해외 구인구직 플랫폼 링크드인에 올라왔던 쿠팡 개인정보 유출 피의자로 추정되는 A의 사진. 현재 A의 링크드인 소개글은 삭제된 상태다. 링크드인 캡쳐


17일 쿠팡의 국회 청문회가 열리는 가운데 성공 가도를 걷던 중국인 전직 직원의 범행 동기를 둘러싼 의문이 증폭되고 있다. 이미 중국으로 출국한 A의 신병 확보가 쉽지 않은 만큼 경찰은 쿠팡 본사 압수수색 자료와 향후 관계자 조사로 범행 동기를 밝힐 예정이다.
서울경찰청 사이버수사과와 IT 업계는 이번 쿠팡 대규모 개인정보 유출 사건 피 골드몽 의자로 2022년 11월부터 지난해 말까지 쿠팡 한국(서울)지사에서 근무한 A(43)를 지목하고 있다. 서울경찰청 관계자는 15일 A에 대해 “범인이라고 단정할 수 있는 상황은 아니지만 굉장히 유력한 용의자”라고 밝혔다. 경찰은 국제형사경찰기구(인터폴) 공조 절차를 밟아 A를 쫓고 있다.
중앙일보 취재를 종합하면 A는 유수 나스닥 상장사 바다이야기프로그램다운로드 에서 경력을 쌓은 약 20년 차 개발자였다. 한 해외 채용정보 플랫폼에 올라온 A의 것으로 추정되는 이력서를 보면, 그는 쿠팡에서 스태프 소프트웨어 엔지니어(Staff Software Engineer)로 근무했다. 스태프 소프트웨어 엔지니어는 단순 개발자를 넘어 특정 기술 영역에서 높은 자율성과 권한, 책임을 갖는 직책이다. 해당 이력서에 적힌 A의 개인 야마토게임방법 이메일 주소는 경찰의 쿠팡 본사 압수수색 영장에 적시된 이메일 주소와 같다.



김경진 기자


이력서에는 A가 쿠팡에서 “이커머스, 회원, 인증 시스템을 재설계하고 통합하는 업무를 맡았다”고 소개됐다. 그의 주요 업 알라딘릴게임 무 기여(Key contributions)로는 ▶회원 시스템에 데이터 토큰화를 도입하여 개인정보 보호를 강화한 점 ▶오오스(OAuth·Open Authorization) 2.0 기반 인증 시스템을 구현해 쿠팡의 대만 진출을 기술적으로 지원한 점 ▶리뷰 시스템 성능을 개선한 점 등이 기재됐다.
해당 이력서에 따르면 A는 2005년 중국의 야마토통기계 장난대(江南大) 컴퓨터공학과를 졸업한 직후 글로벌 IT 인프라 기업에 취업해 10년간 경험을 쌓았다. 2017년부터 2019년까지 이커머스 기업에서 결제 시스템을 개발했고, 이후 결제 관리 플랫폼과 소셜미디어 플랫폼 기업에서 테크 리드(Tech Lead) 직책으로 근무했다고 소개됐다.

━

금전·앙심·산업 스파이?…그는 왜 범죄자가 됐나





쿠팡이 개인정보 유출 사고와 관련해 경찰이 압수수색을 진행한 지난 9일 서울 송파구 쿠팡 본사 앞에 쿠팡을 규탄하는 현수막이 걸려있다. 뉴스1



IT 업계 관계자들은 “개발자로 성공적인 커리어를 쌓던 A가 돌연 범죄자의 길을 선택한 이유가 최대 미스터리”라고 입을 모았다. 전문가들은 ①금전 ②조직에 대한 불만 ③산업 스파이 등을 A의 주요 범행 동기로 추정하고 있다. 정보보안 전문 ‘78리서치랩’ 박문범 수석연구원은 “해킹·내부자 유출 사건의 범행 동기는 대부분 세 가지로 수렴하고 혼합하는 양상을 보인다”고 설명했다.

가장 흔한 유형인 금전 요구가 없는 건 석연치 않은 정황이다. A가 지난달 고객에게 발송한 것으로 추정된 이메일에서 그는 자신을 “내부고발자(Whistle Blower)”라고 칭하고 쿠팡의 개인정보보호 강화를 주문했을 뿐 따로 돈을 요구하지 않았다. 국내 화이트해킹팀 ‘TeamH4C’ 관계자는 “금전이나 대가를 아예 요구하지 않으면서 보안 강화만 주문하는 것은 예외적”이라고 설명했다.
이에 A가 쿠팡에 앙심을 품고 범행을 저질렀을 가능성도 제기된다. 승진 누락 등에 불만을 품고 내부 정보를 빼돌리는 일은 드물지 않다. 임원 승진에 탈락하자 국가 핵심기술을 중국에 넘긴 국내 반도체 대기업 전·현직 직원 6명이 지난 2023년 1월 재판에 넘겨진 사건이 대표적이다.



경찰이 대규모 개인정보 유출 사태를 빚은 쿠팡을 상대로 강제수사에 나선 9일 오후 서울 송파구 쿠팡 본사 사무실에서 압수수색을 마친 경찰들이 압수품을 옮기고 있다. 뉴스1


익명을 요구한 한 쿠팡 전직 직원은 “보상이 후한 만큼 내부 경쟁도 치열한 데다, 미국계가 아니면 은근한 차별이나 유리천장도 느낀다. A가 쿠팡과 안 좋게 헤어졌다면, 그게 동기가 됐을 가능성이 있다”고 말했다. 경찰은 관련 정황을 파악하기 위해 A의 성적·징계 등 근무평정 자료를 확보하는 한편, 쿠팡 이메일 서버 내 ‘whistle blower’(내부고발자)란 단어가 포함된 이메일들이 더 있는지 확인하고 있다.
일각에선 A가 산업스파이로 포섭됐을 수 있다는 주장도 나온다. 이름·전화번호를 넘어 주소가 유출됐다는 점에 전문가들은 특히 주목했다. 국가기관에서 방첩 업무를 맡았던 한 관계자는 “주소는 공작 관점에서 활용 가치가 매우 높은 정보”라며 “유사시 국가 요인의 신병을 확보할 때 유용하게 활용될 수 있기 때문에 국가 기관에선 군침 흘릴 정보”라고 지적했다. 국가정보원은 지난 9월 “산업스파이는 21세기의 가장 큰 안보 위협”이라고 경고했다. 국정원은 중국이 핵심 인력 매수 및 협력업체 활용 등 방법으로 기술과 정보를 유출한다고 분석했다.

━

구글 출신 의원 “쿠팡 보안 거버넌스 허점 따질 것”





이해민·신장식 조국혁신당 의원이 15일 서울 여의도 국회 소통관에서 쿠팡 개인정보 유출 사고 재발 방지를 위한 8대 개혁과제 발표 기자회견을 하고 있다. 뉴스1



전문가들은 재발 방지를 위해 이번 청문회에서 A의 정보 탈취 경위뿐 아니라 쿠팡의 취약한 보안 시스템과 거버넌스 구조를 드러내야 한다고 강조했다. 구글 출신 이해민 조국혁신당 의원은 “회사는 사람이 아니라 시스템으로 돌아가야 하기 때문에 쿠팡의 내부 체계가 잘 작동했으면 아무 일도 없었을 것”이라며 “쿠팡의 보안 거버넌스에 어떤 구조적 허점이 있었는지 청문회에서 따져볼 것”이라고 밝혔다.

이영근·김정재 기자 lee.youngkeun@joongang.co.kr