시사 한겨레 ⓘ한마당

상고 제기 시점으로는 3년 4개월 만
35일 만에 이재명 파기 환송과 대조
부인과 장남에 7000만원 배상 명령
문제된 대목 삭제 안하면 출판 못해

"항쟁 발생 46년, 한참 지연된 정의"

고 전두환 전 대통령 연합 자료사진

2017년 4월 출간된 '전두환 회고록'이 5·18 민주화운동을 왜곡했다는 대법원의 최종 판단이 나왔다. 대법원 3부(주심 이흥구 대법관)는 북한군이 개입했다거나 헬기 사격은 없었다는 주장 등 이 책의 51개 항목이 허위란 사실이 인정된다고 12일 원심을 확인했다. 소송 제기 8년 8개월 만이며, 상고가 제기된 지 3년 4개월 만이다.

이재명 대통령의 공직자선거법 파기 환송을 상고 제기 35일 만에 신속히 결정했던 것과 현격한 대조를 이룬다.

고 조비오 신부는 5·18 당시 군의 헬기 사격을 여러 차례 목격했다고 증언했는데 고 전두환 전 대통령은 회고록에다 "계엄군의 헬기 사격은 없었다"고 주장하며, 고 조비오 신부를 "파렴치한 거짓말쟁이"라고 비난했다. 또 북한군 침투설이나 계엄군의 총기 사용이 자위권 발동이었다는 근거 없는 주장을 늘어놓았다.

고 조비오 신부의 조카 조영대 신부와 5·18 단체는 2017년 6월 전씨를 상대로 정신적 손해배상과 출판 금지 소송을 제기했다. 앞서 1심과 2심에서는 전두환 회고록이 일부 세력의 근거 없는 주장에만 기초해 5·18을 왜곡하고 원고들의 명예를 훼손했다며 회고록 내용 일부를 삭제하고 7000만 원을 배상하라고 명령했는데 대법원도 1·2심 판단이 옳다며 원심 판결을 확정했다.

대법원은 회고록 가운데 51개의 표현이 명백한 허위라고 못 박았다. 이번 판결을 통해 5·18 왜곡은 더 이상 표현의 자유라는 방패 뒤에 숨을 수 없음을 분명히 한 것이다. 이로써 전씨 사후 소송을 물려받은 부인 이순자 씨와 아들 전재국 씨는 배상 책임을 지게 됐고, 해당 표현을 삭제하지 않고는 책을 출판하거나 배포할 수 없게 됐다.

김정호 원고 측 법률 대리인은 "지연된 정의에 대한 아쉬움이 있다. (5·18이 일어난 지) 46년이 흘렀는데 아직도 왜곡과 폄훼와 싸워야 한다는 것 자체가 너무 슬픈 현실"이라고 개탄했다. 5월 단체들은 대법원 확정 판결을 환영하면서도 5·18 정신 헌법 전문 수록 등 완전한 진실 규명을 위한 근본적인 대책을 요구하고 있다.

전씨 회고록 1권 '혼돈의 시대(1979~1980)' 초판에는 ▲"'발포 명령'이란 것은 아예 존재하지도 않았다" ▲헬기사격은 없었다 ▲5·18은 '폭동' 외에 표현할 말이 없다 ▲나는 광주사태 치유를 위한 '씻김굿의 제물' 등 취지의 표현이 담겨 있어 논란이 됐다. 전씨는 또 회고록을 통해 계엄군의 헬기 사격을 목격했다고 증언한 조 신부를 일컬어 "가면을 쓴 사탄(이거나) 또는 성직자가 아니다"라고 표현하기도 했다.

법원은 지난 2017년 8월 회고록 1권 초판의 특정 표현은 허위 사실이라며 이를 삭제하지 않으면 출판과 배포를 할 수 없다는 가처분 결정을 내놓았다. 이에 전씨 측은 같은 해 10월 지적된 부분을 검게 칠한 '회고록 1권 2판'을 출간했고, 이듬해인 2018년 1월 5·18기념재단 등 오월단체들은 추가 허위 사실을 지적하며 2차 민사소송과 가처분 신청을 냈다.

법원은 그 해 5월 원고들이 제출한 2차 가처분을 받아들여 출간·배포 금지 결정을 내렸고, 이후 전씨 측은 회고록을 다시 펴내지 않았다.

