[헤럴드경제=신주희 기자] 미국 증시에 상장한 쿠팡이 개인 정보 유출 관련 투자자 대상 공시를 내놓지 않은 것으로 확인됐다. 국내와 달리 미국증권거래위원회(SEC)는 사이버 보안 사고 관련 공시를 의무화하고 있다.

사이버 보안 사고가 발생한 쿠팡은 4영업일 내에 공시해야 하지만, 아직까지 관련 공시를 하지 않아 향후 SEC의 과징금 부과 등 제재가 내려질 수 있다. 앞서 야후는 2018년 고객정보 유출을 제대로 공시하지 않았다는 이유로 3500만달러(한화 514억원)가 부과됐다.

1일 SEC에 따르면 상장기업이 ‘중대한 사이버 보안 사고(material cybersecurity incident)’를 겪었을 경우 이를 4영업일 내에 공시해야 한다. 쿠팡은 이번 개인 정보 유출 관련 공시를 하지 않았다.

지난 2023년 7월부터 SEC는 상장기업에 보안 사고가 발생하면 새 항목인 8-K 아이템 1.05으로 공시하도록 했다. 이에 따라 기업은 사이버 사고를 ‘중대하다’고 판단하는 즉시 그리고 그 판단 후 4영업일 내에 해당 사고의 성격, 범위, 시점, 잠재적 영향 등을 8-K로 공시해야 한다.

쿠팡이 처음 개인정보 유출을 신고한 시점은 지난달 18일이다. 쿠팡은 지난달 18일 22시에 이를 인지, 다음날 정부에 신고했다.

SEC는 정기보고(10-K)에 사이버 리스크 관리 체계, 전략, 거버넌스 등에 관한 정보를 포함하도록 의무화했다. 쿠팡은 지난 2월 공시한 정기보고에선 “사이버보안 위협에 따른 위험이 사업전략, 영업실적, 재무상황 등에 중대하게(materially) 영향을 미치지 않았다”고 밝힌 바 있다. 하지만 이와 달리 대규모 정보유출이 발생하면서 향후 거센 논란이 예상된다.

쿠팡 측은 “아직 당국에서 조사 중인 사항으로 정보 유출 관련돼서 확인할 수 있는 상황이 아니다”라며 “공시 계획도 확인할 수 없다”고 밝혔다.

 

 

https://n.news.naver.com/mnews/article/016/0002565634