이재명 대통령이 쿠팡의 대규모 정보유출 사태와 관련해 강력한 대응을 주문했다. 대통령이 직접 나서 사태의 심각성을 강조하면서 대규모 과징금과 법적 배상 리스크가 현실화할 가능성이 커지고 있다는 관측이 나온다. 사회적 여론 악화 등으로 사태가 확산되는 가운데, 미국 증시에서도 투심이 악화하는 모습이 나타나고 있어 현지에서 주주들의 대응 가능성도 배제할 수 없다는 우려가 제기된다.

이재명 대통령이 2일 쿠팡의 개인정보 유출과 관련해 “쿠팡의 개인정보 유출 사고 원인을 조속히 규명하고 엄정하게 책임을 물어야 하겠다”며 “과징금을 강화하고, 징벌적 손해배상 제도를 현실화하는 등 실질적·실효적인 대책에 나서주길 바란다”고 지시했다.

이 대통령은 이날 주재한 제52회 국무회의에서 “쿠팡 때문에 우리 국민들 걱정이 많다”며 이같이 말했다. 이 대통령은 “피해 규모가 약 3400만 건으로 방대하지만, 처음 사건이 발생하고 5개월간 회사가 유출 자체를 파악하지 못했다는 게 참으로 놀랍다”고 지적했다. 이어 “이 정도인가 싶다”고 덧붙였다.

앞서 전날 강훈식 대통령비서실장도 서울 용산 대통령실에서 열린 수석보좌관회의에서 쿠팡의 개인정보 유출 문제를 지적하고 “기업의 책임이 명백할 경우 징벌적 손해배상이 적용될 수 있도록 개선해달라”고 주문한 바 있다.

정부에서 날선 비판에 나서고 있는 가운데, 최악의 고객 정보 유출 사고가 발생한 쿠팡에 역대 최대 과징금이 부과될 가능성이 제기된다. 앞서 개인정보보호위원회의 역대 과징금 최대액은 지난 8월 SK텔레콤에 부과한 1348억원이었다. 당시 SK텔레콤에선 고객 2324만 명의 개인정보가 유출됐다.

쿠팡의 매출 규모를 감안해도 천문학적 액수의 과징금을 피하기 어려울 거란 전망이다. 2023년 개정된 개인정보보호법에 따르면 개인정보 유출 시 위반 기업에는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 쿠팡의 지난해 기준 연 매출이 38조원을 기록한 것을 고려하면, 단순 산술로는 과징금 규모가 최소 수천억 원대에서 조 단위까지 이를 수 있는 셈이다. 

다만 개보위는 과징금 책정 과정에서 자발적 시정 노력 등을 참작하고 있다. 하지만 대통령 등 정부가 앞장서 '엄정 책임 부여'를 강조하고 있는 상황이라 대규모 과징금 가능성은 높아진 상황이란 분석이 많다.

과징금 외에도 소비자들이 대규모 집단소송을 준비하면서 법적 배상금이 천문학적일 것이란 관측도 나온다. 법원 판례에 따라 피해자 1인당 배상액은 10만원대의 소액에 그칠 것으로 예상되지만, 워낙 피해자가 많아 쿠팡이 부담해야 할 총액은 막대할 수 있다. 만약 3370만 명의 피해자 전원이 소송에 참여할 경우 단순 계산 시 쿠팡이 부담해야 할 총 배상액은 3조4000억원에 육박할 수 있다.

기업을 향한 사회적 여론도 악화하고 있다. 매출의 대부분을 한국에서 거두고 국내 소비자를 기반으로 성장한 기업이면서, 국내에서 사회적 책임과 내부 통제 측면에서는 미국 법인이자 미 증시 상장사라는 이유로 이를 외면하고 있다는 비판이 거세지고 있다. 쿠팡 모기업인 쿠팡 Inc의 올해 3분기 매출은 약 13조원이다. 연 매출은 작년 처음으로 40조원을 넘었고 올해 50조 원을 눈앞에 두고 있다.

