ISMS-P 등 국가 인증 갖춰도 유출
대부분 내부 소행… 인력 관리 허점

개보위 “현장 심사·모의 해킹 확대”
쿠팡 “생체인식 활용 ‘패스키’ 도입”

쿠팡이 국내외 주요 보안 인증을 다수 보유하고도 대규모 개인정보 유출 사태를 막지 못하면서 인증 제도에 대한 무용론이 제기됐다. 쿠팡은 3일 열린 국회 정무위원회 현안질의에서 여야의 질타가 쏟아진 가운데, 3370만명의 개인정보 유출 사고가 공개된지 나흘만에 처음으로 피해자 보상에 나서겠다고 밝혔다.

쿠팡의 프라이버시센터 홈페이지에 따르면 쿠팡은 ISMS-P를 비롯해 총 7개 인증을 보유하고 있다. ISMS-P는 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 국내 유일의 정보보호·개인정보보호 관리체계 인증 제도다.

하지만 7개의 인증에도 역대 최대 개인정보 유출 사고를 낸 것을 두고 인증 제도가 실효적 예방책이 되지 못한다는 지적이 적지 않다. 쿠팡은 물론 SK텔레콤, KT, 롯데카드 등 과거 개인 정보 유출 사고가 발생한 기업 다수가 ISMP-S 인증을 받았다.

송경희 개인정보위원회 위원장은 “ISMS-P 인증을 받았는데 사고가 난 24개 기업에 대해 이번 달에 현장 조사를 계획하고 있다”고 밝혔다. 그는 서면 심사와 샘플링 조사 중심인 ISMS-P 인증을 “예비 심사제도와 현장 심사를 도입하고 인증 부여 후 1년 마다 모의해킹 등을 운영하는 방향으로 개선하겠다”고 말했다.

쿠팡은 이날 정무위에서 비밀번호 없이 생체인식과 핀(PIN) 등을 활용하는 인증 수단 ‘패스키’ 도입을 시사했다. 패스키는 해커가 추측하거나 도용하는 것이 불가능하다. 쿠팡은 지난달 대만에서 패스키를 도입했지만 한국에선 도입하지 않았다. 이헌승 국민의힘 의원이 “대만 쿠팡에서 보급한 전용 패스키를 한국에도 도입했다면 이런 사고가 일어났겠냐”고 질타하자 박대준 쿠팡 대표는 “훨씬 더 안전하게 서비스할 수 있었을 것이라 생각한다”고 했다. 그는 자발적 배상 조치를 하라는 지적에 대해선 “피해범위가 확정되지 않았다”면서도 “합리적 방안을 마련하겠다”고 했다.

또 이정문 더불어민주당 의원이 김범석 쿠팡InC 이사회 의장의 거취를 묻자 박 대표는 “해외에 있는 걸로 안다”며 “(김 의장에게) 이사회를 통해 사건 발생 후 현재 상황에 대해 보고했다”고 말했다.

이날 개인정보위는 고객들에게 개인정보 ‘노출’이라고 통지한 쿠팡에 ‘유출’ 통지로 수정하고, 공동현관 비밀번호 등 유출 항목을 빠짐없이 반영해 재통지하라고 요구했다.