[서울=뉴스핌] 남라다 기자 = 대규모 개인정보 유출 규모를 둘러싸고 정부와 쿠팡 간 진실공방이 격화하고 있다.

정부는 정보유출 규모를 3000만건 이상으로 판단하고 있는 반면, 쿠팡은 정보유출 용의자인 중국 전 직원의 하드 드라이브에 저장된 회원 계정 데이터가 3000건에 불과하다는 취지의 자체 조사 결과를 제시했다. 양측이 제시한 수치의 격차가 1만배에 달하면서 유출 규모를 둘러싼 논란이 확산되고 있다. 

◆경찰 vs 쿠팡, 유출 규모 격차 1만배 

이번 논란의 핵심은 '유출'을 어디까지로 보느냐에 있다. 경찰과 정부는 고객 개인정보가 서버 밖으로 나간 순간을 유출의 기점으로 본다.

박정보 서울경찰청장은 전날 열린 정례 브리핑에서 "성명과 이메일 등이 포함된 자료가 서버를 빠져나간 건수가 계정 기준 3000만 건 이상"이라고 못 박았다.

배경훈 과학기술정보통신부 부총리 역시 지난해 말 열린 국회 연석 청문회에서 "유출 규모는 3300만 건 이상"이라고 밝힌 바 있다.

반면 쿠팡의 시각은 다소 차이를 보인다. 지난달 25일 크리스마스에 발표한 자체 조사 결과와, 쿠팡 창업주인 김범석 쿠팡Inc 의장이 지난달 28일 발표한 사과문에서도 정부와의 입장차는 분명히 드러난다.

쿠팡은 발표 당시 피의자인 중국 국적 전 직원이 자신의 하드 드라이브(HDD)에 실제로 저장한 데이터 수치를 강조했다. 3300만개 회원 계정에 접근한 기록은 있으나, 유효하게 저장된 데이터는 3000건뿐이며 이마저도 전량 회수·삭제했다는 논리다.

실제 김 의장은 사과문에서 "지난 한달 간의 지속적인 노력 끝에 정부와 협력해 유출된 고객 정보를 100% 회수했다"며 "이 과정에서 유출자의 컴퓨터에 저장돼 있던 고객 정보가 3000건에 불과하다는 점을 확인했고, 이 역시 외부로 유포되거나 판매되지 않았음을 확인했다"고 강조했다. 이 수치는 쿠팡이 자체 조사를 토대로 발표한 것으로, 정부와의 사전 협의 없이 공개되면서 이른바 '셀프 조사' 논란으로 번졌다.

◆'2차 피해 방어' 포석 해석도…애매한 표현이 키운 진실공방
업계에서는 쿠팡의 이 같은 행보를 향후 부과될 징벌적 과징금과 집단소송에 대비한 법적 포석으로 해석한다. 2차 피해 가능성이 낮다는 점을 부각해 규제 리스크를 최소화하려는 의도라는 시각이다. 

실제로 쿠팡은 초기 공지에서 '노출'이라는 표현을 고수하다가 정부의 시정조치 이후 '유출'로 정정하며 고객 3370만 명에게 재통지하는 등 소통 과정에서 여러 차례 잡음을 냈다.

이미 쿠팡은 유출 피해 대상인 3370만 명에게 5만 원 상당의 보상권을 지급했다. 사실상 대규모 유출을 인정한 셈이다. 그럼에도 공식 석상에서 '3000건'을 강조하는 것은 사법 리스크를 줄이기 위한 고육지책이라는 평가가 나온다.

보안업계에서는 사건 초기부터 개인정보 '유출'과 '접근'의 개념을 명확히 구분했어야 한다는 지적이 제기된다. 개념 정의가 모호할 경우 발표 내용이 혼동될 가능성이 있다는 것이다. 개인정보보호위원회 '표준 개인정보 보호지침' 제25조는 개인정보 유출을 해당 개인정보처리자의 관리·통제 범위를 벗어나 제3자가 그 내용을 인지할 수 있는 상태에 이른 경우로 규정하고 있다.

보안업계 관계자는 "애초 쿠팡이 '유출'과 '접근'의 개념을 분명하게 설명했어야 했다"며 "애매한 표현이 불필요한 오해를 키웠다"고 말했다.

일각에서는 쿠팡이 밝힌 '저장' 정보가 '유출' 정보로 와전됐다는 해석도 나온다. 실제 쿠팡의 발표문에는 '3000명 계정만 유출됐다'는 표현은 없다. 해당 입장문은 저장된 데이터의 범위를 설명하고, 외부로 전송된 고객 정보가 없었다는 점을 강조해 2차 피해가 없었음을 알리려는 데 초점이 맞춰졌다는 의견이다.

업계 관계자는 "쿠팡의 자체 조사 결과 발표문은 향후 조사나 과징금 부과에 대비해 2차 피해가 없다는 점을 강조한 것이 핵심이었으나, 저장 데이터가 유출 규모로 잘못 해석된 측면이 있는 것 같다"고 말했다.

현재 쿠팡은 개인정보보호위원회와 경찰, 공정거래위원회 등 10개 부처의 동시다발적 조사를 받는 초유의 상황에 놓여 있다. 부처별로 수백 명의 조사 인력이 투입된 것으로 알려졌다.

nrd@newspim.com