'개인정보 유출' 쿠팡에 6247억 과징금

개인정보보호위원회가 3750만 명의 개인정보 유출 사고를 낸 쿠팡에 역대 최대인 6247억원대 과징금을 부과했다. 대규모 회원 정보가 유출된 만큼 정부가 강경 대응했다는 분석이 나온다.

개인정보위는 개인정보 보호 법규를 위반한 쿠팡에 과징금 6246억8100만원과 과태료 1680만원 등을 부과하기로 의결했다고 11일 발표했다. 안전조치 의무 위반과 법적 근거 없는 개인정보 수집 등을 이유로 들었다. 자회사 쿠팡풀필먼트서비스(CFS)에도 개인정보 수집·이용 및 민감정보 처리 제한 위반 등을 들어 과징금 2억4800만원을 부과했다. 이번 과징금은 종전 최대인 SK텔레콤 유심(USIM) 해킹 사고 과징금 1348억원의 다섯 배에 달한다.

◇“기본적인 안전관리 미흡”

개인정보위는 쿠팡이 인증 서명키 관리와 접근 통제 등 기본 안전관리 체계를 소홀히 해 대규모 개인정보 유출을 막지 못했다고 판단하고, 유출 사고에 더해 무단 개인정보 수집, 자회사의 취업제한 목록까지 세 갈래 위법 행위를 한 번에 제재했다.

개인정보위 조사에 따르면 이번 유출 사고는 쿠팡 전직 직원(해커)이 인증 서명키를 이용해 위조 인증토큰을 만든 뒤 회원 정보 수정 페이지와 배송지 관리 페이지 등에 접근하면서 일어났다. 유출된 개인정보는 회원 3322만2472명(계정 기준)과 회원이 아닌433만8368명(전화번호 기준)이다. 해커는 쿠팡의 회원 정보 수정 페이지에서 배송지 관리 페이지에서는 최소 2237만 명의 회원이 등록한 배송지 정보 6398만 건이 유출됐다. 배송지에 적힌 가족·지인 등 비회원 정보까지 함께 빠져나갔다.

개인정보위는 “정보주체 인증수단을 안전하게 관리하지 않은 점과 불법적인 접근 및 침해사고를 위한 접근통제를 소홀히 한 점 등이 안전조치 의무 위반 행위”라고 적시했다. 조사 과정에서 쿠팡의 개인정보 유출 통지와 파기 의무 위반, 개인정보보호책임자(CPO)의 독립성 보장 위반 및 조사 방해 등도 추가로 확인했다고 개인정보위는 설명했다.

개인정보위는 이번 사고를 고도의 해킹이 아니라 기본적인 안전관리 체계 미비와 관리 소홀에서 비롯된 사고로 판단했다. 이에 따른 과징금은 4235억7500만원, 유출 통지·파기 의무 위반에 따른 과태료는 1680만원이다.

◇“회원들 타사 방문 기록도 수집”

개인정보위는 쿠팡이 마케팅 프로그램인 쿠팡파트너스를 통해 뉴스와 다른 쇼핑몰의 활동 기록을 수집한 것과 관련해 별도로 과징금 2011억600만원을 부과했다. 쿠팡은 2024년 12월부터 지난 2월까지 1564만5338개 타사 웹페이지와 앱을 방문한 쿠팡 이용자 1117만613명의 온라인 활동 기록을 동의 없이 수집·저장했다. 방문한 인터넷주소(URL), 앱 이름, 접속 일시, 접속 IP 등을 회원 번호 및 기기 식별자와 함께 내부 데이터베이스에 저장했다. 광고를 클릭하지 않아도 쿠팡 앱으로 강제 전환되는 이른바 ‘납치 광고’에 대해서도 시정명령을 내렸다.

쿠팡풀필먼트서비스도 제재했다. 쿠팡풀필먼트서비스는 물류센터 근무 이력이 없는 경찰청 출입 기자 71명을 ‘허위사실 유포’ 사유로 취업 제한 목록에 등록했다. 개인정보위는 이를 법적 근거 없는 개인정보 수집·이용으로 보고 과징금 2억2000만원을 물렸다.

쿠팡 과징금 규모가 큰 것은 개인정보 유출 규모가 큰 데다 과징금 산정 기준이 된 쿠팡의 사고 직전 3개 사업연도 평균 매출이 30조원을 웃돌기 때문이라고 개인정보위는 설명했다. 다만 쿠팡 e커머스 서비스 매출을 기준으로 과징금을 산정하되 쿠팡이츠와 쿠팡플레이 등과 관련 없는 매출은 제외했다고 개인정보위는 밝혔다.

송경희 개인정보위원회 위원장은 “법과 원칙에 따라 처분한 결과”라며 “만약 소송이 제기된다면 적극적으로 대응할 것”이라고 말했다.

라현진 기자 raraland@hankyung.com