델브는 ‘가짜 컴플라이언스’ 방식을 동원해 고객들을 기망했다는 혐의를 받고 있습니다.

최근 익명의 Substack 게시물에서는 컴플라이언스 스타트업인 Delve가 수백 명의 고객들을 오도해 자사가 개인정보 및 보안 규제를 준수하고 있다고 믿게 만들었다고 주장하며, 이로 인해 HIPAA에 따른 형사적 책임이나 GDPR에 따른 막대한 벌금에 처할 수 있다고 지적했습니다.

Y Combinator의 지원을 받는 스타트업인 Delve는 작년에 3억 달러의 기업 가치 평가를 바탕으로 3,200만 달러 규모의 시리즈 A 투자를 유치했다고 발표했습니다(이 투자 라운드는 Insight Partners가 주도했습니다). 금요일에 이 스타트업은 자사 블로그를 통해 해당 공격적인 주장들을 반박하며, 해당 Substack 게시물을 “오해의 소지가 있다”고 평가하고 그 안에 여러 부정확한 내용이 포함되어 있다고 주장했습니다.

해당 Substack 게시물은 “DeepDelver”라는 필명의 작성자가 올린 것으로, 이 작성자는 자신을 Delve 고객사의 전 직원이라고 밝혔습니다. DeepDelver는 12월에 받은 이메일에서 해당 스타트업이 기밀 고객 보고서가 담긴 스프레드시트를 유출했다는 내용을 전달받았다고 설명했습니다. Delve의 카룬 카우시크 CEO는 이후 발송된 이메일에서 고객들이 여전히 규제를 준수하고 있으며 외부 업체가 민감한 데이터에 접근하지 않았다고 안심시켰지만, DeepDelver는 자신과 다른 고객들이 의심을 품게 되었다고 말했습니다.

그들은 “우리 모두 Delve의 서비스 경험에 실망했으며 뭔가 문제가 있다는 느낌이 들어, 자원을 모아 함께 조사하기로 결정했습니다”라고 썼습니다.

그들의 결론은 Delve가 가장 빠른 플랫폼이라는 주장을 실현하기 위해 조작된 증거를 만들어내고, 보고서에 승인만 해주는 인증 기관들을 위한 감사 결론을 생성하며, 주요 규제 요건들을 무시한 채 고객들에게 완전한 컴플라이언스를 달성했다고 말한다는 것입니다.

DeepDelver는 이러한 주장들을 더 자세히 설명하며, Delve가 실제로는 존재하지 않은 이사회 회의, 테스트, 프로세스에 대한 조작된 증거를 고객들에게 제공한 뒤, 그러한 가짜 증거를 받아들이든 아니면 거의 수동적인 작업만 수행하며 실제 자동화나 AI 기능은 거의 활용하지 않는 방식을 선택하도록 강요한다고 비난했습니다.

또한 DeepDelver는 Delve의 고객들 대부분이 Accorp와 Gradient라는 두 개의 감사 회사를 이용하는 것으로 보인다고 주장했으며, 이 두 회사는 인도에 본사를 둔 동일한 조직의 일부로, 미국 내 존재감은 명목상에 불과하다고 설명했습니다. 그들은 이 두 회사가 단지 Delve가 작성한 보고서에 승인만 해주는 역할을 할 뿐이라고 말했습니다. 따라서 DeepDelver는 Delve가 일반적인 컴플라이언스 구조를 뒤집고 있다고 주장했습니다. “독립적인 검토가 이루어지기 전에 감사 결론, 테스트 절차, 최종 보고서를 생성함으로써 Delve는 자신을 실행자이면서 동시에 검증자로 포지셔닝하고 있습니다. 이는 단순한 기술적 문제가 아니라 전체 인증 절차의 유효성을 무효화하는 구조적 사기입니다.”

DeepDelver는 Delve가 고객들을 오도할 뿐만 아니라, 실제로는 적용되지 않은 보안 조치들을 목록으로 제시하는 트러스트 페이지를 운영함으로써 해당 고객들이 대중을 속이도록 돕고 있다고 주장했습니다.

자신들과 Delve와의 관계에 대해서는 DeepDelver는 자사의 트러스트 페이지를 더 이상 공개하지 않으며, 컴플라이언스 측면에서 더 이상 이 스타트업에 의존하지 않는다고 밝혔습니다.

Delve는 해당 공격적인 주장들에 대해 자사가 컴플라이언스 보고서를 발행하지 않는다고 반박했습니다. 대신 자사를 “자동화 플랫폼”으로 소개하며, 컴플라이언스 관련 정보를 수집한 뒤 감사인들이 그 데이터에 접근할 수 있도록 해준다고 설명했습니다.

회사 측은 “최종 보고서와 의견은 Delve가 아닌 독립적이고 자격을 갖춘 감사인들만이 발행합니다”라고 말했습니다.

또한 Delve는 고객들이 자신들이 직접 선택한 감사인과 협력하거나, Delve가 보유한 독립적이고 공인된 제3자 감사 회사 네트워크의 감사인을 이용할 수 있다고 밝혔습니다. 이러한 회사들은 “다른 컴플라이언스 플랫폼들도 사용하는, 업계 전반에 널리 쓰이는 유명한 기업들”이라고 스타트업은 설명했습니다.

고객들에게 조작된 증거를 제공한다는 비난에 대해 Delve는 단지 “다른 컴플라이언스 플랫폼들과 마찬가지로, 팀들이 컴플라이언스 요건에 맞게 자신들의 프로세스를 문서화할 수 있도록 돕는 템플릿을 제공할 뿐”이라고 반박했습니다.

회사 측은 “초안 템플릿은 ‘미리 작성된 증거’와는 다릅니다”라고 말했습니다.

Delve는 또한 “현재 모든 유출 사례들을 적극적으로 조사 중이며, 해당 Substack 게시물도 아직 검토하고 있다”고 덧붙였습니다.

TechCrunch는 Delve 웹사이트에 명시된 미디어 연락처 주소로 추가 설명을 요청하는 이메일을 보냈지만, 이메일은 반송되었습니다. 우리도 DeepDelver에게 추가 의견을 요청한 바 있습니다.