이후 법원은 1·2차 본안소송을 병합해 일부 표현을 검게 칠한 회고록 1권 2판을 두고 심리를 진행했다. 1심은 2018년 9월 원고 일부의 손을 들어줬다. 회고록 내용 70개 중 69개를 허위 사실로 인정했으며, 오월단체와 유족들의 명예를 훼손한 책임을 물어 합계 7000만원을 배상하라고 했다. 오월단체 4곳에 각 1500만원씩, 조영대 신부에게 1000만원이다.

전씨는 1심 판결에 불복해 항소했으나 지난 2021년 11월 세상을 등지고 말았다. 민사소송은 부인 이씨가 법정 상속인 지위로서 이어 받아 계속 진행돼 왔다. 2심도 2022년 9월 이씨와 재국씨가 1심과 같은 액수를 배상해야 한다고 판단했다.

회고록 표현 63개 중 51개가 명확히 허위사실로 인정돼 원고들의 명예를 훼손한다고 본 것이다. 아울러 해당 표현 전부 또는 일부를 삭제하지 않으면 출판·발행·인쇄·복제·판매·배포를 할 수 없다고 명령했다.

2심은 또 전씨가 회고록에서 계엄군 장갑차에 깔려 숨진 병사를 '시위대 장갑차에 깔려 숨졌다'고 적시한 내용을 허위 사실이라고 처음 인정하기도 했다. 오월단체들은 1심에서 승소했으나 해당 대목을 삭제하라는 취지의 부대 항소를 냈는데, 2심은 삭제 명령을 내리면서도 전씨의 배상 책임은 인정하지 않았다.

한편 전 전 대통령은 별도의 형사 재판에서 사자명예훼손 혐의로 1심에서 징역 8개월에 집행유예 2년의 유죄를 선고받았고, 항소심은 피고인의 사망에 따른 공소기각 결정으로 종료됐다.                                                                            < 임병선 기자 >

합당 논의, 지방선거 후 통합추진위 구성
정청래 "통합 논란보다 화합 시급하다 생각"
지방선거 전 분열상 보여준 집권 여당 실책
극한 갈등에 우당끼리 감정 싸움으로 번져

"공개비난 당분열 초래 비당권파도 사과해야"
통합, 당내 분위기 쇄신 등도 과제로 남아
민생·개혁·내란청산 추진 동력 마련도 숙제
2차 특검 논란 등 느슨해진 체계 다잡아야

더불어민주당 정청래 대표가 10일 국회에서 조국혁신당과의 합당 논의를 주제로 열린 비공개 최고위원회의를 마친 뒤 결과를 발표하고 있다. 2026.2.10. 연합

더불어민주당이 조국혁신당과의 6·3 지방선거 전 합당 논의를 중단하기로 했다. 지난달 정청래 대표의 전격 제안으로 시작된 합당 논의는 20일 동안 범여권을 흔들었지만, 통합이라는 원칙은 흐려지고 당내 갈등만 키우는 방향으로 전개됐다. 이재명 정부 중간평가 성격의 지방선거를 앞두고 총력을 기울어야 할 때지만, 여권의 분열만 가중됐다. 범여권 통합을 밀어붙였던 정 대표는 이번 합당 논의 중단으로 리더십 타격을 입었다. 선거 전 리더십을 회복하고, 당내 통합으로 분위기를 쇄신해야 할 과제 등이 남게 됐다.

"6월 지선 전 합당 논의 중단"
"통합 논란보다 화합이 시급"

정 대표는 10일 오후 비공개 최고위원회의를 마친 뒤, 혁신당과의 합당에 대해 이같이 밝혔다.

"첫째, 지방선거 전 합당 논의를 중단한다. 둘째, 연대와 통합을 위한 추진준비위원회 구성을 결정하고, 조국혁신당에도 연대와 통합을 위한 추진준비위원회 구성을 제안한다. 셋째, 지방선거 후 통합추진준비위원회를 중심으로 통합을 추진한다."

정 대표는 합당 논의에 대해 "오직 지방선거 승리와 이재명 정부의 성공을 위한 충정이었다"며 "그러나 통합 제안이 당 안팎에서 많은 우려와 걱정을 가져왔다. 통합을 통한 상승 작용도 어려움에 처한 게 사실"이라고 설명했다. 이어 "이 과정에서 더 이상의 혼란을 막아야 한다는 당 안팎의 여론을 무겁게 받아들이지 않을 수 없었다"면서, "통합 논란보다 화합이 더 시급하다고 생각했다"고 합당 논의를 중단한 배경을 밝혔다.

