개인정보보호위, 쿠팡에 과징금 6246억 8100만 원 부과 의결
전직 직원 해킹으로 회원·비회원 3750여만 명 정보 유출
무단 활동기록 수집, 증거 삭제 등 위반행위 다수 확인
약 3750만 명의 개인정보가 유출된 쿠팡이 역대 최대 규모의 과징금을 부과받았습니다.
뉴스1 보도에 따르면 개인정보보호위원회는 쿠팡에 과징금 총 6246억 8100만 원과 과태료 1680만 원을 부과했습니다.
개인정보위는 10일 정부서울청사에서 제11회 전체회의를 열고 이같이 의결했습니다. 이 사실은 11일 공개됐습니다.
이번 과징금은 지난해 SK텔레콤 사건 때 역대 최대로 부과된 1348억 원을 크게 넘어섰습니다. 당시 SK텔레콤에서는 2324만 명의 정보가 유출됐습니다.
개인정보위는 과징금과 함께 시정명령, 공표, 고발, 개선권고도 의결했습니다. 물류센터 자회사인 쿠팡풀필먼트서비스에도 과징금 2억 4800만 원이 부과됐습니다.
전직 직원이 서명키 악용해 8개월간 정보 유출
조사 결과 2024년 말 퇴사한 전직 쿠팡 직원이 해킹을 저지른 것으로 확인됐습니다.
해커는 대체 인증 서명키를 획득한 뒤 지난해 4월부터 11월까지 개인정보를 빼돌렸습니다. 회원정보 수정 페이지와 배송지 관리 페이지 등을 조회하는 방식이었습니다.
해커는 유출 정보를 조합해 회원별 프로필을 재구성했습니다. 이어 샘플 데이터를 포함한 협박 메일을 두 차례 발송했습니다. 샘플에는 성인용품과 속옷 구매 내역 등 민감한 정보가 다수 포함됐습니다.
유출 규모는 회원 3322만 2472명, 비회원 최소 433만 8368명으로 집계됐습니다. 배송지 정보에는 회원 본인뿐 아니라 가족과 친구 등 제3자의 이름과 전화번호, 주소가 다수 들어 있었습니다.
72시간 통지 의무 위반에 증거 삭제까지
개인정보위는 쿠팡이 인증수단을 안전하게 관리하지 않았고 접근통제도 소홀히 했다고 판단했습니다.
쿠팡은 배송지 관리 페이지를 통해 약 16만 명의 정보가 추가 유출된 사실을 1월 30일쯤 인지했습니다. 그러나 법령이 정한 72시간이 지난 2월 5일에야 유출 사실을 통지했습니다.
비회원 정보 유출에 대해서는 통지 자체가 이뤄지지 않았습니다. 개인정보위가 여러 차례 통지를 촉구했지만 쿠팡은 이행하지 않았습니다.
증거 보전 명령도 지켜지지 않았습니다. 쿠팡은 약 5개월 분량의 웹 접속 로그를 수동으로 삭제했습니다. 또 6개월 경과 시 작동하는 로그 자동 삭제 정책을 중단하지 않았습니다. 개인정보위는 이를 유출 규모 확인을 막은 조사 방해로 봤습니다.
개인정보위는 안전조치 의무 위반에 과징금 4235억 7500만 원을, 통지·파기 의무 위반에 과태료 1680만 원을 부과했습니다.
이용자 1117만 명 활동기록 무단 수집
쿠팡은 제휴 마케팅 프로그램인 '쿠팡 파트너스'를 운영하면서 이용자의 타사 온라인 활동기록을 무단 수집한 사실도 드러났습니다.
대상은 2024년 12월 23일부터 올해 2월 4일까지 이용자 총 1117만 613명입니다. 쿠팡은 이용자 동의 없이 활동기록을 수집·저장하고 개인정보 처리방침에도 명확히 알리지 않았습니다.
일부 광고 파트너는 이용자가 광고를 클릭하지 않아도 쿠팡으로 강제 전환시키는 '납치 광고'를 게재했습니다. 쿠팡은 자체 기준상 계정 해지 대상인 파트너에게 오히려 추가 수수료율을 적용했습니다.
개인정보위는 이 무단 수집 행위에 과징금 2011억 600만 원을 부과했습니다.
자회사는 출입기자 명단·임직원 체중 수집
쿠팡풀필먼트서비스는 2023년 9월부터 2024년 2월까지 경찰청 출입기자 71명을 취업제한 목록에 등록했습니다. 물류센터 근무 이력이 없는데도 '허위사실유포'를 사유로 들었고, 당사자 동의도 받지 않았습니다.
또 2024년 3월에는 소송 과정에서 임직원 80명의 체중 분석 자료를 법원에 제출했습니다. 개인정보위는 두 건에 각각 과징금 2억 2000만 원과 2800만 원을 부과했습니다.
매출 30조 대형 사업자의 관리 부실이 가중 요소
개인정보위는 쿠팡의 이커머스 서비스 매출을 기준으로 과징금을 산정했습니다. 연간 매출 약 30조 원을 넘는 대규모 사업자가 인증시스템 관리를 소홀히 한 점이 위반의 중대성 판단에 반영됐습니다.
이번 처분은 대규모 개인정보 처리자에게 관리 책임을 한층 무겁게 묻는 기조를 보여줍니다. 특히 유출 통지 지연과 증거 삭제 등 사후 대응까지 과징금 산정에 폭넓게 반영됐다는 점은, 사고 발생 이후의 협조 태도가 제재 수위를 좌우할 수 있음을 시사합니다.
쿠팡은 전직 직원이 재직 중 알고 있던 서명키를 퇴사 후 악용한 것이 근본 원인이라고 주장했습니다. 일반적인 유출사고와 다르게 봐야 한다는 입장입니다.
분쟁조정 신청은 현재까지 약 2578명이 접수했습니다. 처분에 따라 일시 정지됐던 절차는 12일부터 재개됩니다.