해킹사고를 외교 문제로 넘기려는 쿠팡…과기정통부 "통상 마찰 없도록 美와 소통"

배 부총리 "미국과 소통 지속" 강조

보안 업계 "유출 규모 최종 판단은 개인정보위 단계서 결정"

배경훈 부총리 겸 과학기술정보통신부 장관 [사진=연합뉴스]

쿠팡이 민관합동조사단의 해킹 조사 결과를 놓고 정면 반박하며 미국과의 외교, 통상 문제로 넘기려 하자 과학기술정보통신부가 적극적인 대응에 나서 주목된다. 정부는 조사 결과에 대한 기술적·법적 판단은 원칙대로 진행하되, 외교·통상 마찰로 확산되지 않도록 미국 측과 긴밀히 소통 중이라고 밝혔다.

배경훈 부총리 겸 과학기술정보통신부 장관은 11일 국회 과학기술정보방송통신위원회 업무보고에서 “외교 및 통상 차원에서도 필요한 부분들에 대응을 하고 있고, 미국 정부와도 현재 한국 정부의 입장에 대해 계속 소통하고 있다”고 밝혔다. 이어 “사실관계를 명확하게 조사하고 밝히는 것이 정부의 의무이며, 법과 원칙에 따라 조사를 진행하고 있다”고 강조했다.

전날 민관합동조사단의 조사 결과 발표 직후 열린 업무보고에서는 여야를 막론하고 쿠팡 사태 관련 질의가 이어졌다. 국내외 기업 간 차별 여부와 통상 갈등 가능성, 사고 규모 축소 발표 의혹 등이 집중적으로 제기됐다.

배 부총리는 “한·미 외교 문제로 번지지 않도록 정부가 철저히 대응하겠다”며 “통상 부분은 산업통상부 통상교섭본부와 외교부가 설명단을 꾸려 대응하고 있고 과기정통부도 협조하고 있다”고 설명했다.

쿠팡이 자체 조사 결과라며 밝힌 ‘3000건 유출’ 주장에 대해서는 정면 반박했다. 그는 “쿠팡이 제출한 보고서는 전체본이 아닌 일부 내용에 불과하다”며 “3367만건에 달하는 정보가 외부 저장매체나 클라우드 등에 별도로 저장됐는지 여부에 대해 명확한 설명이 없다”고 지적했다. 또 “신고 지연과 자료 보전 요청 이후 삭제 정황, 발표 전후로 3000건 주장을 반복하는 부분도 문제”라고 비판했다.

미국 쿠팡 본사가 조사 결과를 반박한 데 대해서도 유감을 표했다. 배 부총리는 “발표 내용은 사전에 쿠팡코리아와 공유하고 합의한 사안”이라며 “미국 본사가 다른 입장을 내는 것은 자사 이익과 주주 보호 차원의 대응으로 보인다”고 말했다. 쿠팡 본사와 쿠팡코리아에 항의하겠다는 뜻도 시사했다.

이에 대해 쿠팡Inc는 조사단 발표에 일부 사실관계가 누락됐다고 반박했다. 5만건 조회가 실제로는 2609개 계정 접근에 한정됐으며, 현관 비밀번호 외부 반출도 2600건 수준이라는 기존 입장을 유지했다.

조사단은 전직 개발자의 비인가 조회 행위 자체를 ‘유출’로 판단했다. 이동근 민관합동조사단 부단장은 “조회하는 순간 정보는 통제권 밖으로 나가게 되므로 유출에 해당한다”고 설명했다. 과기정통부는 최종 유출 규모는 개인정보보호위원회 판단에 따라 달라질 수 있다고 밝혔다. 후속 제재 역시 공정거래위원회와 개인정보위 단계에서 이뤄질 예정이다.

업계에서는 이번 사안을 단순한 개인정보 침해 사건을 넘어 한·미 간 통상 현안으로 확전될 가능성을 배제할 수 없다고 보고 있다. 최근 트럼프 행정부가 외교 채널을 통해 관련 사안에 대한 우려를 전달한 가운데, 향후 무역·관세 협상 과정에서 간접적인 압박 변수로 작용할 수 있다는 관측도 나온다.

과거에도 디지털 통상, 플랫폼 규제, 반도체·배터리 공급망 이슈 등이 개별 기업 사안을 계기로 통상 의제로 확장된 전례가 있다. 업계 관계자는 “외교 서한과 정부 간 소통이 이어지고 있는 만큼, 무역이나 관세 협상 국면에서 우회적으로 거론될 가능성을 완전히 배제하기 어렵다”며 “정부가 사실관계 확정과 별개로 외교 채널 관리에 신경 쓰는 배경”이라고 전했다.

민관조사단 발표 직후 애덤 패러 블룸버그 이코노믹스 선임 지정학 애널리스트는 “쿠팡 사태는 대규모 개인정보 유출 사안이지만, 현재는 한·미 간 지정학적 이슈로 전환되는 양상”이라고 진단했다. 그는 한국의 디지털 규제가 미국 기업을 겨냥한다는 인식이 존재한다며 “쿠팡은 법적으로 미국 기업이라는 점이 사안을 복잡하게 만든다”고 지적했다.

보안업계는 ‘조회’를 곧바로 ‘유출’로 볼 수 있을지에 대해서는 신중한 입장을 보이면서도, 최종 법적 판단은 개인정보보호위원회 몫이라는 데 무게를 두고 있다.

이성엽 고려대 기술경영전문대학원 교수는 “핵심은 단순 조회 행위가 제3자의 지배권으로 정보가 넘어간 것으로 볼 수 있는지 여부”라며 “이를 유출로 판단할지에 대한 최종 결정은 개인정보위에 맡겨졌다”고 말했다.

이기혁 중앙대 융합보안학과 교수는 “과기정통부와 개인정보보호위원회 모두 한국인터넷진흥원(KISA)을 실무 조사 지원 기관으로 두고 있어 기초 조사 자료는 이미 공유된 상태”라며 “기술적 사실관계는 과기정통부가 확정했으나, 단순 조회가 법리적 '유출'에 해당하는지는 개보위의 해석 영역”이라고 설명했다.

이어 “조사단의 발표가 개보위 단계에서 번복되기보다는, 정무적 판단을 거쳐 최종 제재 수위나 문구 표현이 조정되는 수준이 될 가능성이 크다”고 전망했다.