더불어민주당 정청래 대표가 10일 국회에서 조국혁신당과의 합당 논의를 주제로 열린 비공개 최고위원회의를 마친 뒤 결과를 발표하고 이언주 최고위원과 악수하고 있다. 2026.2.10. 연합

다만 정 대표는 "전 당원 투표를 실시하지 못한 아쉬움이 매우 클 수밖에 없다. 강물은 바다를 포기하지 않는다는 노무현 대통령의 말씀이 생각난다. 통합이 승리와 성공을 뒷받침할 것이라는 믿음만은 변함이 없다"면서 추후 합당 재추진 의사를 밝혔다. 또 "통합 논의 과정에서 있었던 모든 일들은 저의 부족함 때문"이라면서 "통합에 적극적으로 의견을 개진해 주셨던 분들의 마음을 잘 알고 있다. 활을 멀리 쏘기 위해서는 활 시위를 뒤로 더 당겨야 한다고 말씀드린다"고 했다.

정 대표는 "앞으로 민주당 지도부는 더욱 단결하고 더 낮은 자세로 지방선거 승리, 이재명 정부 성공을 위해 최선의 노력을 다할 것"이라며 "우리 당 지도부는 이 대통령의 국정 안정을 든든하게 뒷받침할 것을 다시 한번 다짐한다"고 강조했다. 그는 끝으로 국민과 당원에게 "죄송하고 감사하다"고 전했다.

정 대표의 합당 논의 중단 결정은 비공개 최고위에 앞서 열린 오전 의원총회에서 나온 의견들을 종합한 것으로 보인다. 이날 의총에서 민주당 의원들은 대체로 합당 논의가 현실적으로 어렵다는 뜻을 밝힌 것으로 전해졌다.

박수현 수석대변인은 의총 뒤 기자들과 만나 "주로 합당 시기와 관련해 지방선거 이후 합당을 논의해야 한다는 의견, 선거연대나 선거연합 형태를 고려하는 게 좋겠다는 의견이 여러 형태로 제시됐다"고 전했다. 그러면서 "한두 분 정도는 선거 후 합당에 대해서도 약간 우려의 지점이 있다고 의견을 냈다"며 "그러나 대체로 합당에 대해서는 공감하는 발언이 의총에서 주를 이뤘다"고 말했다.

더불어민주당 정청래 대표가 10일 국회에서 조국혁신당과의 합당 논의를 주제로 비공개로 열린 의원총회를 마친 뒤 당 대표실을 향해 이동하고 있다. 정 대표 앞으로 지나가는 이언주 최고위원. 2026.2.10. 연합

의총에선 합당이나 범여권 통합의 명분에 대체로 공감대가 있었지만, 합당 시점과 통합 방식을 두고 여러 의견이 제기된 것으로 전해졌다. 정 대표도 이러한 당내 의견을 반영해 당장 논란이 되는 합당 논의를 미루고, 선거 연대·연합으로 통합의 뜻을 이어갈 발판을 마련한 것으로 해석된다. 정 대표가 "통합 논란보다 화합이 더 시급하다"면서 "연대와 통합을 위한 추진준비위원회 구성"을 언급한 대목은 이러한 현실 인식을 바탕으로 깐 것으로 보인다.

지선 전 분열상 보여준 집권당 실책
"정 대표, 비당권파 둘 다 사과해야"

이번 합당 논의는 통합이라는 대원칙을 범여권 내에서 공유한다는 걸 재확인한 것 외에, 대체로 '마이너스'인 측면이 많았던 것으로 평가된다. 지방선거를 앞둔 집권 여당으로서는 실책이다.

정 대표가 지도부와 사전 공유나 상의없이 전격적으로 합당을 추진한 데 대해, 비당권 지도부가 절차 문제를 지적하고 공개 충돌하면서 당은 사실상 '심리적 내전' 상태에 빠졌다. 어제까지 동지가 오늘의 적이 됐고, 당원들과 시민들은 양분됐다. 당 대 당 통합에서 전제돼야 할 정치개혁에 대한 건강한 토론은 보기 어려웠고, 사실상 차기 당원을 두고 권력 투쟁을 하는 구도가 됐다. 민주당의 한 재선 의원은 시민언론 민들레에 "통합 명분은 안 보이고, 당권 투쟁이 됐다"고 토로하기도 했다.

