[종합] 쿠팡, 미국서 집단소송 잇따라…"정보유출 공시의무 등 위반"

美주주들 "4영업일 내 공시 의무 미이행으로 손해"

서울 송파구 신천동의 쿠팡 본사 모습 [사진=연합뉴스]

미국 뉴욕증시에 상장된 쿠팡이 대규모 개인정보 유출 사고와 관련해 미국 주주들로부터 증권 집단소송을 당했다.

20일(현지시간) 미국 캘리포니아 북부 연방지방법원에 따르면 쿠팡 아이엔씨(Coupang Inc.) 주주 조셉 베리는 쿠팡 법인과 김범석 의장, 거라브 아난드 최고재무책임자(CFO)를 상대로 집단소송을 제기했다.

집단소송을 대리하는 로젠 로펌은 전날 성명을 통해 8월 6일부터 12월 16일까지 쿠팡 주식을 매수한 투자자들을 대표해 집단소송을 제기했다고 밝혔다. 소송 참여 신청 마감일은 내년 2월 17일이다. 이외 홀저앤드홀저, BG&G 등 다른 로펌들도 쿠팡을 상대로 집단소송 제기 사실을 알리고, 같은 기간 쿠팡 주식을 매수한 투자자들을 대상으로 별도의 집단소송 원고 모집에 나섰다.

로젠 로펌은 소장에서 "한국 역사상 최대 규모의 개인정보 유출 사고로 평가된다"면서 "쿠팡이 허위 또는 오해 유발 공표를 했거나 관련 공시를 하지 않아 투자자들이 손해를 입었다"고 주장했다. 이어 "쿠팡은 부적절한 사이버 보안 프로토콜로 인해 전직 직원이 약 6개월간 탐지되지 않은 채 민감한 고객 정보에 접근할 수 있었다"며 "이에 따라 쿠팡에 대한 규제 및 법적 조사의 위험이 중대하게 커졌다"라고 덧붙였다. 또한 "쿠팡이 정보유출 사고를 당한 사실을 인지하고도 관련 보고 규정에 따라 미 증권거래위원회(SEC) 보고서를 통해 공시하지 않았다"며 "그 결과 피고인들의 (사업보고서상) 공표는 중대하게 허위이거나 오해를 유발하는 것이었다"라고 강조했다.

원고 측은 이번 사안이 미국 증권거래위원회가 2023년 도입한 중대한 사이버 보안 사고 공시 규정(Form 8-K)을 위반한 것이라고 주장했다. 해당 규정은 기업이 중대한 사이버 사고를 인지한 경우 4영업일 이내에 이를 공시하도록 의무화하고 있다.

쿠팡은 약 3370만 명의 개인정보가 무단 유출된 사실을 지난달 18일 처음 인지했으며, 대외 공지는 약 열흘 뒤인 지난달 29일 이뤄졌다. 다만 SEC에 대한 공시는 이달 16일에야 제출됐다. 원고 측은 이는 사고 인지 후 4영업일 이내 공시 의무를 이행하지 않은 것이라고 지적했다.

원고들은 또 쿠팡이 사고 발생 이후에도 사업보고서 등에서 사이버 보안 위험을 "발생할 수 있다"는 가정적 표현으로만 기재해, 이미 현실화된 위험을 축소 공시했다고 주장했다. 이는 연방 증권법상 중대한 사실의 누락 또는 허위 공시에 해당한다는 게 원고 측 논리다.

집단소송인 만큼 향후 원고 수는 계속 늘어날 가능성이 있다. 다만 이번 소송은 미국 연방 증권법에 따른 주주 집단소송으로, 개인정보 유출에 따른 소비자 피해를 다투는 소비자 집단소송과는 성격이 다르다.

국내에서도 소송이 잇따르고 있다. 법무법인 '일로'는 지난 18일 24만여명이 참여한 단체 손해배상 소송을 서울중앙지법에 제기했다. 법무법인 'LKB평산'은 지난 11일과 18일 각각 2000여명을 대리해 집단소송을 냈다.

한편 쿠팡은 2021년 이후 미국 행정부와 의회 등을 상대로 대규모 로비 활동을 벌여 온 것으로 나타났다. 미 연방 상원이 공개한 로비 보고서에 따르면 쿠팡은 2021년 3월 상장 이후 같은 해 8월부터 최근까지 5년간 총 1039만 달러(약 153억8000만원)를 로비에 지출했다.