‘김범석 없는 김범석 청문회’
17일 쿠팡을 상대로 열린 국회 과학기술정보방송통신위원회 청문회에선 김범석 쿠팡Inc 의장을 향한 질타가 쏟아졌다. 이날 청문회에 불출석한 김 의장은 3370만명의 개인정보 유출 사태와 관련해 아직까지 직접적인 입장을 내놓지 않고 있다. 이날 쿠팡 측 핵심 증인으로는 미국인인 해롤드 로저스 신임대표, 브렛 매티스 정보보호최고책임자(CISO)가 출석했지만, ‘언어 장벽’으로 질의응답이 원활히 이뤄지지 않으면서 질의응답 진행에 차질을 빚었다.
의원들은 김 의장의 불출석을 강하게 비판했다. 최형두 국민의힘 의원은 “김 의장이 글로벌 최고경영자(CEO)란 이유로 출석하지 못한다는 건 언어도단”이라며 “쿠팡보다 더 큰 회사인 메타의 (마크) 저커버그나 아마존의 (제프) 베이조스도 미국 의회의 청문회 증언을 외면하지 않았다”고 말했다. 이준석 개혁신당 의원도 “미국에선 정보 유출 같은 사고가 발생하면 기업의 실질적인 책임자가 청문회에 직접 출석해 증언한다”고 지적했다.
실제로 저커버그 메타 CEO는 2018년 페이스북 이용자 개인정보 유출 사태와 관련 미 의회 청문회에 직접 출석해 사과했다. 또 2020년 코로나19 국면에서 화상으로 열린 미 의회의 반독점 청문회엔 베이조스 아마존 의장, 저커버그 CEO, 팀 쿡 애플 CEO, 순다르 피차이 구글 CEO가 모두 출석했다.
반면 김 의장은 지난 14일 “170여개 국가에서 영업하는 글로벌 기업의 CEO로서 공식적인 비즈니스 일정이 있어 부득이하게 청문회에 출석이 불가하다”는 사유서를 내고 증인 출석 요구에 불응했다. 함께 증인으로 채택된 박대준 전 대표, 강한승 북미사업개발 총괄도 불출석했다. 이에 청문회에선 “한국 국민을 호구로 보는 것이냐”(이훈기 더불어민주당 의원) “국회와 국민을 무시하는 처사”(최민희 과방위원장) 등의 비판이 잇따랐다.
이날 국회 과방위와 정무위원회는 국회 증언·감정 법률 위반(불출석) 혐의로 김 의장과 박대준 대표, 강한승 총괄을 고발하기로 의결했다.
로저스 대표의 답변을 둘러싼 논란도 있었다. 그는 쿠팡Inc의 최고관리책임자(CAO) 겸 법무총괄 출신으로, 청문회 일주일 전 임시 대표로 선임됐다. ‘김범석의 복심’인 그의 입에서 김 의장의 메시지가 나올 수 있단 관측도 있었지만, 로저스 대표는 “심려와 우려를 끼쳐드려 깊이 사과한다”는 원론적인 입장만 밝힌 채 김 의장의 책임이나 소재에 대한 질문엔 즉답을 피했다. 대신 “쿠팡 한국 법인의 책임자는 나”란 답변을 반복했고, “김 의장과 (이번 유출 사고와 관련해) 논의한 적은 없다”고 말했다.
쿠팡이 외국인 증인 2명을 ‘방패’로 내세웠단 지적도 나왔다. 최형두 의원은 “김 의장은 모국어로 충분히 설명할 수 있음에도 한국어가 통하지 않는 외국인 증인을 앞세워 책임을 회피하는 태도가 비겁하다”고 비판했다. 질의에 앞서 최민희 위원장은 통역사를 통해 두 증인의 한국어 구사 능력을 확인했다. 이에 로저스 대표 측 통역사는 “(그는) 한국어를 전혀 못한다”고 답했고, 매티스 CISO 측 통역사는 “장모님·처제·아내, 그리고 ‘안녕하세요’ 정도만 할 수 있다”고 말했다.
교차 통역으로 시간이 지연되고 의례적인 답변만 반복되자 의원들 사이에선 “외국인 증인에 대한 질의가 시간 낭비 같다”는 불만이 나오기도 했다. 온라인상에서도 “영어 듣기 평가 같다” “영어 수업 시간 같다”는 반응이 이어졌다.
쿠팡의 허술한 보안 체계 역시 도마 위에 올랐다. 매티스 CISO는 “(이번 정보 탈취에 이용된) 서명키가 (최소) 11개월 동안 탈취된 상태였느냐”는 질문에 “맞다”고 답했다. 탈취 시점은 아직 특정하기 어렵지만, 문제의 직원이 퇴사한 시점(지난해 12월 말~올 1월 1일)부터 서명키가 폐기된 지난 11월 19일까지 최소 11개월간 보안 공백이 있었음을 시인한 것이다.
청문회 참고인으로 출석한 김승주 고려대 정보보호대학원 교수는 “매티스 CISO는 해당 직원이 개발자였고, 업무상 접근 권한을 남용해 서명키를 복사했다고 설명했지만, 내부 보안 시스템이 제대로 갖춰져 있었다면 업무 범위와 무관하게 서명키를 복사하는 건 불가능했을 것”이라고 지적했다.
향후 대책과 관련해 로저스 대표는 “보상안을 마련해 발표하겠다”고 밝혔다. 매티스 CISO는 “내년 상반기까지 한국에도 ‘패스키(passkey)’를 도입하겠다”고 말했다. 패스키는 비밀번호 대신 얼굴·지문 등 생체인식이나 핀(PIN) 등을 활용하는 인증 방식으로, 외부 해킹이나 탈취 위험이 상대적으로 낮다. 쿠팡은 대만에서 패스키를 도입해 사용 중이지만, 한국 쿠팡에는 아직 적용하지 않고 있다.
한편 청문회에선 김병기 민주당 원내대표와 박대준 전 쿠팡 대표의 오찬 의혹을 둘러싸고 여야간 충돌을 빚지기도 했다. 청문회에 앞서 김 원내대표는 올해 국정감사를 앞두고 박 전 대표 등과 호텔에서 70만원 상당의 식사를 했다는 의혹이 불거졌다.