법조계, 쿠팡 ‘셀프 조사’에 “엄중한 평가 대상”
“유사 사례 우버 ‘사법 방해’와 ‘중범죄 은폐’ 유죄 선고”
[보안뉴스 강현주 기자] 쿠팡이 3370만명의 개인정보 유출 사고에 대해 자체 조사를 하고 발표를 한 행위가 ‘형사 책임’ 문제가 될 수 있다는 지적이 나왔다. 최근 쿠팡이 ‘셀프 조사’ 관련 증거 인멸 여부를 집중 조사 받고 있는 가운데 나온 지적이라 눈길을 끈다.
2일 국회입법조사처는 ‘쿠팡 국정조사에서의 개인정보 침해 관련 쟁점은?’ 보고서를 발간하고 중점 점검 사항을 제시했다. 보고서는 특히 쿠팡 자체 조사의 이유와 방식에 대한 확인이 요구된다고 강조한다.
공격자와 짜고 ‘버그바운티’로 꾸민 우버, 유죄 선고
쿠팡은 지난해 12월 25일 “유출자가 3300만명의 정보를 빼갔으나 3000명의 정보만 저장했으며 범행 장비도 자체 회수했다”고 발표한 바 있다. 이에 대해 ‘셀프 조사’ 논란이 일자 쿠팡은 정부와 협력해 자체 조사를 했다고 주장했다. 하지만 수사기관은 사전에 관련 내용을 협의한 바 없다는 입장이다.
경찰과 개인정보보호위원회 모두 쿠팡의 발표 내용을 부인한다. 유출 피해자 수에 대해 경찰은 “3000명보다 훨씬 많다”고, 개인정보위는 “3000만명이 맞다”고 최근 발표한 바 있다.
쿠팡의 셀프 조사에 대해 국회입법조사처는 “경우에 따라 형사 책임도 문제될 수 있다”고 지적했다.
만약 쿠팡이 민관합동조사단 및 수사기관과의 사전 협의없이 독자적으로 유출자를 특정하고, 자체 선정한 외부업체에 증거를 전달해 포렌식 과정에서 유출자와의 부적절한 합의를 했다면 문제가 될 수 있다는 설명이다.
이 같은 행위를 통해 증거의 은닉이나 변형 등 증거 효용을 해하는 행위를 했거나, 조사·수사 과정에서 사실과 다르거나 수사 기관의 판단을 오인·혼돈케 할 정도의 허위·과정된 진술을 했다면 형사 책임을 물어야 할 사안으로 볼 수 있다는 것이다.
국회입법조사처는 2016년 미국 우버 사례를 유사 사례로 제시했다. 당시 우버는 약 5700만명의 개인정보 유출 사고를 겪었다. 우버는 공격자들에게 데이터 삭제 및 유출 사실 미공개 조건으로 10만달러를 지급하면서 마치 버그바운티 보상인 것처럼 처리했다.
이에 우버 수석 보안 책임자는 ‘사법 방해’와 ‘중범죄 은폐’ 혐의가 인정돼 유죄를 선고받았다. 연방거래위원회(FTC)의 조사 절차를 방해하고 중대한 범죄 사실을 은폐했다는 이유다.
법조계 “셀프 조사, 엄중한 평가 대상”
국회입법조사처는 “국가 차원의 조사와 수사가 진행 중인 상황에서 기업이 자체 조사를 실시하고 그 결과를 대외적으로 공표한 행위는 사건의 성격과 책임 구조를 고려할 때 엄중한 평가의 대상이 된다”고 했다.
이와 관련 쿠팡 미국 소송을 담당하는 손동후 변호사도 쿠팡의 셀프 조사 발표는 “법정에서 따져물을 대상이 될 것”이라는 견해를 밝힌 바 있다.
손 변호사는 “셀프 조사 발표로 쿠팡의 법적 리스크가 제거되는 게 아니라, 오히려 진정성과 책임 인식 등을 파악하는 자료로서 재해석 될 수 있다”며 “미국 법원은 셀프 발표를 책임 이행이나 피해 종결로 여기지 않으며 왜 그 시점에 그런 발표가 나왔는지, 근거는 무엇인지 다시 들여다볼 것”이라고 말했다.
이와 함께 국회입법조사처는 쿠팡의 △내부 보안체계 상황 △개인정보 데이터베이스 관리 방식 △통지내용과 방식에 대한 의사결정 과정 △피해자 배상 방식 등을 국정조사 중점 점검 사항으로 제시했다.
국회입법조사처는 “쿠팡이 상장된 미국 자본 시장에서는 이번 사태가 기업 가치에 미치는 영향이 제한적이라고 분석하며, 한국 소비자들이 개인정보 유출 사고에 익숙하다는 점을 언급했다”며 “이러한 시각이 고착화될 경우 반복되는 대규모 유출과 규제의 틈새를 이용하는 행위가 사실상 용인되는 구조로 이어질 우려가 있으므로 대응이 필요하다”고 강조했다.
한편, 경찰은 지난달 30일 오후부터 해롤드 로저스 쿠팡 한국법인 임시대표를 상대로 ‘셀프 조사’ 관련 증거인멸 혐의에 대한 피의자 조사를 12시간 넘게 실시한 바 있다.
