사태 장기화 부담 해소 움직임 
청문회 공백→책임 회피 논란
대규모 TF 가동, 원인 규명 방침 

쿠팡이 개인정보 유출 사태와 관련해 전 회원을 대상으로 1인당 5만원 상당의 보상안을 내놓으면서 사태 수습 국면에 들어섰다. 법적 책임 범위를 넘어선 대규모 보상이라는 점에서 사태의 장기화에 따른 법적·정치적 부담을 줄이기 위한 선택으로 해석된다. 다만 현금이 아닌 자사 구매 이용권 형태라는 비판과 함께 책임자로 지목된 핵심 경영진이 국회 청문회에 출석하지 않으면서 논란은 완전히 해소되지 않는 모양새다. 쿠팡과 정부 측 입장이 크게 엇갈리는 가운데, 이번 보상과 대응 방식이 향후 개인정보 유출 사고에서 어떤 기준점으로 작용할지도 초미의 관심사로 떠올랐다. 

소송·추가 제재 가능성 낮추려는 선제적 조치

29일 쿠팡은 공식 성명을 내고 3,370만 계정 고객에게 1인당 총 5만원 상당의 구매 이용권을 지급한다고 밝혔다. 해롤드 로저스(Harold Rogers) 한국 쿠팡 임시대표는 성명에서 “쿠팡의 모든 임직원은 자사에서 발생한 개인정보 유출 사태가 고객에게 얼마나 큰 우려와 심려를 끼쳤는지 깊이 통감하고 있다”며 “이번 사태로 피해를 본 소비자들을 위해 책임감 있는 조치를 취하는 차원에서 보상안을 마련했다”고 밝혔다. 쿠팡이 제시한 보상 규모는 총 1조6,850억원으로 단일 개인정보 유출 사건 기준 국내 최대 수준이다.

이번 보상안의 가장 큰 특징은 실제 정보가 외부로 유출된 것으로 확인된 약 3,000여 명이 아니라 개인정보 유출 통지를 받은 3,370만 계정 전원을 대상으로 했다는 점이다. 유료 멤버십 회원과 일반회원 구분 없이 동일한 보상이 적용되며, 이미 탈퇴한 고객도 포함됐다. 쿠팡은 내년 1월 15일부터 △로켓배송·로켓직구·마켓플레이스 전 상품에 사용할 수 있는 5,000원권 △쿠팡이츠 5,000원권 △쿠팡트래블 2만원권 △알럭스 2만원권 등 4종의 구매 이용권을 순차 지급할 계획이다. 

이번 보상 규모는 쿠팡의 재무 지표와 비교해도 부담이 적지 않다. 1조6,850억원은 쿠팡의 올해 1~3분기 합산 순이익 3,841억원의 약 4.4배에 달하고, 지난해 연간 순이익 940억원과 비교하면 17배가 넘는 수준이다. 여기에 쿠팡이 지난 10년간 국내 물류 인프라 구축에 투입한 누적 투자액이 6조2,000억원가량이라는 점을 고려하면, 이번 보상안은 그간 물류 투자 규모의 약 30%에 해당한다. 이는 그만큼 쿠팡이 이번 사안을 기업 신뢰 전반의 문제로 인식하고 있다는 신호로 읽힌다.

나아가 쿠팡이 이처럼 강도 높은 보상안을 택한 배경에는 사태 장기화에 따른 리스크 계산이 깔려 있다. 개인정보 유출 사고가 소송과 집단 분쟁으로 확산될 경우, 법적 비용과 규제 리스크는 물론 플랫폼 신뢰도 하락에 따른 이용자 이탈이 불가피하다. 특히 정치권의 강도 높은 문제 제기와 정부 차원의 조사가 본격화한 상황에서 ‘전면 보상’이라는 선택지는 논란의 불씨를 조기에 차단하는 수단으로 작용할 수 있다. 업계에서는 “쿠팡이 ‘법적 최소 책임’보다 ‘사회적 비용 최소화’를 택한 모양새”라는 평이 주를 이룬다. 

