🔎 핵심만 콕콕
- 개인정보위가 쿠팡에 역대 최대 수준인 6,249억 원의 과징금을 부과했습니다.
- 위반 행위에 고의성이 다분하다는 판단이 결정적이었는데요.
- 집단소송과 한·미 통상 갈등으로 번질지 시선이 쏠립니다.
사상 최대 과징금 폭탄 맞은 쿠팡
💣 과징금, 역대 최대 6,249억 원: 지난 11일, 개인정보보호위원회(개인정보위)가 쿠팡에 총 6,249억 원의 과징금을 부과했습니다. 먼저, 개인정보 유출 사고에는 과징금 4,235억 7,500만 원과 과태료 1,680만 원이 매겨졌는데요. 타사 웹·앱 이용자의 온라인 활동 기록을 법적 근거 없이 수집한 행위에는 2,011억 600만 원의 과징금이 추가됐습니다. 물류 자회사인 쿠팡풀필먼트서비스(CFS)에도 과징금 2억 4,800만 원이 의결됐죠.
🔝 국내외 사례와 비교해도 최대 규모: 이번 과징금은 국내외 사례를 모두 비교해도 높습니다. SK텔레콤이 2,325만 명 정보 유출로 부과받은 과징금 1,348억 원을 크게 웃돌며 국내 역대 최대 기록을 경신했죠. 메타는 5억 3,300만 명 정보 유출로 아일랜드 데이터보호위원회로부터 약 3,800억 원 규모의 과징금을 부과받은 바 있는데요. 쿠팡의 유출 규모가 메타의 약 7% 수준이라는 점을 고려하면, 매우 강도 높은 처분이라는 평가가 나옵니다.
😨 유출 규모만 3,755만 명?: 한편, 개인정보위는 이번 사고로 약 3,750만 명의 개인정보가 유출된 것으로 판단했습니다. 올해 2월 과학기술정보통신부 조사단이 발표한 규모보다 약 400만 명 늘어난 수준인데요. 회원 약 3,322만 명과 가족·지인 등 회원이 아닌 정보 주체 최소 433만 명의 정보가 포함됐죠. 특히 배송지 관리 페이지에서는 회원 본인뿐 아니라 제3자의 이름, 전화번호, 주소, 공동 현관 비밀번호까지 유출된 것으로 조사됐습니다.
개인정보위 "쿠팡 위반 행위, 고의성 다분"
🕵🏻♀️ 비정상 행위 다수 발견: 개인정보위는 쿠팡의 위반 행위가 실수보다는 고의에 가깝다고 판단했습니다. 회원 정보를 무단 수집한 데다, 유출 사고를 인지한 후에도 뒤늦게 신고하고, 일부 자료를 삭제·은폐한 정황까지 확인했는데요. 실제로 쿠팡이 타사 웹·앱에 접속한 회원 약 1,117만 명의 온라인 활동 기록을 별도 동의나 법적 근거 없이 수집해 데이터베이스(DB)에 저장한 사실도 드러났습니다.
⚠️ 기본 안전관리도 허술: 인증수단 관리와 접근통제가 제대로 이뤄지지 않았다는 지적도 나왔습니다. 쿠팡은 인증 서명키를 누구나 암호화 없이 그대로 볼 수 있게 운영했고, 사건을 일으킨 해커가 퇴사한 뒤에도 이 키를 즉시 바꾸거나 폐기하지 않았는데요. 접근통제가 허술하다 보니 공격 기간 중 비정상 접속과 이상 트래픽이 대규모로 발생했습니다. 쿠팡이 이를 탐지하지 못하다가, 결국 고객 민원이 접수된 뒤에야 침해 사실을 인지한 것으로 조사됐죠.
서명키: 디지털 환경에서 본인 확인이나 거래 승인을 위해 전자서명을 만들 때 사용하는 비밀 키를 뜻합니다. 공개키 암호 방식에서 한 쌍으로 묶이는 '개인키-공개키' 중 개인키에 해당하며, 본인만 보관하고 거래 시 서명을 만들면 상대방은 공개키로 그 서명이 진짜인지 검증할 수 있는데요. 서명키가 유출되면 자산 도난이나 신원 도용으로 이어질 수 있습니다.
🗑️ 파기 의무 위반에 조사 방해까지: 개인정보위는 쿠팡이 탈퇴 회원의 정보를 제때 파기하지 않았다고도 지적했습니다. 내부 규정에 따라 즉시 지워야 했으나, 배송지 정보 246만 5,592건과 계좌번호 31만 8,499건이 그대로 남아 있었는데요. 별도 발송용 DB에 보관된 71만 7,865명의 개인정보도 장기간 방치됐죠. 여기에 증거 보존 명령을 받고도 약 5개월 분량의 웹 접속 기록을 직접 삭제했고, 일정 기간이 지나면 기록이 자동으로 지워지는 정책도 그대로 뒀는데요. 개인정보위는 이를 조사 방해 행위로 판단했습니다.
증거 보존 명령: 법원이나 수사기관이 수사나 조사에 필요한 자료가 사라지거나 훼손되지 않도록, 관련 기록을 삭제하거나 수정하지 말고 그대로 보관하도록 내리는 명령입니다.
쿠팡 사태, 앞으로 어떻게 되나
📃 쿠팡이 낸 공식 입장문: 쿠팡은 개인정보위의 처분에 공식 입장문을 내고 사과했습니다. 개인정보 보호 체계를 강화하고 고객 신뢰 회복에 최선을 다하겠다는 건데요. 다만 2차 피해 방지를 위한 선제적 조치와 사실관계 설명이 이번 결정에 충분히 반영되지 못했다는 입장입니다. 공식 의결서를 받은 뒤 법적 절차를 밟아 적극 대응하겠다는 뜻도 내비쳤죠.
🇺🇸 미국 "자국 기업 차별이야!": 이번 사안이 한·미 통상 갈등으로 확대될 수 있다는 우려도 나옵니다. 지난 3일(현지 시각), 미국 하원 외교위원회 청문회에서 대럴 아이사 공화당 의원은 한국 정부가 쿠팡을 차별하고 있다고 주장했는데요. 쿠팡은 개인정보 유출 사태 이후 미국 정부와 의회를 상대로 적극적인 로비를 이어온 것으로 알려졌죠.
👨👩👦 64만 명 집단소송 재점화될까: 이번 과징금 부과를 계기로 피해자 구제 절차에도 속도가 붙을 전망입니다. 현재 쿠팡 관련 공동 손해배상 소송에는 약 64만 명이 참여했고, 청구액은 1,000억 원을 넘는데요. 개인정보위 조사 결과를 기다리며 미뤄졌던 재판에도 영향을 미칠 것으로 보입니다. 정부가 중재하는 집단분쟁조정 절차 역시 12일부터 재개되며, 추가 참여가 가능해 피해자 규모는 더 늘어날 수 있죠.