쿠팡 정보유출 논란, SEC 공시에서는 ‘무단 접근’으로 표현한 이유
쿠팡이 약 3,300만 명에 달하는 고객 정보와 관련된 대규모 보안 사고를 미국 증권거래위원회(SEC)에 공식 공시하면서, 국내외 투자자와 소비자들의 관심이 집중되고 있습니다. 특히 이번 공시에서 쿠팡은 해당 사건을 ‘정보 유출’이 아닌 ‘무단 접근’으로 표현해 그 배경과 의미를 두고 다양한 해석이 나오고 있습니다. 표현 하나가 기업 책임과 향후 규제 리스크에 미치는 영향이 큰 만큼, 이번 공시 내용은 단순한 보안 사고 이상의 의미를 담고 있다는 평가도 나옵니다.
1. 쿠팡이 SEC 공시에서 ‘정보 유출’ 대신 ‘무단 접근’을 사용한 배경
쿠팡의 모회사인 쿠팡 Inc.는 지난 11월 발생한 사이버 보안 사고와 관련해 미국 SEC에 8-K 보고서를 제출했습니다. 눈에 띄는 점은 이번 사건을 ‘data breach(정보 유출)’가 아닌 ‘unauthorized access(무단 접근)’으로 명시했다는 부분입니다. 공시 문구에 따르면 전직 직원 1명이 고객 계정에 접근했을 가능성이 있다고 표현했으며, 해당 정보가 외부로 실제 유출됐는지는 회사가 인지한 범위 내에서는 확인되지 않았다고 설명했습니다.
이 같은 표현은 법적·규제적 책임 범위를 신중하게 관리하려는 의도가 반영된 것으로 해석됩니다. 정보 유출로 규정될 경우, 개인정보 보호법 위반이나 대규모 손해배상 책임으로 직결될 수 있지만, 무단 접근은 접근 자체에 초점을 둔 표현으로 실제 외부 확산 여부와는 거리를 두는 개념입니다. 또한 ‘may have obtained(취득했을 가능성)’이라는 문구를 사용해 단정적인 책임 인정을 피한 점도 특징적입니다. 이는 향후 규제 당국의 조사 결과에 따라 책임 범위가 달라질 수 있음을 염두에 둔 표현으로 볼 수 있습니다.
공시에 사용된 단어 하나하나가 향후 법적 분쟁이나 과징금 산정 과정에서 중요한 근거로 활용될 수 있다는 점에서, 이번 표현 선택은 매우 계산된 대응이라는 평가도 나오고 있습니다.
2. 최대 3,300만 명 영향 가능성, 그러나 민감 정보는 제외
SEC 공시에 따르면 이번 사고로 영향을 받을 수 있는 고객 계정 수는 최대 3,300만 개로 추산됐습니다. 다만 쿠팡은 ‘최대(up to)’라는 표현을 사용해 실제 영향을 받은 범위가 그보다 적을 가능성도 함께 열어두었습니다. 접근 가능성이 있었던 정보로는 이름, 전화번호, 배송 주소, 이메일 주소, 그리고 일부 계정의 주문 이력 정도로 한정됐다고 밝혔습니다.
쿠팡은 은행 계좌 정보나 결제 카드 정보, 로그인 비밀번호 등 핵심 금융 정보는 이번 사고에서 취득되거나 침해되지 않았다고 명확히 선을 그었습니다. 이는 소비자 불안을 최소화하고, 금융 사고로 번질 가능성을 차단하기 위한 설명으로 풀이됩니다. 또한 외부 포렌식 전문기관을 투입해 조사를 진행 중이며, 한국 규제 당국과 수사기관의 조사에도 전면 협조하고 있다고 덧붙였습니다.
그럼에도 불구하고 고객 입장에서는 ‘외부 유출 여부가 확인되지 않았다’는 설명만으로는 완전히 안심하기 어렵다는 반응도 적지 않습니다. 특히 주문 이력과 개인 연락처 정보는 2차 피해로 이어질 가능성이 있는 만큼, 사고 이후 쿠팡의 추가적인 보안 강화 조치와 고객 보호 방안이 중요하다는 지적이 나오고 있습니다.
3. 과징금은 추정 불가, SEC 공시 시점 해석을 둘러싼 논란
쿠팡은 이번 공시에서 한국 규제 당국이 과징금 등 재정적 제재를 부과할 가능성은 인정하면서도, 현재로서는 그 규모나 범위를 합리적으로 추정할 수 없다고 밝혔습니다. 이는 아직 조사 결과가 확정되지 않았고, 법적 판단 역시 진행 중이라는 점을 고려한 설명으로 보입니다. 다만 회사는 향후 경영진의 업무 부담 증가, 복구 비용, 소송 비용, 매출 감소 가능성 등 다양한 재무적 리스크가 발생할 수 있다고 언급했습니다.
이번 공시는 ‘중대한 사이버 보안 사건(Material Cybersecurity Incident)’ 항목으로 제출됐지만, 사고를 언제 중대한 사건으로 판단했는지에 대한 구체적인 시점은 명시되지 않았습니다. SEC 규정상 중요 사건으로 판단한 날로부터 4영업일 이내에 공시해야 하는데, 쿠팡은 사고 인지일만 기재하고 판단 시점은 공개하지 않아 해석의 여지를 남겼다는 분석이 나옵니다.
업계에서는 이를 두고 쿠팡이 공시 의무를 충족하면서도, 규제 리스크를 최소화하기 위한 전략적 판단을 한 것 아니냐는 시각도 제기됩니다. 최근 미국 상장사들은 사이버 보안 사건과 관련해 판단 시점을 명확히 적시하는 사례가 늘고 있는 만큼, 쿠팡의 이번 공시 방식이 향후 SEC의 추가 질의로 이어질지 여부도 주목되고 있습니다. 이번 사건은 단순한 보안 사고를 넘어, 글로벌 상장 기업이 사이버 리스크를 어떻게 관리하고 공시하는지 보여주는 사례로 남을 가능성이 큽니다.
