쿠팡이 개인정보 유출 사고와 관련해 유출자를 특정하고, 접근한 정보에 비해 실제 유출된 정보는 극히 일부에 불과하다는 자체 조사 결과를 내놓으며 여론 반전을 시도했다.

26일 경찰 안팎에서는 쿠팡이 오는 30~31일 국회 연석청문회를 앞두고 방어 차원에서 자체 조사 결과를 공개한 것 아니냐는 해석이 나온다. 그러나 이번 발표는 의혹을 해소하기보다 논란의 초점을 다른 곳으로 옮겼다는 평가가 적지 않다.

가장 큰 쟁점은 분명하다. 수사 대상인 쿠팡이 사건의 핵심 피의자와 사전에 접촉했다는 점이다.

쿠팡은 유출자로 지목된 전직 직원을 특정했고, 범행을 자백하는 진술을 확보했다고 밝혔다. 하지만 접촉 시점과 방식, 접촉 경로에 대해서는 설명하지 않았다. 수사 관계자들 사이에서는 단순한 서면 확인이 아니라 직접 만나 상당한 시간 접촉했을 가능성이 크다는 관측이 나온다.

문제는 쿠팡과 경영진 역시 이번 사건의 수사 대상이라는 점이다. 경찰은 개인정보보호법 위반 혐의로 쿠팡 본사를 포함해 압수수색을 진행했다. 김범석·박대준 등 전·현직 경영진도 피고발인 신분으로 수사선상에 올라 있다.

이런 상황에서 회사가 수사기관에 앞서 피의자를 먼저 접촉해 사건 경위와 내용을 파악한 것은 절차적으로 매우 부적절하다는 지적을 피하기 어렵다. 기업이 피의자의 진술을 먼저 확보하고 사건의 틀을 정리할 경우, 이후 수사 과정에서 진술이 흔들리거나 사실관계가 왜곡될 수 있다는 우려가 나온다.

특히 피의자 자백이 회사 조사 과정에서 이뤄졌다는 점은 논란을 키운다. 수사 주체가 아닌 기업이 피의자의 진술을 근거로 사건의 범위와 성격을 규정하고 이를 대외적으로 발표한 사례는 이례적이라는 평가다.

쿠팡이 해외 민간 업체 3곳에 조사와 분석을 맡겼다는 점도 새로운 쟁점이다. 이들 업체가 실제로 개인정보에 접근했는지, 접근했다면 정보가 어떤 방식으로 관리됐는지는 명확히 밝혀지지 않았다. 자체 조사 과정에서 또 다른 개인정보 침해 가능성을 키운 것 아니냐는 의문도 제기된다.

경찰은 쿠팡의 발표와 거리를 두고 있다. 피의자가 실제로 진술서를 작성했는지, 노트북이 범행에 사용된 장비가 맞는지 등을 다시 확인하고 있다는 입장이다.

쿠팡은 탈취한 보안키로 고객 계정 3300만개의 기본 정보에 접근했지만, 실제 저장된 것은 약 3000개 계정에 불과했고 외부 유출은 없었다고 주장한다. 조력자도 없었다고 강조한다. 그러나 이는 모두 쿠팡의 자체 조사 결과에 근거한 설명이다.

경찰 수사 결과가 이와 다르게 나올 경우, 쿠팡의 신뢰도는 심각한 타격을 받을 수밖에 없다. 수사 대상 기업이 정부와 국회의 판단보다 먼저 사건을 규정하고 발표한 점 역시 향후 청문회 국면에서 부담으로 작용할 가능성이 크다.

경찰은 전직 직원의 행방을 추적하고, 쿠팡 내부 개인정보 관리 체계 전반에 대한 수사를 이어가고 있다.

장세풍 기자 spjang@naeil.com