[강현주 기자(jjoo@boannews.com)]
“유사 사례 우버 ‘사법 방해’와 ‘중범죄 은폐’ 유죄 선고”
[보안뉴스 강현주 기자] 쿠팡이 3370만명의 개인정보 유출 사고에 대해 자체 조사를 하고 발표를 한 행위가 ‘형사 책임’ 문제가 될 수 있다는 지적이 나왔다. 최근 쿠팡이 ‘셀프 조사’ 관련 증거 인멸 여부를 집중 조사 받고 있는 가운데 나온 지적이라 눈길을 끈다.
2일 국회입법조사처는 ‘쿠팡 국정조사에서의 개인정보 침해 관련 쟁점은?’ 보고서를 발간하고 중점 점검 사항을 제시했다. 보고서는 특히 쿠팡 자체 조사의 이유와 방식에 대한 확인이 요구된다고 강조한다.
[자료: 연합]
공격자와 짜고 ‘버그바운티’로 꾸민 우버, 유죄 선고
쿠팡은 지난해 12월 25일 “유출자가 3300만명의 정보를 빼갔으나 3000명의 정보만 저장했으며 범행 장비도 자체 회수했다”고 발표한 바 있다. 이에 대해 ‘셀프 조사’ 논란이 일자 쿠팡은 정부와 협력해 자체 조사를 했다고 주장했다. 하지만 수사기관은 사전에 관련 내용을 협의한 바 없다는 입장이다.
경찰과 개인정보보호위원회 모두 쿠팡의 발표 내용을 부인한다. 유출 피해자 수에 대해 경찰은 “3000명보다 훨씬 많다”고, 개인정보위는 “3000만명이 맞다”고 최근 발표한 바 있다.
쿠팡의 셀프 조사에 대해 국회입법조사처는 “경우에 따라 형사 책임도 문제될 수 있다”고 지적했다.
만약 쿠팡이 민관합동조사단 및 수사기관과의 사전 협의없이 독자적으로 유출자를 특정하고, 자체 선정한 외부업체에 증거를 전달해 포렌식 과정에서 유출자와의 부적절한 합의를 했다면 문제가 될 수 있다는 설명이다.
이 같은 행위를 통해 증거의 은닉이나 변형 등 증거 효용을 해하는 행위를 했거나, 조사·수사 과정에서 사실과 다르거나 수사 기관의 판단을 오인·혼돈케 할 정도의 허위·과정된 진술을 했다면 형사 책임을 물어야 할 사안으로 볼 수 있다는 것이다.
국회입법조사처는 2016년 미국 우버 사례를 유사 사례로 제시했다. 당시 우버는 약 5700만명의 개인정보 유출 사고를 겪었다. 우버는 공격자들에게 데이터 삭제 및 유출 사실 미공개 조건으로 10만달러를 지급하면서 마치 버그바운티 보상인 것처럼 처리했다.
이에 우버 수석 보안 책임자는 ‘사법 방해’와 ‘중범죄 은폐’ 혐의가 인정돼 유죄를 선고받았다. 연방거래위원회(FTC)의 조사 절차를 방해하고 중대한 범죄 사실을 은폐했다는 이유다.
법조계 “셀프 조사, 엄중한 평가 대상”
국회입법조사처는 “국가 차원의 조사와 수사가 진행 중인 상황에서 기업이 자체 조사를 실시하고 그 결과를 대외적으로 공표한 행위는 사건의 성격과 책임 구조를 고려할 때 엄중한 평가의 대상이 된다”고 했다.
이와 관련 쿠팡 미국 소송을 담당하는 손동후 변호사도 쿠팡의 셀프 조사 발표는 “법정에서 따져물을 대상이 될 것”이라는 견해를 밝힌 바 있다.
손 변호사는 “셀프 조사 발표로 쿠팡의 법적 리스크가 제거되는 게 아니라, 오히려 진정성과 책임 인식 등을 파악하는 자료로서 재해석 될 수 있다”며 “미국 법원은 셀프 발표를 책임 이행이나 피해 종결로 여기지 않으며 왜 그 시점에 그런 발표가 나왔는지, 근거는 무엇인지 다시 들여다볼 것”이라고 말했다.
이와 함께 국회입법조사처는 쿠팡의 △내부 보안체계 상황 △개인정보 데이터베이스 관리 방식 △통지내용과 방식에 대한 의사결정 과정 △피해자 배상 방식 등을 국정조사 중점 점검 사항으로 제시했다.
국회입법조사처는 “쿠팡이 상장된 미국 자본 시장에서는 이번 사태가 기업 가치에 미치는 영향이 제한적이라고 분석하며, 한국 소비자들이 개인정보 유출 사고에 익숙하다는 점을 언급했다”며 “이러한 시각이 고착화될 경우 반복되는 대규모 유출과 규제의 틈새를 이용하는 행위가 사실상 용인되는 구조로 이어질 우려가 있으므로 대응이 필요하다”고 강조했다.
한편, 경찰은 지난달 30일 오후부터 해롤드 로저스 쿠팡 한국법인 임시대표를 상대로 ‘셀프 조사’ 관련 증거인멸 혐의에 대한 피의자 조사를 12시간 넘게 실시한 바 있다.
[강현주 기자(jjoo@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
강현주기자 기사보기
.gif)
.jpg)
.png)
.jpg)
