쿠팡은 지금 뭘 하는 거지?

결론부터 말하면, 지금 쿠팡이 해야 할 건 더 많은 설명이 아니라, 조용히 수사를 받는 것이야.

그리고 우리한테 필요한 건 기업 발표가 아니라 공식 수사 결과야.

 

 

기업이 수사기관처럼 행동해도 되는 걸까

요즘 쿠팡 뉴스 보면 솔직히 헷갈려. 개인정보 유출 사건인데, 이상하게 수사 브리핑은 쿠팡이 하고 있고,
정부랑 경찰은 “아직 확인 안 됐다”는 말만 반복하고 있거든.

이게 정상적인 그림일까?

 

사건을 먼저 팩트로 정리해보자

이번 사건의 핵심은 이거야.

쿠팡 전직 직원 1명이 재직 당시 확보한 보안 키를 이용해서 약 3,300만 명 고객 DB 접근 권한을 가졌고 실제로 외부로 저장한 정보는 약 3,000개 계정 수준(이름, 이메일, 주소 등)

쿠팡 설명에 따르면

• 결제 정보, 카드 정보, 개인통관번호 접근은 없었고
• 언론 보도가 나오자 해당 데이터는 삭제됐다고 해

여기까지만 보면 “피해가 제한적이었다”는 메시지를 강조하고 싶어 보이지.

 

문제는 ‘그 다음 행동’이야

이 사건이 이상해진 건 증거인멸 정황 때문이야. 전직 직원은 사용하던 맥북 에어를 파손한 뒤 벽돌과 함께 쿠팡 로고가 찍힌 에코백(?)에 넣어서 인근 하천에 버렸다고 진술했어. 여기까지는 전형적인 범죄 행위지. 그런데 놀라운 건 그 다음이야.

 

쿠팡이 잠수부를 동원했다

쿠팡은 내부 조사를 통해 유출자를 특정했고 유출자 진술을 토대로 잠수부를 동원해 하천에서 에코백을 회수했고 회수한 노트북의 일련번호가 일치하며 포렌식 결과 해당 장비가 문제의 기기라는 걸 확인했다는 거야

이 대목에서 다들 고개를 갸웃했을 거야.

이거… 경찰이 할 일 아니야?

 

“셀프 수사” 논란이 터진 이유

쿠팡의 설명은 굉장히 구체적이야. 마치 수사 결과 발표문처럼 들릴 정도야. 하지만 실제로는

• 경찰(서울경찰청 사이버수사과)은 쿠팡 본사를 7차례 압수수색 중
• 과기정통부 민관합동조사단은 쿠팡 발표에 대해 “아직 확인되지 않은 내용”이라고 공개 반박했어

즉, 공식 수사 결과는 아직 안 나왔는데 쿠팡은 이미 범인 특정, 증거 회수, 피해 범위, 원인 분석 을 다 끝낸 것처럼 말하고 있는 상황이야.

이게 바로 사람들이 말하는 “기업의 셀프 수사” 논란이야. 

 

쿠팡은 왜 이렇게 서둘렀을까?

이건 추측이 아니라 기업 리스크 관리 관점에서 보면 이해는 돼. 3,300만 명이라는 숫자, 개인정보 유출 그리고 글로벌 이커머스 기업 이미지 이 세 가지가 동시에 터지면 주가, 규제, 여론 전부 직격탄이거든. 그래서 메시지는 명확해. 피해는 제한적이었다, 내부 통제는 작동했다, 범인은 특정됐다, 재발 가능성은 낮다. 문제는 이걸 누가 확인했느냐야.

 

기업이 수사기관처럼 행동하면 생기는 문제

여기서 중요한 포인트는 이거야.

1. 증거 보존의 중립성: 사건 당사자인 기업이 증거 회수와 포렌식을 주도하면 신뢰성 논란이 생길 수밖에 없어
2. 수사 방해 또는 선제적 프레이밍: “우리가 다 확인했다”는 발표는 이후 수사 방향에 무언의 압박으로 작용할 수 있어
3. 책임 주체 흐리기: 개인 일탈로만 정리되면 내부 보안 관리 책임은 자연스럽게 뒤로 밀려나지

그래서 지금 나오는 말이 이거야!!! "수사 대상이 수사기관처럼 행동하고 있다"

 

지금 필요한 건 ‘쿠팡의 설명’이 아니라 ‘공식 결론’

이 사건의 핵심은 아직 끝난 게 아니야.

• 경찰 수사 결과
• 정부 합동조사단의 최종 판단
• 보안 키 관리 책임 소재
• 내부 접근 통제 구조

이게 다 나와야 “진짜로 무엇이 문제였는지”를 말할 수 있어. 지금 단계에서 가장 위험한 건 기업 발표만으로 사건을 종결된 것처럼 받아들이는 분위기야.

 

뭐~ 이건...

쿠팡 개인정보 유출 사건은 현재 진행형이고 쿠팡의 자체 조사는 참고 자료이야. 어째든, 최종 판단은 수사기관 몫!

기업이 수사기관처럼 행동하는 건 오히려 의심을 키울 수 있지 않을까? 지금 쿠팡이 해야 할 건 더 많은 설명이 아니라, 조용히 수사를 받는 것이야. 그리고 우리한테 필요한 건 기업 발표가 아니라 공식 수사 결과야.