쿠팡 대규모 개인정보 유출 사건을 둘러싼 논란이 연일 뜨겁다. 하지만 정작 가장 중요한 문제인 실제 범죄자에 대한 신병 확보는 뒷전으로 밀리고 있다는 지적이 커지고 있다.

이번 사건은 단순한 기업 보안 실패나 시스템 미비의 문제가 아니라, 대한민국 국민의 개인정보를 노린 국제적 범죄 행위일 가능성이 높은 사안이다. 그럼에도 현재 정부와 경찰의 대응은 범죄 조직의 실체를 밝히는 방향보다는 기업 압박에 초점이 맞춰져 있다는 비판을 피하기 어렵다.

이번 사안을 처음 보도한 언론에 따르면, 개인정보를 실제로 탈취한 범죄자는 중국 국적의 사이버 기술자로 지목됐다. 즉, 범죄의 핵심은 한국 이용자 정보를 노린 국내 파견 인력 기반 사이버 범죄다. 그렇다면 당연히 우선순위는 범죄자의 정체 확인, 범죄 목적 파악, 여죄 추적, 국제 공조 수사 체계 마련 등이 되어야 한다.

하지만 현실은 다르다. 경찰이 보여주는 수사 행보는 주로 국내 기업인 쿠팡을 상대로 한 규명·제재조치에 집중돼 있다. 피해 당사국의 수사기관이 가해자를 겨냥하기보다 기업 책임 프레임에만 몰두하는 모양새다. 이는 대한민국 국민이 바라보는 상식적 기준과도 어긋난다.

국민 입장에서 가장 중요한 것은 누가 우리 개인정보를 탈취했는가, 그 목적은 무엇인가, 추가 피해 가능성은 없는가다. 범죄자가 해외에서 한국 국민을 상대로 추가 공격을 감행한다면, 이는 단순한 기업의 보안 문제를 넘어 국가 안보 차원의 위협이다.

사건이 수면 위로 떠오르자, 일부 법률 시장에서는 곧바로 집단 소송단 모집 경쟁이 벌어지고 있다. 아직 범죄자의 체포 여부도, 공격 경로도, 피해 규모도 명확히 규명되지 않았음에도 수천 명 단위로 소송인이 모집되고 있다. 국민의 불안을 이용해 수익화의 기회로 삼는 것 아니냐는 비판이 나올 수밖에 없다.

법률 대응 자체가 잘못된 것은 아니지만, 정작 범죄자를 잡는 데 기여하는 내용은 찾아보기 어렵다는 점이 문제다. 국민이 원하는 것은 “누군가 소송으로 위자료를 받는 것”이 아니라, 개인정보를 탈취한 범죄 조직의 실체가 밝혀지고, 추가 피해가 차단되는 것이다.

한국 정부와 수사기관이 해야 할 가장 기본적 역할은 단 하나다. ‘대한민국 국민을 공격한 범죄자를 추적·체포하는 것’

해외로 도주한 범죄는 국제 공조 없이는 해결될 수 없다. 최근의 캄보디아에서 확인된 바 있다.

그렇다면 정부와 경찰은 다음과 같은 질문에 답해야 한다.

쿠팡을 포함한 기업의 보안 책임도 분명한 검토 대상이지만, 그것은 범죄자를 향한 수사가 선행될 때 비로소 의미가 있다. 범죄자가 여전히 자유롭게 활동한다면, 어떤 기업이든 다음 공격 대상이 될 수 있기 때문이다.

한국에서 유독 강하게 나타나는 ‘기업 책임론’은 각종 사건이 터질 때마다 반복되는 구조다. 이는 국민 분노를 손쉽게 해소하는 방식이지만, 치명적 문제를 가진다.

해외 기반 범죄는 기업이 아니라 ‘국가와 치안 체계’를 겨냥한다는 사실을 희석시키는 것이다.

만약 범죄자의 신원과 범행 목적이 규명되지 않은 채 사건이 ‘기업 과실’ 프레임에 묶여버린다면, 실제 범죄 조직은 아무 피해 없이 사라진다. 그 결과, 한국 국민 전체가 장기적으로 더 큰 사이버 공격 위험에 노출될 수 있다.

쿠팡 개인정보 유출 사건은 단순한 기업 책임 논란으로 소비되어서는 안 된다.

이 사건의 본질은 다음 두 가지다.

정부와 수사기관은 더 이상 주변부를 거닐 것이 아니라, 가장 본질적인 대상으로 수사력을 집중해야 한다. 범죄자의 정체와 목적을 밝히는 것이야말로 국민을 보호하는 최소한의 역할이며, 그것 없이는 어떠한 제재나 처벌도 문제 해결이 될 수 없다.

국민은 묻고 있다. “도대체 범죄자는 어디에 있고, 왜 잡지 못하고 있는가?”

이 질문에 답하지 않는 한, 이번 사건에 대한 국민의 불신은 결코 해소되지 않을 것이다.

김·희·철 <취재기자>