴욕 증시는 이번 정정 발표를 기업 리스크의 실질적 해소로 받아들였다. 3300만 명 규모의 유출은 징벌적 과징금과 천문학적인 집단소송 비용을 초래하는 '존속 위협'이지만, 3000명 규모는 통제 가능한 수준의 리스크이기 때문이다.
미국 시장은 맨디언트, 팔로알토 네트웍스 등 세계적인 보안 기업들이 포렌식에 참여했다는 점에 높은 점수를 준 것으로 보인다. 한국 정부의 조사 결과가 나오기 전이라도, 글로벌 표준에 부합하는 전문 기관의 검증 결과가 있다면 이를 합리적 근거로 판단하는 경향이 강하다.
한국 수사기관의 반발과 여론의 악화
국내 분위기는 사뭇 다르다. 과기정통부와 개인정보보호위원회 등 정부 당국은 쿠팡의 발표를 일방적인 셀프 조사라고 비판하고 있다. 국가 기관의 공식 조사가 진행 중인 상황에서 기업이 먼저 결과를 단정 지어 발표하는 것은 수사 가이드라인을 제시하거나 여론을 호도하려는 전략으로 비칠 수 있기 때문이다.
온라인 커뮤니티와 소비자들 사이에서도 비판이 거세다. 유출된 것으로 의심되는 시점부터 발표까지 수개월의 공백이 있었던 점, 그리고 피의자가 하천에 노트북을 투기하는 등 증거 인멸을 시도했음에도 쿠팡이 단독 범행과 데이터 파기를 확언하는 것에 의구심을 표하고 있다.
과거 사례를 통한 인사이트: 페이스북과 메리어트
2018년 페이스북(현 메타)의 캠브리지 애널리틱사 사태나 메리어트 호텔의 유출 사고 당시에도 초기 추정치와 최종 확인 수치 사이의 간극은 존재했다. 당시에도 시장은 수치 축소에 민감하게 반응했으나, 결국 기업의 내부 통제 시스템이 얼마나 부실했는지가 장기 주가와 브랜드 신뢰도를 결정했다. 이번 쿠팡 사태 역시 유출 건수라는 숫자보다 퇴사자가 수개월간 보안 키를 소유하고 서버에 접속할 수 있었던 내부 통제 공백이 더 뼈아픈 지점이다.
전망과 시사점
향후 사태의 핵심은 정부 합동조사단의 검증 결과다. 만약 정부 조사에서 쿠팡의 발표와 다른 추가 유출 정황이나 관리 소홀이 드러날 경우, 쿠팡은 도덕적 해이 논란과 함께 더 강도 높은 영업 정지나 과징금 처분을 피하기 어려울 것이다.
결국 쿠팡은 뉴욕 증시의 신뢰를 얻는 데는 성공했을지 모르나, 국내 소비자들과 규제 당국과의 신뢰 회복이라는 더 큰 숙제를 안게 되었다. 이번 사태는 대형 플랫폼 기업이 위기 대응 시 투명성과 전략적 노출 사이에서 어떤 균형을 잡아야 하는지 보여주는 중요한 이정표가 될 것으로 보인다.
댓글 없음:
댓글 쓰기