그만큼 주고받는 말도 날카로웠다. "독선적 당 운영에 대한 재발 방지 대책을 요구한다" 정도로 시작한 합당 절차에 대한 비판은 점차 감정 싸움으로 번졌다. 이해찬 전 국무총리 조문 국면으로 갈등은 잠시 멈췄지만, 그 뒤 '합당 시나리오'가 적힌 대외비 문건이 유출되면서 "합당 밀약"이라는 거센 비판과 함께, 당대표 책임론이 일었다. "밀실·졸속 합당 의혹에 대해 당원에게 공식 사과하라(황명선 최고위원)" "전적으로 대표가 책임져야 한다(강득구 최고위원)" "합당은 지방선거 '필망카드'다(이언주 최고위원)" 등의 날선 발언이 이어졌다.

더불어민주당 이언주 최고위원이 2일 서울 여의도 국회에서 열린 최고위원회의에서 정청래 대표(오른쪽)의 발언을 듣고 있다. 2026.2.2. 연합

이 과정에서 우당끼리 감정의 골도 깊어졌다. 이언주 최고위원이 "(혁신당이) 민주당을 숙주로 알박기 하려고 한다"는 취지로 발언한 데 대해, 혁신당 조국 대표는 "당이 작다고 자존심까지 없는 것은 아니다"라고 직격했고, 정춘생 최고위원은 "이 최고위원이야말로 2012년 정치 시작할 때부터 숙주 정치 하지 않았나"라고 반박했다. 신장식 최고위원도 "(이 최고위원이야말로) 정당을 숙주 삼아 정치하는 데에 가장 능숙한 분"라고 비꼬았다.

나아가 조 대표는 지난 8일 민주당을 향해 오는 13일까지 합당에 대해 공식 답변을 달라고 요청하면서 이른바 '밀약설'에 대해 "존재하지도 않은 밀약을 전제로 추궁하고 공격을 퍼붓는 정치적 이유가 가히 짐작이 간다"며 "거론되지도 않았던 지분 논의를 들먹이며 '줄 지분이 없다'고 비난하는 행태는 모욕적"이라고 불쾌감을 내비쳤다. 또 "저와 혁신당을 내부 권력투쟁에 이용하지 말라"며 "우당에 대한 기본적 예의를 지켜달라"고 요청했다.

그러나 합당으로 벌어진 감정적 거리감은 좀체 좁혀질 기미를 보이지 않았다. 이 최고위원은 '13일 최후통합'을 한 조 대표를 향해 "혁신당에도 절차가 있듯이 우리 당도 우리의 절차가 있는 것이다. 본인이 말씀하셨듯이 '우당에 대한 예의'를 갖춰 달라"며 "우리 당의 일은 우리가 알아서 할 터이니, 본인 당의 일에 신경 쓰시길 바란다"고 쏘아붙였다.

조국혁신당 조국 대표가 8일 국회에서 기자간담회를 열고 합당을 제안한 더불어민주당을 향해 "설 연휴가 시작되는 13일 전에 민주당의 공식 입장을 결정해달라"고 촉구하고 있다. 2026.2.8. 연합

합당으로 인한 갈등은 합당과 관련 없는 다른 의제로 불씨가 번지기까지 했다. 민주당 지도부가 2차 종합특검에 대북송금 사건 핵심 피의자인 김성태 전 쌍방울 회장을 변호한 전철 변호사를 추천한 사실이 드러나면서, 비당권파들은 또다시 당대표 책임론을 꺼내들었다. 전 변호사를 추천한 당권파 이성윤 최고위원이 "불필요한 논란이 일어난 점은 전적으로 저의 책임"이라고 하고, 정 대표도 "대통령께 누를 끼쳐 드린 점, 대단히 죄송하다"고 사과했지만 갈등 진화에는 실패했다.

지도부의 실책에 "제정신들인가. 이 대통령에 대한 제2의 체포동의안 가결 시도나 다름없다(이언주 최고위원)" "대통령을 지키고 내란을 청산하겠다는 집권 여당의 모습인가(강득구 최고위원)" "대통령에 대한 배신(이건태 의원)" 등 격한 반발이 당내에서 잇따랐다.

대외비 문건 유출에 이어 터진 2차 특검 추천 논란은 분열된 당 지도부의 인사 시스템이 제대로 작동하지 않는다는 증거로 받아들여지기도 했다. 지도부 내에선 "추천위 절차를 밟았다고 하지만 최소한의 검증은 있어야 되는 것 아닌가? 대체 왜 이런 일이 반복되는 것인가?(강득구 최고위원)"라는 비판이 나왔다.

