범인 신상 함구...한중 관계·미 의회 조사 의식 의혹
2차 피해는 미확인...개보위 최종 결론에 쏠린 눈
쿠팡 침해 사고 관련 민관합동조사단은 그동안의 조사 결과를 잠정 발표하면서 구체적인 개인정보 유출 규모와 대략적인 범행 수법을 밝혀냈다. 범인의 협박 내용은 물론 쿠팡의 미흡한 대응과 뒤늦은 신고도 고스란히 공개됐다.
다만 특정 국적 인물로 거론된 범인 신상을 공식 발표하지 않았고, 세부 유출 규모도 개인정보보호위원회(개보위)가 추후 밝히겠다고 여지를 남겼다. 일각에서는 정부가 한중 간 외교적 관계를 고려해 몸을 사렸다는 해석과 미국 하원의 쿠팡조사 전 우리 정부가 나서 먼저 발표하는 등 시기조절을 했다는 분석이 나온다.
정부는 이번 쿠팡 개인정보 유출자인 쿠팡 전 직원을 '공격자'와 '범인'이라고 표현하면서도 '내부 퇴직자'라고 했다. 쿠팡 재직 당시 이용자 인증 시스템 설계·개발 업무를 수행한 소프트웨어(SW) 개발자로, 자신이 관리한 인증 시스템의 서명키를 훔친 뒤 이를 활용해 전자 출입증(토큰)을 위변조했다. 이를 통해 정상적인 로그인 절차 없이도 퇴사 후 쿠팡 서비스에 무단접속이 가능했다.
조사단은 범인이 시스템 장애 등 백업을 위한 이용자 인증 시스템을 잘 파악한 터라, 이용자 인증과 키 관리체계의 취약점을 인지한 후 정보를 유출한 것으로 봤다. 앞서 그는 지난해 11월 16일과 25일 두 차례에 걸쳐 한국어가 아닌 영어로 협박 메일을 보낸 것으로 확인됐다. 특히 유출한 정보 일부를 영어 이메일 본문에 기재하는 '대범함'도 보였다. 범인이 한국인이 아닌 외국인, 그동안 일각에서 제기된 중국 국적 퇴사 직원으로 추정할 수 있는 대목이다. 그럼에도 조사단은 범인의 구체적 신원과 국적을 명시하지 않았다.
조사단은 기자단과의 질의응답에서도 쿠팡을 퇴사한 중국인 직원 연루 여부에 대해 "경찰이 수사할 영역"이라며 말을 아꼈다. 이로 인해 범인 국적과 신분이 특정되지 않고 조사 결과를 발표한 것이다. 이를 두고 정부가 최근 한중정상회담 등 해빙 무드인 한중 간 외교 관계를 고려했다는 해석이 나온다.
또한 구체적 개인정보 유출 규모에 대해서도 개보위가 공개할 몫이라고 조사단은 말을 아꼈다. 쿠팡에서 유출된 정보가 성명·이메일 3367만여건, 배송지 목록 페이지 1억4800만여 회 조회 등으로 확인됐다면서도 세부적인 개인정보 유출 규모를 공개하지 않았다.
그러면서도 쿠팡 개인정보 유출에 따른 2차 피해는 아직 확인되지 않았다고 밝혔다. 쿠팡 침해 사고는 "인증체계 관리 소홀의 문제"라며 "지능화된 (외부) 공격으로 보기 어렵다"는 입장도 밝혔다. 사실상 개보위가 구체 유출 규모와 위법성 여부에 관해 최종 결론을 낼 것으로 관측된다.
이처럼 국민 입장에서는 다소 개운치 못한 결과를 조사단이 예정보다 서둘러 발표한 것을 두고 여러 말이 오간다. 이커머스업계 일각에서는 조만간 열릴 미국 의회(하원)의 쿠팡 조사를 의식한 것이란 해석이 나온다. 미 하원 법사위는 5일(현지시간) 쿠팡 사태와 관련 한국 정부의 '차별'을 주장하며 해롤드 로저스 쿠팡 임시 대표에게 보낸 소환장을 공개했다.
조사단의 이번 발표는 우리 정부의 조사 주도권을 유지하는 동시에 조사의 객관성, 신뢰성을 알려 향후 있을 쿠팡에 대한 과태료 등 제재에 '명분 쌓기'를 한 것이란 분석도 나온다. 조사단은 "외부 변수를 고려하지 않았다"고 선을 그었다. 그럼에도 업계 한 관계자는 "범인 국적과 한국쿠팡 모회사가 있는 국가(중국과 미국) 모두를 염두에 두고, 조사단이 다소 개운치 않은 결과를 서둘러 발표한 느낌"이라고 전했다.
한편 쿠팡은 미국 투자사들의 문제 제기와 한국 정부에 대한 국제투자분쟁(ISDS) 추진 움직임은 "회사 공식 입장과는 무관하다"는 입장이다. 쿠팡 차원에서 미국 정부에 별도 문제를 제기하거나 외교채널 대응에 나선 것은 아니라는 취지다.