이에 창업자인 김범석 쿠팡 이사회 의장도 국내 사회의 '책임'을 피하고 있다는 비판이 커지고 있다. 미국 이민자인 김 의장은 의결권의 70% 이상을 가지고 있지만 국회 출석 요구가 있을 때마다 해외 체류 등을 이유로 참석을 피하고 있다. 특히 김 의장은 쿠팡을 실질적으로 지배하면서도 공정거래위원회의 '동일인(총수)' 지정에서도 미국 국적 등의 이유로 이를 피했다. 논란이 일면서 지난해 동일인 판단 기준이 개정됐지만, 김 의장은 4대 예외 조건을 모두 충족해 총수로 지정되지 않아 사익편취 금지와 친·인척 자료 제출 등 각종 의무에서 벗어나 있는 상태다.

김 의장은 쿠팡의 클래스B 보통주 1억5780만2990주(지분율 8.8%)를 보유하고 있다. 클래스B 보통주는 주당 29배의 차등의결권을 가진 주식으로, 의결권을 기준으로 하면 김 의장의 지분율은 73.7%에 달한다. 그는 지난해 11월 보유 중이던 클래스B 보통주를 클래스A 보통주 1500만 주로 전환해 처분하면서 4846억원을 현금화하기도 했다. 이후 김 의장은 앞서 200만 주를 자선기금에 증여했는데, 자선기금 대부분이 미국에 쓰인 것으로 알려졌다.

한편 쿠팡의 주가를 살펴보면 투자심리가 악화한 모습을 보였다. 초유의 정보유출 사태가 터진 이후, 지난 1일(현지시간) 뉴욕증시에서 쿠팡 Inc.는 전 거래일 대비 5.36% 내린 26.65달러에 장을 마쳤다. 장중 한때 7% 이상으로 낙폭을 키우기도 했다. 앞서 닷새 연속 상승하던 흐름이 꺾였고 거래량은 직전 거래일 대비 4.5배 수준으로 급증했다. 이날 낙폭은 지난달 5일(5.94%) 이후 한 달 만에 가장 컸다.

일각에서는 쿠팡이 미국에 상장되어 있는 점을 고려하면 향후 현지에서도 추가적인 '후폭풍'이 있을 수 있다는 우려가 나온다. 쿠팡의 사이버보안 역량 미비로 주가가 하락했고 주주들이 피해를 보았다는 취지의 집단 법적 행동 가능성도 있다는 시선이 있다. 또한 미국에서는 사이버보안 이슈 등을 엄격하게 보기 때문에 ESG 등급 영향 및 기관투자자들의 투심 악화도 가능한 시나리오라는 분석이다.

현재 알려진 바로는 쿠팡의 개인정보가 유출된 시점은 올해 6월부터다. 해당 시기 4개월 전인 쿠팡이 미국 증권거래위원회(SEC)에 공시한 'Form 10-K' 문서(2024년 회계연도 사업보고서)를 살펴보면 보안(Item 1C. Cybersecurity) 부문에서 해당 업무와 관련된 책임 소재 및 회사 측의 자체 보안 능력 평가에 대한 내용을 읽을 수 있다.

해당 부분에서 쿠팡 측은 "쿠팡 경영진은 사이버 정책·절차·전략에 대한 감독 및 지침을 제공한다"며 "이사회는 회사 비즈니스 플랜 수행 과정에서 발생하는 리스크를 평가·관리하는 책임이 있으며, 관련 위원회는 이러한 업무와 연계하여 감독 기능을 수행한다"고 기술하고 있다.

이어 "해당 Form 10-K 기준으로, 과거 발생한 쿠팡 단독 혹은 제3자 관련 사이버보안 사고로 인해 회사의 사업 전략, 운영 결과, 재무 상태에 중대한 영향이 발생한 사례는 없다. 다만 사이버 위협은 증가하고 있으며, 이는 앞으로도 사이버보안 및 데이터보안 사고가 회사에 중대한 영향을 미칠 가능성을 의미한다"고 언급하고 있다.