쿠팡, 美 증권법 위반으로 집단소송 피소…3370만 명 정보유출 은폐 의혹

미국 뉴욕증권거래소(NYSE)에 상장된 쿠팡이 대규모 고객 정보 유출 사건을 제때 공시하지 않았다는 이유로 미국 증권법 위반 집단소송에 휘말렸다. 모닝스타가 21일(현지시각) 보도한 자료에 따르면, 미국 법무법인 레비앤코르신스키는 쿠팡이 사이버보안 관련 허위 공시와 정보 은폐로 투자자들에게 손실을 입혔다며 집단소송을 제기했다고 밝혔다.


소장에 따르면 쿠팡은 전 직원이 약 6개월간 민감한 고객 정보에 탐지되지 않고 접근할 수 있도록 한 불충분한 사이버보안 체계를 갖췄다. 이는 쿠팡을 규제 및 법적 조사의 위험에 노출시켰다는 것이 소송의 핵심 주장이다.

특히 피고인들이 이번 데이터 유출 사실을 인지한 뒤에도 관련 보고 규칙을 준수해 미국 증권거래위원회(SEC)에 보고하지 않았다는 점이 문제가 됐다. 미국 증권법은 상장기업이 중대한 사이버보안 사건 발생 시 4일 이내에 중대 사건 보고서(Current Report)인 '폼 8-K'(Form 8-K)를 SEC에 제출하도록 의무화하고 있다.

쿠팡은 지난해 11월 18일 데이터 유출 사실을 인지했지만, 12월 16일에야 SEC에 정식 보고서를 제출했다. 이는 규정상 마감 기한을 훨씬 넘긴 것이다.
이번 집단소송은 지난해 5월 7일부터 12월 16일까지 쿠팡 주식을 매입한 투자자들을 대상으로 한다. 대표원고 신청 마감일은 오는 2월 17일이다.


소송 대리인인 레비앤코르신스키 측은 "쿠팡이 데이터 유출 사실을 은폐하는 동안 투자자들이 막대한 손실을 입었다"며 "지난해 11월 30일 로이터통신이 이번 사건을 최초 보도한 이후 쿠팡의 시가총액은 80억 달러(약 11조7200억 원) 이상 증발했다"고 밝혔다.

쿠팡은 지난해 3370만 고객 계정의 개인정보가 유출되는 초유의 사태를 겪었다. 최초 침해는 지난해 6월 24일 시작됐으나 쿠팡은 5개월간 이를 탐지하지 못했다. 유출된 정보에는 이름, 이메일, 전화번호, 배송지 주소, 일부 주문 정보 등이 포함됐다.

헤이건스버먼 법무법인의 리드 카트레인 변호사는 "쿠팡이 언제 이번 유출 사건이 중대하다고 판단했는지, 그리고 SEC 규정에 따라 제때 보고했는지가 핵심 쟁점"이라고 말했다.

이번 미국 증권소송과 별도로 쿠팡은 한국에서도 집단소송에 직면해 있다. 개인정보 유출 피해자들이 모인 온라인 커뮤니티에는 80만 명이 넘는 회원이 가입해 집단 손해배상 소송을 준비 중이다.

한국 정부도 쿠팡에 개인정보보호법 위반 혐의로 과징금 부과를 검토하고 있다. 개인정보보호위원회는 쿠팡에 유출 사실을 정확히 재통지하고 추가 유출 확인 시 즉각 신고할 것을 요구했다.

업계에서는 이번 사건이 대형 유통플랫폼의 사이버보안 관리 체계 전반에 경종을 울릴 것으로 보고 있다. 특히 퇴사자의 접근 권한 관리 소홀이 대규모 정보 유출로 이어질 수 있다는 점이 재확인됐다는 분석이 나온다.

쿠팡 측은 "고객들에게 큰 우려를 끼친 점에 대해 책임을 통감한다"며 "보상 방안을 조만간 마련할 계획"이라고 밝혔다.


박정한 글로벌이코노믹 기자 park@g-enews.com