더불어민주당 정청래 대표가 10일 국회에서 조국혁신당과의 합당 논의를 주제로 열린 비공개 최고위원회의를 마친 뒤 결과를 발표하고 있다. 2026.2.10. 연합

합당을 두고 양쪽의 갈등이 극에 달하면서, 당 일각에선 합당 의제를 던져 원인을 제공한 정 대표와 함께 합당 논의를 공개 비판하며 당을 분열시킨 비당권파 최고위원도 사과해야 한다는 의견이 나온다.

박 수석대변인은 "(의총에서) 합당 제안의 형식과 관련해서 대표도 이미 사과를 했지만 또 사과를 해야 된다는 것과, 그 과정에서 일부 최고위원들이 당 내부에서 정리될 수 있는 부분들을 외부 기자회견 등을 통해서 이야기한 데 대해서도 사과가 있어야 된다, 그로부터 출발해야 된다는 발언이 있었다"고 전했다.

당내 통합 분위기 쇄신 등 과제
민생·개혁과 내란청산 추진해야

설 연휴를 앞두고 여권 내 갈등·분열로 비치는 합당 논의를 일단락한 것은 평가할 만하지만, 정 대표의 리더십은 일정 부분 타격을 입을 수밖에 없게 됐다. 언론에 단정적으로 합당을 공표하면서 반발의 빌미를 준 것에 대한 책임도 피하기 어렵다. 합당 논의 과정에서 또하나의 갈등 요소가 됐던 '권리당원 1인1표제'는 최종 의결됐지만, 찬성 312명(60.58%), 반대 203명(39.42%)의 투표 결과를 두고 당대표 리더십에 대한 의문을 표시한 것이라는 분석은 정 대표로서 아픈 대목이다.

합당 갈등 국면을 봉합한 정 대표로서는 지방선거라는 중대한 일정을 앞두고 당내 분위기를 쇄신하고 연대·통합하는 과제가 일순위로 남게 됐다. 또한 향후 선거 연대나 공천 과정에서 예상되는 내부 갈등을 통제하고 당내 소모적인 논쟁을 정리하기 위해서라도 신속하게 리더십을 회복할 필요가 있다. 아울러 그 자신이 강조한 "당·정·청 원팀 정신" "찰떡 공조"을 위해 전열을 재정비하고, 당원과 시민들이 염원하는 내란청산, 민생·개혁 과제 추진의 동력을 마련하는 것도 하나의 과제다.

더불어민주당 정청래 대표와 한병도 원내대표가 10일 국회에서 조국혁신당과의 합당 논의를 주제로 열린 비공개 최고위원회의를 마친 뒤 결과를 발표하기 위해 회의실로 들어서고 있다. 2026.2.10. 연합

다행히 전날(9일)부터 오는 11일까지 진행되는 대정부 질문 이후, 민생법안 처리 등을 위한 국회 본회의가 12일에 예정돼 있어 민생·개혁 기조로 전환하기 위한 발판은 만들어졌다. 하지만 당내 상황은 녹록지 않다. 합당에 공개 반대해 온 이언주·강득구·황명선 최고위원 등을 포함해 70여 명이 의원 모임을 만들어 세력 결집에 나섰다는 분석이 나오면서 이들과 관계를 어떻게 끌어가느냐가 정 대표에게 또 하나의 숙제가 됐다.

이 밖에 전준철 변호사 2차 특검 추천 문제와 더불어, 대북송금 사건에서 검찰과 함께 이화영 전 경기도평화부지사를 회유했다는 의혹이 제기되는 서민석 변호사를 당대표 법률특보로 임명한 부분 등도 분열을 일으킬 수 있는 불씨로 남게 됐다. 특히 2차 특검 추천 문제로 드러난 느슨해진 지도부 체계는 반드시 다잡을 필요성이 있다.

혁신당은 11일 오전 8시 30분 비공개 긴급 최고위원회의 뒤 9시 공개 최고위원회의에서 조국 대표가 직접 합당과 관련한 입장을 밝힐 예정이다. 여권 내에선 합당 논의까지 나온 상황에서 선거 경쟁을 할 경우 혼란을 줄 수 있는 만큼, 민주당이 띄운 '연대와 통합 추진위원회'에 호응해 조 대표가 선거 연대 등을 언급할 것이란 관측이 나온다.    < 김성진 기자 >

쿠팡 정보유출 배송지 등 1억 4800만건 나가
24시간 신고 의무 위반 과태료·자료 삭제 수사 의뢰
내부자에 속절없이 뚫린 쿠팡 인증시스템
쿠팡 “페이지 조회수가 정보 유출 규모 아냐”

쿠팡 전 직원이 유출한 개인정보 규모가 정부가 당초 추정하던 대로 3300만건을 넘어서고 범인이 들여다본 배송지 주소 등의 정보는 무려 1억 5000만건에 달하는 것으로 파악됐다. 전 직원이 수개월간 접근해 지인 개인정보까지 털릴 정도로 쿠팡의 인증시스템은 취약했다. 하지만 정부의 발표에도 불구하고 쿠팡은 정면으로 반박하며 정부를 상대로 한 싸움을 계속 벌이고 있다.

