두 단체는 22일 오전 11시 서울 종로구 참여연대 지하 느티나무홀에서 ‘미국 증권거래위원회에 대한 쿠팡의 허위 공시 신고 기자회견’을 열고 SEC에 공식 TCR(제보·고발 및 수사의뢰) 신고서를 제출한다고 밝혔다.
신고 대상은 뉴욕증권거래소(NYSE) 상장사인 쿠팡Inc.(CPNG)의 김범석 최고경영자(CEO), 가우라브 아난드 최고재무책임자(CFO), 해롤드 L. 로저스 최고행정책임자(CAO) 등 최고경영진 3명이다.
|
신고서의 핵심은 쿠팡이 SEC에 제출한 공시가 사실과 크게 다르다는 점이다. 단체들에 따르면 쿠팡은 지난해 12월 29일 수시보고서와 올해 2월 26일 연례보고서를 통해 3755만 명 규모의 개인정보 유출 사고를 ‘전직 직원이 3000명의 정보만 저장한 뒤 삭제한 사건’으로 축소·은폐해 공시했다.
단체들은 이 같은 행위가 미국 연방 증권법(증권거래법 10(b) 및 SEC 규칙 10b-5)을 위반한 허위 공시이자 글로벌 투자자를 기만한 행위라고 지적했다.
이와 함께 단체들은 세 가지 사안을 핵심 위반 사항으로 꼽았다. 먼저 쿠팡 최고경영진이 내부 조사 과정에서 개인정보보호책임자(CPO)를 조직적으로 배제한 것이다. 그리고 과학기술정보통신부의 자료보전 명령을 위반하고 핵심 접속기록 포렌식 로그를 임의 삭제하거나 방치한 혐의도 있다. 또 미국 기업 지배구조 개혁법인 사베인스-옥슬리법(SOX) 302조(허위 인증) 및 404조(내부통제 무력화) 위반도 지적된다.
단체들은 위반 혐의가 인정될 경우 개인은 최대 500만달러의 벌금과 20년 이하의 징역, 법인은 최대 2500만 달러의 벌금형에 처해질 수 있다고 설명했다. 아울러 부당이득 환수, 민사 과태료 부과, 상장사 임원·이사 자격의 영구 박탈 등 강력한 제재 조치도 가능하다고 덧붙였다.
이날 기자회견에서는 이병주 변호사(법무법인 지향, 미국 캘리포니아주·한국 변호사)가 미국 연방 증권법 및 SOX 위반 구조를 설명하고, 이어 이은우 변호사(법무법인 지향·디지털정의네트워크 자문위원)가 민관합동조사단과 개인정보보호위원회의 조사 결과를 발표한다. 이후 소비자단체와 참여연대의 공식 발언이 이어질 예정이다.
이번 신고에 참여한 집단소송법제정연대에는 한국소비자단체협의회 소속 12개 단체를 비롯해 경제정의실천시민연합, 디지털정의네트워크, 민생경제연구소, 민주사회를위한변호사모임, 정보인권연구소, 참여연대 등이 뜻을 모으고 있다.
7개월간 이어진 해킹…당정 “공시 바로잡겠다”·개인정보위 과징금 6246억 부과
이번 사태는 지난해 말 쿠팡 내부 시스템의 인증 취약점을 악용한 해킹 정황이 포착되면서 시작됐다.
민관합동조사단이 올해 2월 발표한 조사 결과에 따르면, 공격은 지난해 4월부터 11월까지 약 7개월간 지속됐다. 유출된 고객 이름과 이메일은 총 3,367만 건으로 집계됐다. 범인은 쿠팡 재직 시절 인증 시스템 설계·개발에 참여했던 전직 직원으로, 퇴사 후에도 보관 중이던 인증키 서명 결함을 악용해 로그인용 ‘전자 출입증’을 위조·접속한 것으로 드러났다.
쿠팡 측은 지난해 12월 자체 조사를 통해 “유출자가 3300만 명의 정보를 빼갔으나 실제 저장한 것은 3,000명분이며 범행 장비도 회수했다”고 해명했다. 그러나 경찰은 올해 1월 “유출 규모가 3,000건을 훨씬 초과한다”고 밝혔다. 조사 과정에서는 정부의 자료보전 명령 이후에도 홈페이지 및 앱 접속기록이 삭제되어 조사를 방해한 혐의로 수사 의뢰가 진행되기도 했다.
SEC 공시 부실 논란 역시 지속적으로 제기돼 왔다. 올해 2월 더불어민주당과 정부는 “쿠팡이 SEC에 피해 규모를 축소 공시했다”며 이를 바로잡겠다는 방침을 밝혔다. 미국 현지에서도 쿠팡 주주들이 유출 사실을 인지하고도 SEC에 제때 공시하지 않았다며 집단소송을 제기한 상태다.
앞서 개인정보보호위원회는 지난 6월 쿠팡의 유출 피해자를 총 3,755만 명으로 최종 판단하고, 과징금 6,246억 8,100만 원과 과태료 1680만 원을 부과했다. 개인정보위 조사에서도 쿠팡이 해커 조사 결과를 공식 공개하는 과정에서 CPO를 의사결정 라인에서 배제한 사실이 공식 확인된 바 있다.
