쿠팡 제재 수위 높이나… "과징금 강화·징벌적 손배제 현실화"

대통령 "사고 원인 규명하고 엄중 책임 물어야"
소비자단체는 "책임 있는 해결 방안 마련" 요구

국내 이커머스(전자상거래) 시장 1위 업체인 쿠팡에서 3천만건이 넘는 대규모 정보 유출 사고가 발생했다. 쿠팡은 현재까지 고객 계정 약 3천370만개가 유출된 것을 확인했다. 이는 국내 성인 네 명 중 세 명의 정보에 해당하며, 사실상 쿠팡 전체 계정에 맞먹을 것으로 추정된다. 사진은 30일 서울 송파구 쿠팡 본사. 연합뉴스

국내 최대 전자상거래 기업 쿠팡에서 발생한 3천370만명 규모 개인정보 유출사고에 관한 논란이 이어지고 있다. 쿠팡 대처를 두고 비판이 높아지는 가운데 기록적 과징금이 부과될 가능성도 커졌다. 정부는 이재명 대통령 지시에 따라 개인정보 보호·관리를 소홀히 한 기업에 대한 과징금 강화, 징벌적 손해배상제도 적용 등을 검토하기로 했다.

◆"과징금 강화·징벌적 손배제 가동" 지시

이재명 대통령은 2일 국무회의에서 "쿠팡 때문에 우리 국민의 걱정이 많다"면서 "사고 원인을 조속하게 규명하고 엄중하게 책임을 물어야 한다"고 말했다.

이어 "피해 규모가 약 3천400만건으로 방대하기도 하지만, 처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다"면서 "관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서 달라"고 지시했다.

징벌적 손해배상은 가해자의 불법행위에 대해 피해자가 입은 재산상 손해를 넘어 추가 배상을 부과하는 제도다. 손해에 상응하는 액수를 보상하는 보상적 손해배상과 달리 실제 손해액보다 많은 금액을 배상하도록 해 유사한 부당행위가 재발하지 않도록 예방하는 형벌적 성격을 띤다.

이 대통령은 또 "인공지능(AI), 디지털 시대의 핵심 자산인 개인정보 보호를 소홀히 여기는 것은 잘못된 관행"이라며 "초연결 디지털 사회를 맞아 민간과 공공을 아우르는 '패러다임 시프트(전환)' 수준의 새로운 디지털 보안 제도를 조속히 시행해 달라"고 주문했다.

◆로그인 없이 비정상 접속해 정보 유출

민관 합동조사단을 통해 쿠팡 정보 유출사고 원인을 조사 중인 과학기술정보통신부는 "공격자는 로그인 없이 여러 차례 비정상으로 접속해 고객정보를 유출했다. 이 과정에서 쿠팡 서버 접속 시 이용되는 인증용 토큰을 전자 서명하는 암호키가 사용됐다"고 밝혔다.

류제명 과기정통부 2차관은 이날 국회 과학기술정보방송통신위원회가 진행한 쿠팡 정보 유출사고 관련 긴급 현안질의에서 대응 경과보고를 통해 이 같이 말했다. 류 차관은 또 "지난해 7월부터 올해 11월까지 전수 로그 분석을 한 결과 3천만개 이상 계정에서 개인정보가 유출됐다"며 "식별된 공격 기간은 지난 6월 24일부터 11월 8일까지"라고 했다.

박대준 쿠팡 대표는 이 자리에서 정보유출 용의자로 지목된 전직 중국 직원에 관해 "인증업무를 한 직원이 아니라 인증 시스템을 개발하는 개발자였다"고 설명했다. 박 대표는 "혼자 일하는 개발자는 없다. 여러 인원으로 구성된 개발팀이 여러 역할을 갖고 팀을 구성한다"면서 피의자 규모에 대해 "단수나 복수라고 단정할 수 없다"고 말했다.

◆소비자단체 "김범석 의장 사죄해야"

소비자단체는 김범석 쿠팡Inc 이사회 의장 등을 겨냥해 비판 목소리를 높였다. 한국소비자단체협의회는 이날 국회에서 기자회견을 열고 "쿠팡에서 3천370만명의 개인정보 유출이라는 소비자 피해가 발생했다"며 "김범석 의장은 소비자에게 사죄하고 책임 있는 해결 방안을 마련하라"고 촉구했다.

이어 "쿠팡은 개인정보 유출사건에 대한 사실관계를 투명하게 공개하고 소비자 보호와 배상 대책을 수립하라"고 했다. 소비자 사이에서 쿠팡 탈퇴 과정이 복잡하다는 문제가 제기된 점과 관련해서는 모바일 등 모든 기기에서 1단계 탈퇴가 가능하도록 개선할 것을 요구했다.

'정보보호 및 개인정보 보호 관리체계 인증(ISMS-P)' 등 관리 제도를 손봐야 한다는 지적도 제기했다.

협의회는 "반복되는 개인정보 유출사건에 대한 범정부 대책을 수립하고, 대규모 개인정보 처리 사업자의 개인정보 보호 실태를 전수 조사해야 한다"며 "실효성 없는 ISMS-P 제도를 전면 재검토하고 소비자 피해에 대한 집단소송제, 징벌적 손해배상, 입증책임 전환제도를 조속히 도입하라"고 강조했다.