[딜사이트 노연경 기자] 쿠팡이 대규모 개인정보 유출 사건 이후 미국 증권거래위원회(SEC)에 처음으로 '중대한 사이버보안 사고'가 발생했다는 공시를 냈다. 하지만 국회 청문회에 나선 해롤드 로저스 쿠팡 임시 대표는 투자자에게 정보를 알리기 위해서 공시한 것일뿐 민감도 측면에서 중대한 사고는 아니라는 취지로 답했다. 

그는 이번 사태로 3300만개 계정의 이름과 전화번호, 배송 주소, 이메일 주소 등이 유출됐지만 여기에 은행 정보, 결제 카드 정보, 아이디나 비밀번호가 유출된 것은 아니기 때문에 '민감한 정보'는 유출되지 않았다는 입장이다. 다만 개인정보보호 전문가들은 해당 정보가 누구 손에 들어갔는지에 따라 중요도는 달라진다며 특정인의 주문 내역이 유출됐다면 해당 정보만으로도 거액의 거래가 가능할 것이라고 지적했다. 

국회 과학기술정보방송통신위원회(과방위)가 17일 연 '쿠팡 개인정보 유출 청문회'에서 이정헌 더불어민주당 의원은 로저스 쿠팡 임시 대표에게 "이번 사안은 SEC에 보고할 정도로 중대한 사안이 아니라고 했는데 청문회 전날 신고한 이유가 무엇이냐"고 추궁했다.

쿠팡 모기업인 쿠팡Inc는 미국 뉴욕증권시장 상장사다. 미국에 상장된 기업은 '사이버 보안 사고가 중대하다'고 판단한 날로부터 4영업일 이내에 그 사고에 관해 공시해야 한다. 하지만 쿠팡은 지난 11월18일 개인정보 유출 사고를 인지한 뒤에도 SEC에 별다른 공시를 하지 않다 미국 현지시간으로 이달 16일에서야 첫 관련 공시를 냈다. 

이와 관련해 로저스 대표는 "SEC 규정에 따르면 이번 사고와 같은 경우 '중대한 사고'가 아니어서 특히 대상이 됐던 데이터 같은 경우에는 민감도 측면에서 중대한 사고로 규정되지 않기 때문에 공시 의무가 없다"며 "그리고 미국 개인정보 보호와 관련된 법령을 위반한 것도 아니다"라고 말했다. 

이어 그는 "다만 이번에 공시를 한 건 지금 한국에서 벌어지고 있는 이런 상황에 대해서 미국 내 투자자들이 정보의 비대칭을 겪지 않아야 하기 때문에 한 조치"라고 덧붙였다. 

결국 투자자 정보 보호를 위해 이번 공시를 진행한 것일 뿐이지 이번에 유출된 개인정보가 SEC에 공시할 정도로 민감한 정보거나 미국 개인정보 보호법을 위반하는 사항이 아니라는 의미로 해석된다. 

이와 관련해 개인정보 전문가들은 이번에 유출된 정보도 어떻게 활용하느냐에 따라 중요도는 달라질 수 있다고 지적했다. 청문회에 참고인 자격으로 출석한 김승주 고려대학교 정보보호대학원 교수는 "결제 정보보다 더 위험한 게 주문내역"이라며 "이번에 정보를 유출한 사람은 일종의 '마스터키'를 가지고 고객 개인 정보에 접근한 것이기 때문에 전국민 단위 규모의 구매 패턴을 확보했다면 한국 시장에 진출하고자 하는 이커머스 기업에 거액을 받고 거래할 수 있을 것"이라고 질타했다. 

쿠팡이 규제기관에 신고한 내용에 따르면 이번에 유출된 개인정보는 이름, 전화번호, 배송 주소, 이메일 주소 그리고 5건의 주문 내역이다. 현재 정부 민관합동조사단이 정확한 유출 경위와 추가 피해 가능성을 조사 중이다.

이날 과방위에서는 또한 소관기관인 과학기술정보통신부에 국가정보원(국정원), 공정거래위원회(공정위) 측과 협의해 쿠팡에 대한 처벌 수위와 조사 범위를 높일 것을 요구했다. 

배경훈 부총리 겸 과학기술정보통신부 장관은 박정훈 국민의힘 의원이 국민 불안이 높아지고 있으니 공정위와 쿠팡 영업정지와 관련해 더 적극적으로 논의하라고 주문하자 "적극적으로 논의하겠다. 공정위와 현장조사를 나가겠다"고 답했다. 

이어 배 장관은 국정원의 민간 합동 조사단 참여를 과기부가 거부했다는 지적에 대해서 부인하며 "필요하면 국정원과도 협력을 논의하겠다"고 말했다.