박대준 쿠팡 대표가 30일 서울 종로구 정부서울청사에서 열린 쿠팡 관련 긴급 관계부처 장관회의 회의장 앞에서 취재진의 질의에 답변하고 있다. 사진공동취재단

국내 1위 전자상거래 업체 쿠팡에서 3370만건의 개인정보 유출 사고가 났다. 소비자들은 쿠팡의 늑장 대처와 2차 피해 우려에 분통을 터뜨리고 있다. 과로사·산재 논란에도 침묵하며 ‘죽음의 일터’로 불리더니, 보안 사고 예방·대응마저 뚫린 것이다. 기업 윤리와 사회적 책임 모두 총체적 문제 기업이 됐다.

정부는 30일 쿠팡 개인정보 유출 사태 관련 긴급회의를 열고 “쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 3000만개 이상 고객 계정의 고객명, e메일, 발송지 전화번호 및 주소가 유출된 것으로 확인했다”고 밝혔다. 올해 3분기 구매 이력 있는 고객이 2470만명이었으니 사실상 모든 쿠팡 이용자 정보가 노출된 셈이다. 해킹 사고 역대 최대 과징금 처분(1348억원)을 받은 SK텔레콤의 유출 규모(2324만명)를 뛰어넘는다.

문제는 전체 피해 규모조차 안갯속이라는 점이다. 쿠팡은 지난 18일 4500개 계정의 개인정보가 노출됐다고 20일 관계당국에 신고했지만, 열흘 만에 노출 계정이 약 7500배 늘어났다. 또 쿠팡이 개인정보 유출 사실 자체를 장기간 모른 것도 문제다. 지난 6월24일 해커가 해외 서버로 개인정보에 접근했는데도 5개월 동안 인식하지 못했다. 혹여 올해 해킹 사고를 낸 SKT·KT·롯데카드처럼 정보 누출 사실을 알고도 쉬쉬하다 피해를 키운 건 아닌지 정부 조사에서 철저히 밝혀야 한다.

사고 후 쿠팡의 소비자 보호 조치는 적극적·능동적이지 않다. 주문조회나 배송정보에 기반한 스팸·스미싱 문자로 2차 피해 걱정이 늘고, 현관 비밀번호까지 유출된 건 아닌지 불안해하는 소비자도 많다. 또 쿠팡은 결제정보·신용카드번호·패스워드 등 로그인 관련 정보는 노출되지 않았다 하지만 이 역시 안심할 수만은 없다. 지난 9월4일 롯데카드가 “고객 정보 유출 사실은 확인되지 않았다”고 공지한 2주 뒤 카드번호와 CVC(카드보안)번호 등이 유출된 것으로 밝혀진 바 있다. 이러니 포털과 소셜미디어에서 손해배상 청구 피해자 모임이 태동한 것도 당연하다.

쿠팡은 반노동 기업으로 악명이 높다. 11월에만 새벽 배송·물류 일 등을 하다 3명의 노동자가 사망했지만, 숨진 노동자들의 주당 근무시간 등을 알리는 데 급급해하고 있다. 최근엔 노동자 건강권 보호를 위한 새벽배송 제한 요구가 커져도 침묵으로 일관하고 있다. 쿠팡은 문지석 부장검사의 양심선언으로 부천지청의 쿠팡풀필먼트서비스(CFS) 퇴직금 미지급 무마 사건과 관련해 특검 수사도 앞두고 있다.

현대판 막장 기업을 자초할 셈인가. 쿠팡은 때늦은 대표 사과를 넘어 개인정보 노출 피해를 본 고객에게 충분한 정보와 납득할 만한 보상 대책을 내놔야 한다. 정부 역시 보안·안전 조치 의무 위반 사항이 있는지 철저히 조사해 엄중히 처벌해야 한다. 나아가 과로사·새벽배송·부당노동행위 등 쿠팡이 야기한 사회적 문제들도 더 이상 방관하지 말고, 법적·윤리적·제도적 해법을 찾아야 한다.