정보유출 전담팀 17명 본사 찾아
DB권한 목록·前직원 계정 등 확보
내부서 유출한 경로 확인할 방침
美본사 상대로 별도 손배도 추진
위험관리 의무 위반 책임 묻기로
DB권한 목록·前직원 계정 등 확보
내부서 유출한 경로 확인할 방침
美본사 상대로 별도 손배도 추진
위험관리 의무 위반 책임 묻기로
서울경찰청 사이버수사대는 9일 오전 송파구 쿠팡 본사 사무실에 쿠팡 개인정보 유출 사건 전담수사팀장인 서울청 사이버수사과장(총경) 등 17명을 보내 서버 로그 전체와 데이터베이스 접근 권한 목록 및 이력, 접근 가능 직원들 명단, 유출 의혹을 받고 있는 전직 직원의 개인 컴퓨터·외장하드·개인 클라우드 계정 기록, 내부 직원 출입·퇴실 기록 등을 확보한 것으로 알려졌다.
경찰은 이를 통해 누가·언제·어떤 방식으로 데이터를 조회·다운로드 했는지, 해킹이 아닌 만큼 내부에서 빼내간 방법과 과정 등을 확인할 방침이다.
경찰은 그동안 쿠팡 측으로부터 서버 로그기록 등을 임의제출 받아 정보통신망법상 정보통신망 침입·비밀누설 등 혐의로 유출자를 추적해왔다. 다만 쿠팡 측의 자료만으론 국민적 관심과 사회적 파장이 큰 사건인데 반해 조속한 시일 내에 유출자를 특정하거나 유출 경로를 파악하기 어렵다고 판단내린 것으로 전해졌다.
경찰은 또 고객 개인정보 암호화 관련 문서와 실제 적용 현황, 보안 감사 보고서, 침투 테스트 보고서, 임원·정보보호최고책임자·보안팀의 이메일, 메신저 대화 기록, 외부반출 승인 기록 등의 확보도 시도한 것으로 알려졌다. 이를 통해 쿠팡 측의 보안에 허점이나 관리 부실 책임이 없는지 살펴볼 예정이다.
경찰 관계자는 "압수수색은 사건을 정확히 파악하기 위한 필수적인 조치"라며 "확보된 디지털 증거 등을 바탕으로 개인정보 유출자, 유출 경로 및 원인 등 사건의 전반적인 사실관계를 종합적으로 규명할 예정"이라고 밝혔다.
따라서 경찰 수사는 사건의 타임라인을 재구성하려는 의도로 풀이된다. 이렇게 되면 유출 의혹자뿐만 아니라 쿠팡에 대한 정보통신망법상 관리·감독 의무 위반과 안전조치 의무 위반 여부 조사에도 동시에 초점을 맞춰질 것으로 보인다.
경찰은 압수수색으로 자료 보강이 마무리되면, 일부 자료의 경우 포렌식 분석을 거쳐 유출 직원을 특정하는 데 수사력을 모을 방침이다. 이와 함께 담당자를 차례대로 소환해 관리 시스템 운용 상황 등을 따져볼 것으로 관측된다.
이와 별도로 쿠팡 미국 본사를 상대로 징벌적 손해배상도 추진된다. 한국 법무법인 대륜의 현지 법인인 미국 로펌 SJKP는 8일(현지시간) 뉴욕 맨해튼에서 기자회견을 열고 쿠팡 모기업인 쿠팡 아이앤씨(Coupang, Inc.)를 상대로 미국 뉴욕 연방법원에 소비자 집단소송을 공식 제기할 예정이라고 밝혔다. 쿠팡 아이앤씨는 쿠팡 한국법인 지분 100%를 보유한 모회사다.
SJKP는 한국과 별개로 미국 사법제도를 활용해 쿠팡 본사의 지배구조 실패, 공시 의무 위반, 보안 투자 등 위험관리 의무 위반 등을 이유로 연방법 위반 책임을 묻겠다는 계획이다.
김국일 대륜 경영대표는 이날 회견에서 "미국 사법 시스템의 강력한 칼날로 이번 사태의 진상을 규명하고 피해자들에게 실질적인 배상이 이뤄지도록 할 것"이라고 말했다. SJKP는 미국 사법 체계에 있는 '디스커버리 제도'를 활용한다는 방침이다. 김 대표는 "이 제도를 활용하면 서버와 담당자가 한국에 있더라도 미국 본사가 한국 자회사에 대한 권한을 가지고 있는 한, 미국 법원이 관련 자료 제출을 강제할 수 있다"고 설명했다.
한국 소송에 참여한 약 200여명은 미국 소송에도 합류했다. SJKP는 추가 소송인이 확보되는 대로 가급적 연내 미 법원에 소송을 제기하겠다는 입장이다.
한편 전국민주노동조합총연맹(민노총) 등 노동계는 같은 날 쿠팡 본사 앞에서 기자회견을 열고 "기업의 사회적 책무를 저버린 총체적 불법행위"라며 전면적인 진상 규명과 청문회 개최를 요구했다.
jyseo@fnnews.com
※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지