과학기술정보방송통신위원회의 쿠팡 개인정보 유출 사고 관련 현안질의가 지난 2일 서울 여의도 국회에서 열렸다. 박대준 쿠팡 대표이사가 생각에 잠겨 있다. 김민수기자 mskim@etnews.com


쿠팡이 지난해 개인정보 15만여건 유출 사고 건으로 개인정보보호위원회에 나와 소명하는 자리에서 금융·통신·플랫폼 정보보호 투자 1위 기업보다 더 많이 투자했다고 항변한 것으로 확인됐다. 선제적·자발적으로 개인정보 보호에 투자했으니 선처해달라는 의미다.
쿠팡의 잇따른 개인정보 유출 사고가 내부 보안 게임릴사이트 등 기본을 지키지 않아 발생한 만큼 단순 정보보호 투자가 '안전하다'는 착각을 불러일으키는 '보안 극장'(Security Theater)을 단적으로 보여주는 대목이다.
개인정보위 2024년 제19회 전체회의 속기록을 보면, 쿠팡 대리인은 “정보보호 공시 기준 2023년 쿠팡의 투자액(639억원)이 금융업(542억원), 통신업(550억원), 사이다릴게임 플랫폼(416억원) 1위 기업에 비해 많게는 200억원 이상 크다”고 말했다.
쿠팡이 전체회의에 선 것은 2020년 8월부터 2021년 11월까지 쿠팡이츠 배달원 13만5000여명의 개인정보(이름·전화번호)가 음식점에 전송되는 등 두 차례 개인정보 유출 사고가 발생했기 때문이다.
대리인은 “배달원 안심번호 서비스를 제공 릴박스 하던 과정에서 특정 포스사업자의 연결 미숙 때문”이라며 “누가 강제하거나 시키지는 않았지만, 쿠팡이 자발적·선제적으로 개인정보 보호를 잘하려는 노력 과정에서 발생했다”고 호소했다.
개인정보위는 쿠팡 측 주장을 받아들이지 않고 총 15억8865만원의 과징금·과태료를 쿠팡에 부과했다. 별도 계약이나 예측 가능성이 없어 '유출'로 봤으며, 응용 바다신릴게임 애플리케이션(API) 보안 취약점을 주기적으로 검토하지 않아 개인정보 유출이 2년여간 이어져 사소한 부주의나 오류로 볼 수 없다고 판단해서다.
쿠팡은 보안 극장에 갇힌 한국 현실을 잘 보여준다는 분석이다. 쿠팡은 올해 정보보호 투자액이 890억원으로 국내에서 삼성전자와 KT에 이어 세 번째로 높지만, 내부 서명키 관리 등 기본적인 보안을 바다이야기게임2 소홀히 해 약 3370만개에 달하는 개인정보를 유출했다. 쿠팡이 취득한 정보보호 및 개인정보 보호 관리체계 인증(ISMS-P) 인증과 정보보호 국제표준(ISO27001) 인증 역시 보안 극장에서 상영되는 한 장면에 불과했다.
보안 전문가들은 이동통신3사·SGI서울보증·예스24·업비트에 이어 쿠팡까지 사이버 보안 사고가 연이어 발생하는 등 국가 사이버 위기 상황이라고 진단한다. 또 보안의 근본으로 돌아가야 한다고 입을 모은다.
염흥열 순천향대 정보보호학과 명예교수는 “단기적으론 올해 발생한 사고 원인과 취약점을 해소할 수 있는 보호 대책을 모든 개인정보처리자와 정보통신서비스제공자에게 공유해야 한다”며 “장기적으로 실질적인 보안이 작동할 수 있도록 운영·유지·개선할 수 있는 정보보호 관리체계를 구축할 필요가 있다”고 말했다.
김휘강 고려대 정보보호대학원 교수는 “쿠팡 정도 되는 기업은 웬만한 필수 보안 솔루션은 이미 도입해 운영하고 있고 기술적 투자는 타사 대비 우월한 점도 있지만, 내부 인사 보안과 맞물려 얼마나 주의 의무를 다해 운영했는지가 중요했다”며 “기술 부서나 사업장이 여러 지역 및 국가에 분산돼 있고 해외 자본이 유입된 해외에 상장된 기업의 경우엔 접근제어를 더욱 정교하게 했어야 했다”고 지적했다.
조재학 기자 2jh@etnews.com