이재명 대통령은 2일 국무회의에서 쿠팡의 대규모 개인정보 유출 사태를 두고 작심 발언을 했다. “회사가 5개월 동안 유출 사실을 파악하지 못했다는 게 참으로 놀랍다. 징벌적 손해배상제도를 현실화하는 등 엄중하게 책임을 물어야 한다”는 게 주된 내용이었다. 대통령이 직접 고강도 제재를 주문함에 따라 쿠팡은 사상 최대 규모의 행정 과징금을 부과받을 것으로 보인다. 이뿐만 아니라 천문학적인 액수의 민사 배상 폭탄을 맞을 것이란 게 법조계와 유통업계의 관측이다.
◇ 커지는 소송판…“배상액 5배 뛸 수도”
이날 법조계에 따르면 법률사무소 번화는 3일 서울동부지방법원에 쿠팡을 상대로 1인당 10만원의 손해배상을 청구하는 소송을 제기한다. 전날까지 3000여 명이 소송 의사를 밝혔고, 최소 1만 명 이상이 모일 것으로 예상된다. 로피드법률사무소는 1인당 최대 50만원을 청구액으로 책정하고 피해자를 모집 중이다. 법무법인 청은 전날 서울중앙지법에 1차 소장을 제출했다.이 추세라면 연말까지 쿠팡을 상대로 한 손해배상 요구가 폭발적으로 늘 것으로 관측된다. 포털사이트에 개설된 피해자 모임 카페 가입자는 이날 기준 30만 명을 넘어섰다.
대통령 발언이 봇물 터지듯 이어지고 있는 단체소송에 기름을 부었다는 분석이 나온다. 그동안 법원은 개인정보 유출 사고에 대해 정신적 피해 위자료로 1인당 10만원 안팎을 인정하는 소극적인 태도를 보여왔다. 하지만 대통령이 ‘현실화’를 주문하고, 쿠팡의 ‘중과실’이 속속 드러나면서 분위기가 반전됐다. 현행 개인정보보호법상 기업의 고의나 중대한 과실이 입증되면 손해액의 최대 5배까지 배상하는 징벌적 손해배상이 가능하다.
곽준호 법무법인 청 대표변호사는 “쿠팡의 경우 공동현관 비밀번호, 상세한 물품 구매 이력 등 민감한 사생활 정보까지 유출 범위가 넓어 배상액이 더 커질 가능성이 높다”고 말했다. 김병국 법률사무소 번화 변호사도 “법에서 규정한 중대한 과실이 인정될 가능성이 매우 높아 징벌적 배상 판결이 나올 수 있다”고 내다봤다.
◇ 중과실 결정적 증거 나와
특히 이날 국회 과학기술정보방송통신위원회 긴급 현안 질의에서 드러난 보안 실태는 징벌적 손해배상의 핵심 요건인 중대한 과실을 입증할 만한 결정적인 ‘스모킹건’이 됐다는 평가다. 브렛 매티스 쿠팡 최고정보보안책임자(CISO)는 질의응답 과정에서 “공격자가 쿠팡 내부의 프라이빗 서명키(암호키)를 취득해 가짜 토큰을 만든 것으로 보인다”며 “이를 통해 비밀번호 입력 없이 다른 사용자인 것처럼 가장해 정보를 유출했다”고 시인했다. 류제명 과학기술정보통신부 2차관도 “공격 식별 기간은 6월 24일부터 11월 8일까지”라며 5개월간 무단 접속이 지속됐음을 공식 확인했다.보안업계에서는 “해커가 시스템을 뚫은 것이 아니라 퇴사자가 반납하지 않은 열쇠(암호키)로 5개월간 제집처럼 드나들었다는 것은 변명의 여지가 없는 명백한 관리 부실이자 중과실”이라고 보고 있다. 정치권에서도 국민의힘이 “국가 안보를 위협하는 정보 내란”이라며 특검 도입을 주장하는 등 압박 수위를 높이고 있다.
◇ 금감원, 결제정보 관련 조사 나서
“결제 정보는 안전하다”던 쿠팡의 해명도 검증대에 올랐다. 금융감독원은 이날 쿠팡의 핀테크 자회사인 쿠팡페이에 대해 전격적인 현장 조사에 착수했다. 당초 쿠팡페이는 자체 점검 후 “이번 해킹과 무관하다”고 보고했다. 하지만 금감원은 이를 신뢰할 수 없다고 판단해 검사 인력을 투입했다. 결제 정보 유출이나 은폐 정황이 포착되면 전자금융거래법 위반으로 영업정지 수준의 중징계가 불가피하다.정부는 행정 제재 수위를 최고조로 끌어올릴 태세다. 이정렬 개인정보보호위원회 부위원장은 이날 국회에서 최대 1조원대 과징금 부과 가능성을 묻는 질의에 “중점적으로 검토하고 있다”고 답했다. 현행법상 전체 매출의 3%까지 과징금 부과가 가능하다. 지난해 매출 41조원을 기록한 쿠팡은 산술적으로 1조2000억원 이상의 과징금 폭탄을 맞을 수 있다.
소비자단체협의회는 이날 “이번 사고는 소비자의 일상과 안전을 뒤흔든 초유의 참사”라며 “실질적 책임자인 김범석 의장이 직접 사죄하고 배상안을 내놓으라”고 압박했다.
안재광/장서우/라현진 기자 ahnjk@hankyung.com