다만 보상안의 실효성에 대해선 의문이 뒤따른다. 현금이 아닌 자사 구매 이용권 형태라는 점에서 실질 보상 효과가 제한적일 수밖에 없다는 지적이다. 실제로 쿠팡이 제시한 보상안에서 소비자들이 주로 이용하는 쿠팡과 쿠팡이츠를 통한 즉시 활용 가능 금액은 1만원에 그치는 반면, 이용 빈도가 상대적으로 낮은 쿠팡트래블과 알럭스에는 4만원이 배정됐다. 플랫폼 내에서만 사용 가능한 구조 역시 소비자들의 피해에 대한 보상이라기보다는 고객을 플랫폼 내에 묶어두고 추가 소비를 유도하는 전략이라는 비판이 지배적이다. 

사과 메시지-실제 책임 이행 간극

쿠팡 창업주인 김범석 쿠팡Inc 이사회 의장을 비롯해 김유석 쿠팡 부사장, 강한승 전 쿠팡 대표 등 유력 책임자들이 국회 청문회에 일제히 불출석 의사를 밝힌 점 역시 비판의 대상이다. 김 의장과 김 부사장은 오는 30∼31일 열리는 국회 연석 청문회에 대해 이미 예정된 일정 변경이 어렵다는 사유를 제출했고, 강 전 대표는 현재 미국에서 근무 중이며 대표이사를 사임한 지 7개월이 지나 회사 입장을 대표할 위치에 있지 않다는 이유를 들었다. 개인정보 유출이라는 중대한 사안의 책임 소재를 다루는 자리에서 핵심 인물들이 모두 빠지면서 청문회의 취지가 훼손됐다는 지적이다. 

이 같은 상황은 불과 주 전 진행된 청문회를 떠올리게 한다. 지난 17일 청문회에는 개인정보 유출 이후 선임된 로저스 임시대표가 출석했지만, 사고 경위와 책임 소재에 대해 명확한 답변을 내놓지 못하면서 ‘맹탕 청문회’라는 평가를 받았다. 이번 연석 청문회 역시 실질 책임자가 배제된 채 실무진 위주로 진행될 경우, 같은 결과를 반복할 가능성이 크다는 관측이다. 이번 연석 청문회에는 로저스 임시대표를 비롯해 브랫 매티스 정보보호최고책임자(CISO), 박대준 전 대표, 민병기 대외협력 총괄 부사장, 이재걸 법무담당 부사장, 이영목 커뮤니케이션 총괄 부사장 등이 출석할 예정이다.

문제는 쿠팡Inc 의결권의 약 70%를 보유한 실질적 경영자인 김 의장이 빠진 상태에서는 의사결정 구조와 책임 판단을 놓고 핵심 질의가 공전할 수밖에 없다는 점이다. 그간 김 의장은 노동 문제와 플랫폼 규제 등과 관련해 국회의 출석 요구에 한 차례도 응하지 않았으며, 미국 증시 상장사인 쿠팡Inc의 실적 발표 콘퍼런스콜을 통해서만 경영 방침을 설명해 왔다. 이 때문에 국회 내부에서는 김 의장의 불출석이 이어질 경우 국정조사 추진과 동행명령장 발부, 입국 금지 조치 검토 등 추가 압박 수단까지 거론되는 분위기다. 

사과 메시지와 책임 이행 사이의 간극도 논란을 키우는 요소다. 김 의장은 28일 서면 사과문에서 “사고 초기부터 명확하고 직접적으로 소통하지 못해 좌절감과 실망을 안겨드렸다”고 밝히며 정부와의 협조를 강조했다. 다만 사과 시점이 사고 공지 한 달 뒤였고, 국회 출석 요구에는 응하지 않겠다는 입장이 유지되면서 진정성 논란은 쉽게 가라앉지 않는 모습이다. 한국소비자단체협의회는 쿠팡 측의 이러한 대응을 “안하무인격 행위”로 규정하며 “최고 책임자의 직접 사과와 투명한 정보 공개, 실질적 피해 구제를 촉구한다”고 강조했다. 

