쿠팡에서 3370만개 계정의 고객 정보가 유출되는 초유의 보안 사고가 일어난 지 일주일이 지났지만 정확한 피해 규모는 아직 파악되지 않고 있다. 사진은 7일 서울 시내 쿠팡 배송차량 모습. 연합뉴스


(☞한겨레 뉴스레터 H:730 구독하기. 검색창에 ‘h:730’을 쳐보세요.)
이용자 3370만명의 개인정보 유출 사고를 계기로 쿠팡의 내부 통제와 조직 운영 문제가 도마 위에 오르고 있다. 회사가 수개월 동안 퇴사 직원의 무단 정보 유출을 막지 못한 데 이어 사후 대응에서도 허점을 드러내자 모바일바다이야기하는법 , 쿠팡의 내부 거버넌스에 대한 의문이 제기되는 상황이다. 쿠팡 전현직 임직원들은 그 배경에 조직 내 불명확한 역할과 책임(R&R), 양적 팽창 과정에서 생긴 다국적 직원 간 내부 소통 문제 등이 복합적으로 얽혀 있다고 지적한다. 문제는 이러한 내부 통제의 실패로 나타나는 고객 정보 유출 등 피해는 고스란히 소비자들 몫으로 돌아온다는 점이다.
오션파라다이스사이트


쿠팡은 로켓배송을 도입한 2014년 미국 실리콘밸리 데이터베이스 기술 기업 ‘캄시’(CalmSea)를 인수한 뒤, 미국 아마존 출신 임직원을 영입하기 시작했다. 이용자의 구매 패턴과 지역별 인기 상품, 시간대별 검색량 등 빅데이터 주문 수요 예측을 통해 직매입 재고 부담을 줄이고 빠른 배송 바다신2 다운로드 을 구현하기 위한 전략이었다.
쿠팡의 한 전직 임원은 한겨레에 “당시에는 국내 유통업계에 물류·유통과 최신 아이티(IT) 기술을 본격적으로 결합한 사례가 없었다”며 “국내에는 쿠팡이 원하는 수준의 역량을 갖춘 인재가 많지 않았기 때문에, 미국에서 학위를 받거나 아마존 등 글로벌 기업에서 일한 적 있는 인도계와 중국계 직원을 대거 채용할 수 릴게임방법 밖에 없었다”고 설명했다.
코로나 팬데믹 시기 쿠팡에서 근무했던 전 직원 ㄱ씨는 “회사가 원하는 비즈니스를 경험한 사람을 영입해 그 노하우를 그대로 쿠팡에 이식한다는 기조 아래 ‘인도의 아마존’으로 알려진 플립카트(Filpkart) 출신들도 다수 영입됐다”며 “당시 회사에 미국·인도 출신 직원들이 많아 ‘쿠팡에선 한국인이 외국인 노동자’라 바다이야기2 는 농담이 나올 정도였다”고 했다. 국외 벤치마킹 대상 업체에서 근무하던 개발자들을 흡수하면서 현재의 복잡한 조직 운영의 밑돌이 놓였단 의미다.



최근 5년 사이 쿠팡의 조직 구조는 ‘외국인 리더-한국인 실무자’의 위계가 고착화됐다는 게 전현직 직원들의 평가다. 관리자급(레벨7 이상)은 외국인 비중이 압도적으로 높고, 실무자급(레벨5~6)은 한국인 비중이 상대적으로 많다는 설명이다.
쿠팡은 내부적으로 ‘탑티어(TT)-하이밸류 플러스(HV+)-하이밸류(HV)-리스트 이펙티브(LE)’ 등 4단계로 나뉜 인사평가제도를 운용하고 있다. 이 가운데 하위 10%에 부여하는 리스트 이펙티브 등급은 할당제를 적용하는데, 사실상 사원급에 집중 부과된다고 한다. 이 등급을 받은 직원은 성과개선계획(PIP) 프로그램을 이수해야 하는 만큼, 사내에선 퇴사 압박 수단으로 인식된다.
쿠팡에서 테크 부문 프로젝트 매니저(PM)로 일했던 ㄴ씨는 한겨레에 “소속 조직의 경우, 전체 직원의 30~40%가 관리자급이었는데, 그중 약 90%가 외국인이었다”며 “레벨6까진 한국인이 많았는데 그 이상 승진하진 못하고, 레벨7 이상은 외국인이 많이 들어온다”고 말했다. 실제 업무를 수행하는 실무자는 의무 할당된 하위 고과를 받아 퇴사하는 일이 잦고, 그 결과 인사평가에서 비교적 자유로운 관리자들만 주로 회사에 남게 됐다는 것이다.
이런 가운데 쿠팡은 로켓배송을 론칭한 2014년 이후 사업과 조직이 엄청나게 커지면서 속도전 중심의 조직문화가 강해졌다고 한다. 관리자들과 실무진의 업무상 분절이 커진 가운데, 체계적인 매뉴얼과 역할 모델이 자리 잡을 기회를 갖지 못한 셈이다. 쿠팡에 재직 중인 ㄷ씨는 “(외국인 리더가 주로 포진한) 부서장(레벨7)이 전달하는 정책이나 가이드가 미비한 부서가 많고, 각 부서의 업무 소개나 연락 창구도 전사적으로 공지되지 않는다”며 “이번 개인정보 유출 사고 역시 내부에서도 정확한 경위를 파악하지 못하는 것 같은데, 이런 내부 조직 운영의 난맥상이 영향을 미친 것으로 보인다”고 말했다. 이번 해킹 사고가 단순한 보안 실패가 아니라 조직 거버넌스의 균열이 드러난 ‘예고된 사고’라는 평가가 나오는 이유다.



이번 사고에서 직접적인 원인으로 꼽히는 퇴직 사원의 서명키 활용 역시 이러한 난맥상 안에서 가능했던 일이라는 진단이 나온다. 다국적 외국인으로 구성된 관리직들과 실무 개발 조직의 기술·보안 결정 체계가 제대로 조율되지 않아, 통합적인 기업이라면 당연히 거쳤어야 할 사후 관리조차 이뤄지지 않았다는 뜻이다. ㄷ씨는 “정보보안처럼 전문성이 필요한 분야는 임원이 명확한 방향을 제시하고, 그에 따라 실무자가 정책을 설계하는 구조가 마련돼야 하는데 쿠팡은 이런 리더십이 모호하다”고 덧붙였다.
글로벌 경쟁력 확보를 위해 채용된 한국·중국·미국·인도 등 다국적 직원 간 커뮤니케이션 문제가 업무 일관성을 떨어뜨린다는 지적도 있다. ㄴ씨는 “언어 문제 때문에 업무 속도가 느릴 때가 많다. 매번 통역팀 서포터가 대기하고 있고, 통역이 없으면 미팅 자체를 못 하기도 한다”고 했다. 실제 일부 개발 조직의 경우 중국인 실무자와 인도인 프로젝트 매니저 간 갈등이 빈번한 것으로 알려졌다.
염흥열 순천향대 명예교수(정보보호학)는 “쿠팡은 다국적 기업인 만큼 여러 개발 환경에서 발생할 수 있는 위협을 식별하고 파악해 적절한 보호 대책을 수립·운영했어야 했다”며 “여러 보안 인증을 받아 내부적인 정책은 있었겠으나, 이를 실무에서 구현하는 과정에 허점이 있었던 것으로 보인다”고 말했다.
선담은 채반석 기자 sun@hani.co.kr