‘전(前) 직원이 약 3300만 명의 고객 계정 정보와 일부 주문 내역을 탈취했을 가능성을 확인했다.’
16일(현지시간) 쿠팡이 미국 증권거래위원회(SEC)에 제출한 수시 보고서의 핵심 내용이다. 보고서 내용을 뜯어보면 쿠팡이 왜 그동안 그토록 방어적인 태도를 취했는지, 그리고 앞으로 어떤 논리로 이 파고를 넘으려는지가 명확해진다는 분석이 나온다. ◇“시스템은 뚫리지 않았다”
17일 유통업계와 법조계에 따르면 이번 공시에서 가장 주목되는 부분은 사건의 원인 규명이다. 쿠팡 측은 ‘사이버 보안 사고’라고 명명하면서도 그 주체는 ‘외부의 위협 행위자’(해커)가 아닌 ‘전 직원’이라고 못 박았다.
외부 해커에게 시스템이 뚫렸다면 쿠팡이 내세워 온 ‘최첨단 테크 기업’으로서의 위상에 치명타를 입게 된다. 수천억원을 들여 구축한 시스템이 뚫렸다는 비판은 기업 가치의 근간인 기술력을 근본적으로 훼손하기 때문이다.
하지만 쿠팡은 이번 사태를 ‘기술의 실패’가 아닌 ‘관리의 실패’로 규정했다. ‘시스템은 정교하지만, 접근 권한을 가진 내부 직원의 일탈까지 기술로 막기는 어려웠다’는 논리다. 이는 시스템 보안 문제가 없다는 명분을 챙기면서 책임을 개인의 범죄와 내부통제 이슈로 국한하려는 고도의 법적 포석이란 게 업계의 진단이다.
쿠팡은 공시에서 “어떤 금융정보나 비밀번호도 유출되지 않았다”고 강조했다. 이는 미국 내 개인정보 관련 집단소송을 의식한 것으로 해석된다. 미국에선 실질적인 금전 피해 가능성이 배상액을 결정하는데, 금융정보가 포함되지 않았다면 방어할 여지가 생긴다.
그럼에도 쿠팡의 법적 리스크는 남아 있다. 뉴욕증권거래소(NYSE)에서 쿠팡 주가가 최근 한 달 새 16%가량 떨어졌기 때문이다. 주가 하락은 새로운 형태의 소송 리스크로 이어질 공산이 크다. ‘프라이버시 소송’은 최소화할 수 있을지 몰라도 주가 하락에 따른 ‘증권 집단소송’이 제기될 수 있어서다.
로젠 등 미국 현지 로펌 10여 곳은 이미 투자자를 대상으로 소송 참여자를 모집 중이다. 이들은 “쿠팡이 투자 판단에 중요한 정보를 제때 알리지 않아 증권법을 위반했고, 이로 인해 주가가 떨어져 투자자들이 손해를 봤다”고 주장한다. ◇법리 문제에 치중하는 쿠팡해럴드 로저스 최고관리책임자(CAO)가 한국 법인을 새로 이끌게 된 배경도 소송과 맞닿아 있다. 쿠팡은 공시에서 “경영진의 주의가 분산되고 소송비용이 발생할 것”이라고 했다. ‘앞으로 영업이 아니라 재판하느라 바쁠 것’이란 의미다.
이 같은 기조는 이날 국회에 증인으로 출석한 로저스 대표의 태도에서도 드러났다. 그는 “이번 사건은 시스템 문제가 아닌 특정 개인의 범죄”라고 선을 그으며 철저히 법리적 방어에 집중했다. 의원들의 질타에도 통역을 거치며 시간을 벌고, “수사 중인 사안”이라며 구체적인 답변을 대부분 피해 갔다.
쿠팡의 이런 대응은 국회와 정부의 반발을 불러오고 있다. 이날 국회 상임위원회에서는 중대 개인정보 유출 기업에 전체 매출액의 최대 10%까지 과징금을 부과하는 법안이 통과됐다. 쿠팡은 공시에서 “한국 당국이 과징금을 부과할 것이 확실하지만 규모는 추산 불가”라고 했다.
실제 과징금 규모는 추산하기 어려울 만큼 커질 가능성이 있다. 쿠팡의 지난해 매출은 40조원을 웃돌았다. 현행 3%만 적용해도 과징금은 최대 1조원 이상이다. 개정안이 적용되면 최대 4조원 이상으로 껑충 뛴다. 창업자인 김범석 의장의 국회 불출석과 늑장 공시, 그리고 책임을 특정 개인에게 돌리는 듯한 태도가 규제 리스크를 최고조로 끌어올렸다는 지적이 나오는 이유다.
안재광/배태웅 기자 ahnjk@hankyung.com