“정부 지시로 조사” vs. “확인된 내용 없어” 

앞서 25일 쿠팡은 정부와 협력해 개인정보 유출 혐의를 받는 전 직원으로부터 사건 경위에 대한 진술을 확보하고, 범행에 사용된 데스크톱 PC와 맥북 에어 등 관련 장비를 회수했다고 밝혔다. 쿠팡은 해당 조치가 ‘자체 조사’가 아니라 정부의 지시에 따른 것이라고 강조하며 “유출자 진술과 관련 장비 디지털 포렌식 결과를 종합한 결과 실제로 저장된 고객 개인정보는 3,000건 수준이었으며, 외부 전송은 없었다”고 설명했다. 그러면서 “확보된 정보는 현재 모두 삭제됐으며, 관련 자료와 장비는 정부에 제출했다”고 밝혔다.

그러나 정부 부처들의 설명은 쿠팡의 주장과 달랐다. 과학기술정보통신부는 “쿠팡의 주장은 민관합동조사단에 의해 확인되지 않았다”며 쿠팡이 독자적으로 조사한 결과를 일방적으로 발표한 것이 아니냐는 의문을 낳았다. 국가정보원 역시 “쿠팡 측에 어떠한 지시를 할 입장이 아니며, 지시한 바도 없다”고 선을 그었다. 국정원은 외국인에 의한 대규모 개인정보 유출 가능성을 국가안보 차원에서 인식해 정보 수집·분석을 위한 업무 협의를 진행한 것은 사실이나, 구체적인 지시나 수사 주도는 없었다고 설명했다.

쿠팡은 재차 반박에 나섰다. 26일 쿠팡은 “이번 조사는 정부의 지시에 따라 몇 주간 매일 정부와 긴밀히 협력하며 진행했다”고 강조했다. 쿠팡 측 설명에 따르면 9일 정부가 유출자 접촉을 제안했고, 14일 첫 접촉이 이뤄졌다. 이후 16일에는 유출자의 데스크톱 PC와 하드 드라이브를 1차 회수해 정부에 제공했고, 18일에는 인근 하천에서 맥북 에어를 추가로 회수해 포렌식 절차를 거쳐 즉시 인계했다. 이어 21일 정부의 허가를 받아 하드 드라이브와 노트북PC, 지문 날인이 포함된 진술서 3건을 경찰에 제출했으며, 수사 기밀 유지 요청에 따라 세부 내용 공개를 자제했다는 설명이다. 

이는 경찰의 설명과도 일정 부분 차이를 보인다. 경찰 관계자는 같은 날 “노트북 등 증거가 임의 제출된 21일 이전까지 피의자 접촉이나 증거 확보 과정에서 쿠팡과 사전에 협의한 내용이 없다”며 “쿠팡이 언급한 ‘정부’가 어느 기관인지도 확인되지 않았다”고 꼬집었다. 이 때문에 쿠팡의 ‘정부 지시’ 주장과 실제 수사 당국의 역할을 둘러싼 책임 공방은 걷잡을 수 없이 커지는 양상이다. 민관 협력의 범위와 주체가 명확히 정리되지 않은 상태에서 쿠팡의 대응 방식이 적절했는지를 두고 논란이 거세지는 분위기다.

이와 별도로 정부는 사태의 파급력을 고려해 범부처 차원의 대응에 나섰다. 과기정통부와 국정원, 경찰청, 개인정보보호위원회, 방송통신위원회, 금융위원회, 공정거래위원회 등 7개 기관은 쿠팡 해킹 사태 대응을 위한 태스크포스(TF)를 구성했다. 정부는 18일 배경훈 부총리 겸 과기정통부 장관 주재 과학기술관계장관회의에서 이를 긴급 안건으로 상정하고, 류제명 과기정통부 2차관을 TF 팀장으로 지정했다. 향후 △수사 상황 공유 △이용자 보호 대책 △쿠팡의 책임 강화 방안 등을 중점적으로 논의한다는 방침이다.