“쿠팡 ‘유출’을 왜 ‘노출’이라 썼나…김범석의장은 항상 뒤에 숨어”

과방위, 쿠팡 박대준 대표 질타…“과징금 1조 이상, 망할수 있다는 것 보여줘야”

박대준 쿠팡 대표이사가 2일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 관련 현안 질의에서 고개 숙여 인사하고 있다. 2025.12.2/뉴스1

국회 과학기술정보방송통신위원회(과방위) 소속 여야 의원들이 3370만 명의 개인정보가 유출된 쿠팡 사태에 대해 한 목소리로 비판했다. 과방위는 2일 국회에서 전체회의를 열고 쿠팡의 대규모 개인정보 유출 사태 관련 긴급 현안질의를 진행했다. 여야 의원들은 이번 사태와 관련한 주요 경과 등을 보고 받고 대응 상황 등을 따져 물었다. 이 자리에는 박대준 쿠팡 대표이사와 이정렬 개인정보보호위원회 부위원장, 류제명 과학기술정보통신부 2차관 등이 참석했다.

여야 의원들은 쿠팡 창업자인 김범석 쿠팡Inc 이사회 의장이 직접 사과하지 않는 점 등을 비판했다. 첫 질의에 나선 더불어민주당 이훈기 의원은 “3300만 개 계정의 개인정보가 유출됐다. 국내 사상 초유의 유출 사고가 아닌가 싶다”며 “외연만 확장한 쿠팡이 보안에 얼마나 소홀하고 무책임했는가를 모든 국민이 느끼셨을 것”이라고 지적했다. 이어 “김 의장이 직접 사과할 의향은 없느냐”며 “그 분은 항상 뒤에 숨어 있다”고 했다. 김 의장은 2021년 쿠팡 한국 법인 이사회 의장직과 등기이사직에서 물러났다. 일각에선 실질적 권한 책임자로 꼽히는 김 의장이 직접 사과해야 한다는 목소리가 나오고 있다. 

박 대표는 이에 대해 “한국 법인에서 벌어진 일이고 제 책임하에 있기 때문에 제가 다시 한번 사과 말씀을 드리고 싶다”고 고개를 숙였다. 이어 “이 사건에 대해서 제가 전체 책임을 지고 있고 제가 한국법인의 대표로서 끝까지 책임을 지고 사태가 수습될 수 있도록 최선의 노력을 다하겠다”고 했다. 또 쿠팡이 유출 사태 직후 이용자들에게 ‘개인정보 유출’이 아닌 ‘노출’이라는 표현을 쓴 데 대해 이 의원은 “과징금 등을 생각해서 이런 표현을 했는지 모르겠지만 국민들을 기만한 것”이라고 질책했다. 박 대표는 “어떤 책임을 모면하고자 하는 의미는 아니었다”며 “다른 의도는 없었다”고 했다. 이어 “생각이 좀 부족했었던 것 같다”고 말했다.

개인정보보호법상 개인정보 도난·유출 시 기업에는 전체 매출의 최대 3%까지 과징금이 부과될 수 있다. 개인정보위는 2300만 명의 개인정보 유출사고를 낸 SK텔레콤에 8월 과징금 1348억9100만 원을 부과했다. 이에 따라 쿠팡의 지난해 매출(약 41조 원) 규모를 고려하면 과징금이 최대 1조2000억 원대에 이를 수 있다는 전망이 나온다. 이 의원은 “쿠팡이 이 과징금을 물고 기업이 잘못하면 망할 수도 있다는 것을 이번에 확실하게 보여줘야 된다”며 “과징금 물어야하지 않느냐, 법대로”고 말했다. 이에 박 대표는 “책임을 회피할 생각 없다”고 했다. 이정렬 부위원장은 1조 원대 과징금에 대해 “그 부분은 조사 중”이라며 “엄정 조사하겠다”고만 답했다. 

박대준 쿠팡 대표이사가 2일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 관련 현안 질의에서 의원 질의에 답변하고 있다. 2025.12.2/뉴스1

국민의힘 박정훈 의원은 “이름과 전화번호, 주소가 딱 나온 종합세트 같은 정보가 나간 건 처음”이라며 “개인통관번호도 유출돼서 밀수 등에 이용될 수 있고 보이스피싱은 기본이고 별별 범죄가 다 가능하다. 엄청난 문제를 일으킨 것”이라고 강하게 질책했다. 박 대표는 이에 대해 “우려점에 대해서는 죄송하다는 말씀을 드리고 피해가 없도록 최선의 노력을 다하도록 하겠다”고 했다. 박 의원은 이어 “전자상거래법 32항을 보면 통신판매로 재산상 손해가 났을 경우 영업정지를 할 수 있다”고 언급했다. 이에 류 차관은 관계 기관과 검토하겠다는 취지로 답했다. 박 의원은 또 “김범석 의장 지금 어디 있느냐”며 책임론을 부각하기도 했다. 

한편 쿠팡의 대규모 개인정보 유출 핵심 원인으로 ‘액세스 토큰’과 ‘인증키’에 대한 관리 부실이 지목되고 있다. 인증 관련 업무 담당자였던 중국인 직원이 퇴사한 뒤에도 인증키를 폐기하지 않고 고객 개인정보에 자유롭게 접근한 것이다. 이러한 ‘인증키’ 악용은 올해 6월부터 5개월간 이어졌던 것으로 확인됐다. 류 차관은 이날 정보보고에서 “공격 기간이 6월 24일부터 11월 8일까지”라며 “공격자는 정상적 로그인 없이 고객 정보를 수차례 비정상으로 접속해 유출했다”고 설명했다. 이어 “유출 정보 등을 악용해 2차 피해가 발생할 우려가 있어 피해 발생 여부에 대한 모니터링을 강화하고 유관기관과 공조해 피해를 방지할 것”이라고 했다.

조혜선 기자 hs87cho@donga.com