쿠팡이 대규모 개인정보 유출 사태와 관련한 자체 조사 결과 및 소비자 보상 계획을 미국 증권거래위원회(SEC)에 공시했다. 그러나 이번 조사가 한국 정부와 조율되지 않은 채 일방적으로 발표된 것이라는 내용은 포함되지 않아, 투자자에게 불리한 정보를 뺀 '부실 공시' 논란이 제기된다.
29일(현지 시각) 쿠팡은 SEC에 제출한 보고서를 통해 지난 16일 공시한 사이버 보안 사고 관련 후속 조사 결과 및 고객 보상 프로그램을 안내했다. 쿠팡은 "현재까지 조사 결과 가해자가 약 3300만 계정에 접근했지만 실제로 저장한 데이터는 약 3000개에 불과하며, 해당 데이터는 제3자와 공유되지 않은 상태에서 삭제됐다"고 밝혔다.
이는 쿠팡이 지난 25일 국내에서 발표한 자체 조사 결과와 같다. 그러나 해당 발표 이후 한국 정부는 즉각 반발하며 유감을 표한 바 있다. 과학기술정보통신부는 "쿠팡이 발표한 내용은 민관합동조사단에 의해 확인된 바 없다"고 선을 그었다. 서울경찰청 역시 "쿠팡 측이 제출한 진술서와 노트북 등 증거물을 분석 중이다. 사실관계를 면밀히 확인하겠다"며 수사가 진행 중이고 확인해야 할 사안이 남아 있다는 점을 강조했다.
다만, 쿠팡은 공시에서 조사 과정 전반이 정부 요청과 지휘 아래 진행됐다고 밝혔다. 쿠팡은 정부가 이달 1일 쿠팡에 전폭적인 협조를 요청했고, 2일 공식 서면 공문을 전달했다고 썼다. 이후 쿠팡은 수주간 거의 매일 정부와 협력해 유출자를 추적·접촉했으며, 자백 확보, 관련 기기 회수, 포렌식 자료 확보 등의 과정에서 정부 지시에 따라 움직였다고 설명했다.
'셀프 조사' 논란에 대해선 "정부의 지시에 따라 수 주간 진행된 조사였다. 정부 감독 없이 쿠팡이 조사를 벌였다는 지속적인 오보가 허위 불안감을 조성하고 있다"고 밝혔다.
정부는 30일 국회에서 열린 연석 청문회에서 쿠팡 측의 입장을 재반박했다. 배경훈 부총리 겸 과학기술정보통신부 장관은 "3300만건 이상의 이름과 이메일이 유출됐고 개인정보보호위원회, 경찰청, 민관 합동 조사단에서 이 사실을 확인했다"고 말했다. 이어 "쿠팡 측이 합의되지 않은 결과를 사전에 발표했다는 것에 대해 심각한 우려를 표하고 싶다. 지극히 악의적인 의도가 있다고 생각한다"고 덧붙였다.
공시는 소비자 보상안에 대해서도 "11월 말 정보 유출 통지를 받은 고객을 대상으로 약 1조6850억원(약 12억달러) 규모의 쿠폰을 제공하는 보상안을 추진한다"고 명시했다. 쿠팡은 해당 쿠폰이 각 거래에 대한 판매 가격 및 매출액에서 차감되는 방식으로 적용된다고 설명했다.
쿠팡 측이 전날 발표한 보상안은 로켓배송·로켓직구·판매자 로켓·마켓플레이스 쿠팡 전 상품(5000원), 쿠팡이츠(5000원), 쿠팡트래블 상품(2만원), 알럭스 상품(2만원) 등으로 구성돼 있다. 그러나 실제 고객들이 많이 사용하는 쿠팡과 쿠팡이츠에 대한 보상 금액은 1만원에 불과하고, 나머지 4만원은 쿠팡의 별도 서비스에 할당됐다는 점에서 비판을 받았다.
해롤드 로저스 쿠팡 임시대표는 이날 청문회에서 더 적극적인 보상안을 내놓을 계획이 있냐는 김현정 더불어민주당 의원의 질의에 "우리가 내놓은 보상안은 1조7000억원에 달한다. 이는 전례 없는 수준"이라고 답했다.