정부 공식 발표, 쿠팡 정보유출 3367만명, 유출건수는 1억 4800만건

과학기술정보통신부는 10일 정부서울청사에서 쿠팡 침해 사고에 관한 민관 합동 조사 결과를 잠정 발표했다.

과기정통부는 지난해 11월 29일부터 남아 있는 쿠팡의 웹 접속기록(로그) 25.6테라바이트(TB) 분량(데이터 6642억 건)을 분석한 결과 쿠팡 ‘내 정보 수정 페이지’에서 이용자 이름, 이메일 3367만여 건이 유출된 것을 확인했다.

조사단은 사건 초기 쿠팡 개인정보 유출 규모가 3370만 건이라고 추정했지만 추가 조사 결과 3367만여 건으로 파악했다. 여기에 쿠팡이 최근 추가로 밝힌 16만 5000여 계정 유출 건은 포함되지 않았다.

조사단은 “웹 접속기록 등을 기반으로 유출 규모를 산정했고 정확한 개인정보 유출 규모에 대해서는 향후 개인정보보호위원회에서 확정해 발표할 예정”이라고 했다.

조사 대상에는 범행에 쓰인 것으로 추정되는 공격자의 PC 저장장치 4대가 포함됐고 현재 재직 중인 쿠팡 개발자 노트북도 포렌식 조사했다.

‘배송지 목록 페이지’에서는 이름, 전화번호, 배송지 주소, 특수문자로 비식별화된 공동현관 비밀번호가 포함된 개인정보를 범인이 1억 4800만여 차례 조회해 정보가 유출된 것을 파악했다.

이 정보에는 쿠팡 계정 소유자 본인 외에도 물품을 대신 구매해 배송한 가족, 친구 등의 이름, 전화번호, 배송지 주소 등 제삼자 정보도 다수 포함돼 있어 정보 유출 대상자 범위가 확대될 가능성이 있다.

2차 범죄에 악용될 우려가 컸던 공동현관 비밀번호는 ‘배송지 목록 수정 페이지’를 통해 이름, 전화번호, 주소와 함께 5만여 건 조회됐다.

최근 주문한 상품 목록은 ‘주문 목록 페이지’에서 10만여 차례 조회됐다.

결제 정보는 유출 대상에 포함되지 않았고 주소, 공동현관 비밀번호 등 민감한 개인정보가 실제 2차 피해로 이어졌는지 확인된 바는 없다.

쿠팡 개인정보 유출 사고 조사 결과 주요내용, 자료 : 과학기술정보통신부

결제정보 유출·2차 피해 없어…ISMS 인증 일단 유지

조사단이 파악한 정보 유출 규모는 중국인 전 직원이 지난해 11월 25일 쿠팡 측에 보낸 이메일에서 주장한 유출 규모보다는 작다.

그는 이메일에서 “1억 2000만 개 이상의 배송 주소 데이터, 5억 6000만 개 이상의 주문 데이터, 3300만 개 이상의 이메일 주소 데이터를 확인했다”고 밝힌 바 있다.

조사단은 그가 쿠팡 재직 당시 시스템 장애 시 백업을 위한 이용자 인증 시스템 설계를 맡은 개발자였다며 지난해 1월부터 쿠팡 서버의 인증 취약점을 발견하고 공격 여지를 시험한 뒤 지난해 4월 14일부터 본격적인 무단 유출에 나섰다고 전했다.

범인은 지난해 11월 8일까지 자동화된 웹 크롤링 공격 도구를 이용해 이용자들의 개인정보를 수집했다. 정보 유출에 다수의 IP가 사용된 것도 확인됐다.

유출한 정보를 외부 클라우드로 전송했는지 여부는 확인되지 않았다.

다만, 조사단은 범인을 중국인이라고 특정해 표현하지는 않았다. 조사단 관계자는 “중국인인지 여부는 경찰 수사 영역”이라며 공격자가 1명인지 다수인지 여부도 경찰 수사 결과를 지켜봐야 한다고 말했다.

