'3000개 계정 vs 3300만건'…한미 갈등 키운 쿠팡 보고서, 팩트부터 달랐다

(서울=뉴스1) 한상희 기자 = 한미 관계가 쿠팡 문제로 불거진 불편한 기류를 좀처럼 해소하지 못하고 있다. 개인정보 유출 사태로 6247억 원의 과징금 처분을 받은 쿠팡 문제가 미국 기업 차별 논란으로 번지면서 통상·외교 현안으로 불거진 모습이다. 강경화 주미 한국대사는 조현 외교부 장관의 지시에 따라 일시 귀국해 쿠팡 문제와 대미 투자, 안보 협의 등 예민한 한미 현안의 대응 방향을 청와대 및 관계부처와 논의 중이다.

잦아드는 듯했던 갈등이 다시 불거진 이유는 미 하원 법사위원회가 지난 1일 공개한 35쪽 분량의 중간보고서 'Closed for Competition: South Korea's Discriminatory Attacks on American-Owned Businesses(경쟁 차단: 미국 소유 기업에 대한 한국의 차별적 공격)'이다. 보고서는 한국 정부가 쿠팡의 개인정보 유출 사건 이후 '범정부 차원의 공격'(whole-of-government assault)을 벌였다고 규정했다.

뉴스1이 보고서 원문을 개인정보보호위원회 의결 내용, 정부·국회 청문회 발언과 대조해 보니 유출 규모, 국정원 관여, 조사 실태라는 기초 사실관계부터 양측 설명이 달랐다. 이 보고서는 미 행정부의 공식 조사 결과가 아니라, 쿠팡이 소환장에 따라 제출한 내부 문서와 해럴드 로저스 임시 대표의 증언에 기댄 의회의 중간보고서다. 적시된 내용을 사실로 받아들이기 어려운 이유다.

보고서는 전직 직원이 탈취한 인증키로 최대 3370만 개 계정에 접근할 수 있었지만, 이 직원이 실제 저장·보유한 정보는 약 3000개 계정분이라고 했다. 접근한 정보도 이름·이메일·전화번호 등 '민감도가 낮은 정보'(low-sensitivity data)였다며, 사건을 '제한된 양의 고객 정보' 유출(stole a limited amount of customer data)로 설명했다.

그러나 개인정보보호위원회는 회원 3322만 2472명과 비회원 최소 433만 8368명 등 약 3755만 명의 개인정보가 시스템 밖으로 유출됐다고 결론 냈다. 쿠팡 스스로도 지난해 11월 29일 '3300만 개 이상 계정 유출'을 신고했다. 유출자의 협박 메일에는 쿠팡 측 주장과 달리 성인용품·속옷 구매 내역 같은 민감한 샘플 데이터가 담겨 있다.

두 수치는 가리키는 대상부터 다르다. '3300만 건 이상'은 시스템 밖으로 유출된 것으로 확인된 전체 규모이고, '약 3000개'는 전직 직원이 최종 저장·보유했다는 계정 수로 쿠팡 자체 조사와 해커 진술에 기반한 주장으로 남아 있다. 5개월 치 접속 로그가 수동 삭제되고 회수된 노트북도 훼손돼 객관적 검증이 쉽지 않은 상황이다.

다만 현재까지 유출 정보가 다크웹 등에서 불법 유통된 정황은 확인되지 않았다고 개인정보위는 밝혔다. '3000개만 유출됐다'고도, '3300만 명분이 모두 실제 피해에 활용됐다'고도 단정하긴 어렵다.

보고서는 국정원이 쿠팡 직원을 중국에 보내 기기와 진술서를 회수하도록 강요했고, 이후엔 사건에 대한 관여를 부인하며 "국민에게 거짓말했다"(NIS lied to the public)라고 적시했다. 지난해 12월 1~26일 국정원과 쿠팡이 230차례 넘게 통화했고, 국정원은 경찰 등 다른 기관과 논의하지 말라고 반복 지시했으며, 쿠팡이 서면 근거를 요구하자 국정원법 5조를 명시한 공문까지 보냈다는 것이다.

강에 버려진 노트북을 잠수부를 고용해 회수했다는 대목도 있다. 나아가 청와대 고위 관계자가 국정원 협력을 "지시"했고, 기기 확보 사실이 "이재명 대통령에게 보고됐다(he would brief President Lee Jau-myung)"는 통화 기록이 제출 문서에 담겼다고 주장했다.

이에 대해 국정원은 지난 2일 입장문을 내고 "쿠팡 측의 일방적인 허위 주장"이라며 지시·명령·강요에 대해 "그런 사실이 없다"라는 입장을 밝혔다. 국가안보 사안으로 판단해 법에 따른 업무 협의만 했고, 중국 내 장비 확보는 관여하지 않았으며 국내 이송만 지원했다는 것이다. 경찰은 로저스 대표를 위증 혐의로 수사 중이다.

보고서는 개인정보 유출 사태 이후 시작된 조사 40건 중 33건이 유출과 무관했고, 10곳 넘는 기관이 4229건의 자료를 요구하며 임직원 600여 명을 652차례 조사했다고 했다. "대통령이 쿠팡을 직접 공격하라고 지시한 데 따른 대응"이라는 로저스 대표의 증언, 노동부가 77차례 각하했던 퇴직금 사안으로 임원 2명이 기소돼 출국금지됐다는 사례도 실었다.

그러나 보고서는 기관의 명단이나 4229건·652차례라는 집계 기준도 공개하지 않았다. 근거는 쿠팡이 미 의회에 낸 자료 한 건이다. 자료 요구 항목을 건별로 쪼개 셌는지, 유출 이전부터 진행돼 온 노동·공정거래 조사와 세무조사까지 합산했는지도 확인되지 않는다.

여러 기관이 동시에 조사했다는 사실만으로 차별이나 보복성 조사가 입증되는 것은 아니다. 비슷한 사고를 낸 국내 기업 사례와 비교해야 판단할 수 있는 문제다. 다만 외교부 출신 한 야권 관계자는 "10여 개 기관이 각자 관할을 들어 조사했다면 기업은 별건 수사를 당하듯 느꼈을 것"이라며 "차별이 아니더라도 이런 관행이 맞는지는 따져볼 문제"라고 지적하기도 했다.

정부는 모든 조사가 소관 법률에 따른 독립적 법 집행이며 "특정 기업을 표적으로 차별하지 않는다"(외교부)는 입장이다. 하지만 유출이 3000개인지 3300만 건인지, 국정원이 지시했는지 협의했는지에 따라 이 사건의 성격과 정부 대응의 적절성 판단은 완전히 달라진다.

한 외교 소식통은 "미국의 주장을 편향됐다고 치부할 게 아니라 보고서의 사실관계와 우리 정부의 설명 중 무엇이 맞는지 추적해야 한다"라며 "정부가 미국 측을 설득할 수 있을 정도로 정확하게 사실관계를 밝혀야 양국 간 문제도 풀 수 있다"라고 말했다.

angela0204@news1.kr