조사단은 이용자 인증 취약점을 악용해 정상적인 로그인 없이 이용자 계정에 접속, 대규모 정보 유출을 했는데도 쿠팡 측이 이를 인지하지 못했다고 지적했다.

또, 정상 발급 절차를 거치지 않은 ‘전자 출입증(토큰)’이 사이버 공격에 악용될 가능성이 있다는 점이 쿠팡이 사전에 실시한 모의 해킹에서 드러난 바 있지만 쿠팡이 이를 개선하지 않았다고 했다.

최우혁 과학기술정보통신부 정보보호네트워크정책실장이 10일 서울 종로구 정부서울청사에서 쿠팡 침해사고 민관합동조사단 조사결과를 브리핑하고 있다. 2026.2.10. 연합

조사단은 쿠팡에 인증키 발급·사용 이력 관리와 비정상 접속행위 탐지 모니터링을 강화할 것과 자체 보안규정 준수 여부에 대한 정기 점검을 실시할 것을 요구했다.

아울러, 쿠팡이 사이버 침해 사고를 인지하고 최고정보보호책임자((CISO)에게 보고한 시점인 지난해 11월 17일 오후 4시보다 만 이틀이 지난 19일 오후 9시 35분에 당국에 신고하며 24시간 내 신고 규정을 위반한 데 대해 과태료 처분할 계획이다.

또, 과기정통부가 지난해 11월 19일 정보 유출 사고 원인 분석을 위해 쿠팡에 자료 보전을 명령했지만 따르지 않아 2024년 7월부터 약 5개월 분량의 웹 접속기록이 삭제되고 지난해 5월 23일∼6월 2일 애플리케이션 접속 기록이 사라진 데 대해서는 수사를 의뢰했다.

조사단은 쿠팡이 정보보호 및 개인정보보호 관리체계 인증(ISMS)을 취득하고도 접근 권한별 직무 분리와 암호정책 수립을 미흡하게 한 점을 확인하고 보완을 요청했다. 쿠팡이 보완 미비에 다른 시정명령을 이행하지 않을 경우 인증을 취소할 방침이다.

과기정통부는 조사 결과를 토대로 쿠팡에 재발 방지 대책에 따른 이행계획을 이달 중으로 제출하도록 하고 올해 7월까지 이행 결과를 점검할 계획이다.

10일 과학기술정보통신부가 발표한 쿠팡 개인정보 유출 및 침해 사고에 관한 민관 합동 조사 결과에 따르면 개인정보 규모는 정부가 당초 추정하던 대로 3천300만건을 넘어서고 범인이 들여다본 배송지 주소 등의 정보는 1억5천만건에 달하는 것으로 파악됐다. 사진은 이날 서울의 한 쿠팡 캠프 모습. 2026.2.10. 연합

취약하기 짝이 없었던 쿠팡의 인증시스템

재직 중 알게 된 정보를 악용해 대규모 개인정보를 유출하는 일탈 행위가 가능한 데는 쿠팡의 부실한 관리체계가 원인으로 자리 잡고 있었다.

정부 발표에 따르면 공격자는 쿠팡 재직 당시 이용자 인증 시스템을 설계하고 개발 업무를 수행하던 소프트웨어 개발자(백엔드 엔지니어)였다.

공격자는 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 없이 이용자 계정에 비정상적으로 접속해 정보를 무단으로 유출했다. 정상적으로 접속하는 경우 이용자는 로그인 절차를 거쳐 일종의 전자 출입증을 발급받는다. 이후 쿠팡 관문 서버는 발급받은 전자 출입증이 유효한지 여부를 검증하고 이상이 없을 시 서비스 접속을 허용한다.

공격자는 재직 당시 관리하던 이용자 인증 시스템의 서명키를 탈취하고 이를 활용해 전자 출입증을 위조하거나 변조해 쿠팡 인증체계를 통과했다.

공격자는 재직 당시 이용자 인증 시스템의 취약점과 키 관리체계의 취약점을 인지하고 있었다. 공격자는 이러한 취약점을 악용해 재직 당시 탈취한 서명키와 내부 정보를 활용해 전자 출입증을 위조했다. 공격자는 정상적인 로그인 절차 없이 쿠팡 인증 체계를 통과했고 퇴사 후부터 사전 공격 테스트를 진행했다.

사전 테스트를 진행한 공격자는 이용자 계정에 접근할 수 있다는 사실을 확인한 뒤 자동화된 웹크롤링(데이터 수집) 공격 도구를 이용해 대규모 정보를 유출했다.

공격자는 사전 테스트에서 위조한 전자 출입증을 이용해 타인의 계정으로 무단 접속한 후 유출한 정보를 해외 소재의 클라우드 서버로 전송할 수 있는 기능을 확인했다.

조사단이 쿠팡으로부터 제출받은 공격자의 하드디스크와 솔리드 스테이트 드라이브(SSD)를 포렌식한 결과 공격자가 제작한 스크립트가 발견됐고, 스크립트에 외부 클라우드와 연결하는 기능이 포함돼 있었다.

다만 실제 전송이 이뤄졌는지는 확인되지 않았다. 이 과정에서 공격자는 2313개 인터넷 프로토콜(IP)을 사용한 것으로 확인됐다. 다만 조사단 측은 IP를 통해 접속 위치를 찾는 건 경찰 수사의 영역이라고 선을 그었다.

전 임직원이 이처럼 대규모 개인정보 유출을 실행할 수 있었던 이유는 쿠팡의 이용자 인증체계에 허점이 있었기 때문이었다.

공격자는 위조한 전자 출입증을 이용해 쿠팡 서비스에 무단으로 접속했는데, 쿠팡의 이용자 인증체계는 해당 출입증이 정상 발급 절차를 거친 출입증인지 검증하는 단계가 부족했다.

쿠팡은 모의 해킹으로 전자 출입증 기반 인증 체계의 취약점을 발굴했지만, 해당 문제에 대한 해결책을 모색하는 등 전반적인 문제점 검토를 수행하지 않았다.

전 직원이 빼돌린 서명키를 관리하는 체계 역시 미흡했다. 쿠팡은 자체 규정에 따라 서명키를 키 관리시스템에서만 보관하고 개발자 PC에 저장하지 않아야 한다고 명시했다. 하지만 조사 결과에 따르면 쿠팡 개발자가 노트북에 서명키를 저장하고 있어 키 유출이나 오남용 위험이 있었다.

또 쿠팡은 서명키를 체계적으로 관리할 수 있도록 발급 내역을 기록하도록 규정했지만, 조사 결과에 따르면 키 이력 관리 체계가 부재해 목적 외 사용을 파악할 수 없었다.

이 밖에 쿠팡의 공격 차단이 늦어진 점도 문제점으로 지적됐다.

해롤드 로저스 쿠팡 한국 임시대표가 6일 국회 '쿠팡 사태 연석 청문회'에서 허위 증언을 한 혐의(국회증언감정법상 위증) 관련 조사를 받기 위해 서울 마포구 서울경찰청 반부패수사대에 출석하고 있다. 2026.2.6. 연합

정부 공식발표에 반박하는 쿠팡

한편 쿠팡은 10일 개인정보를 유출한 범인이 들여다본 배송지 주소 등의 정보가 1억 5000만 건에 달한다는 민관 합동 조사 결과에 대해 “페이지 조회수가 정보 유출 규모를 의미하는 것은 아니다”라고 밝혔다.

쿠팡 관계자는 이날 연합뉴스와 통화에서 “공격자의 페이지 조회는 3370여만 개 계정에 대한 개별 개인정보를 수집하려는 시도의 결과”라면서 이같이 설명했다.

유출된 계정에 있는 이름과 전화번호 등의 정보를 조회한 시도가 1억 4800만여 차례 이뤄진 것이지 정보 유출 규모는 애초에 발표한 대로 3370만 건이라는 의미다.

쿠팡 관계자는 해외 클라우드와 관련, “당사는 실제 데이터 전송이 이뤄졌다는 증거는 없는 것으로 파악하고 있다”며 “합조단 또한 데이터 전송 여부를 확인할 수 없다고 밝혔다”고 전했다.

그러면서 “현재 정보를 식별할 수 없는 무효계정 등을 파악 중이며, 정확한 유출 규모는 개인정보보호위원회가 최종적으로 확정할 예정인 것으로 알고 있다”고 덧붙였다.

이 관계자는 “쿠팡은 지난해 11월 데이터 유출 사건을 인지하고 즉시 관련 당국에 신고했다”며 “당사는 정부의 모든 조사에 전적으로 협조해왔으며, 모든 정보는 투명하게 공개해 왔다”고 주장했다.                                                      < 이태경 기자 >

23일 서울 광화문 광장 미국대사관 앞에서 안전한 쿠팡 만들기 공동행동 등 시민사회단체 회원들이 '불법기업 쿠팡 비호, 내정간섭 일삼는 미국 정·재계 규탄 긴급 기자회견'을 하고 있다. 2026.1.23. 연합