<개인정보보호위원회는 11일 개인정보 유출이 발생한 쿠팡에 단일 개인정보 유출 사고에 내린 과징금 규모로는 역대 최대치인 총과징금 6,246억 8,100만 원, 과태료 1,680만 원을 부과했다, 출처 : 연합뉴스>

대규모 개인정보 유출 사고를 일으킨 쿠팡이 개인정보보호위원회로부터 역대 최대 수준의 제재를 받았다. 개인정보위는 지난해 발생한 개인정보 유출과 온라인 활동기록 무단 수집 등에 대한 책임을 물어 총 6246억8100만원의 과징금을 부과하기로 결정했다.

개인정보위는 11일 전날 열린 전체회의에서 쿠팡의 개인정보보호법 위반 사항에 대한 심의를 마치고 이 같은 처분을 의결했다고 밝혔다. 이번 과징금은 지난해 SK텔레콤에 부과된 1348억원을 크게 웃도는 규모로, 국내 개인정보 보호 분야에서 가장 큰 제재 사례로 기록됐다.

<쿠팡 개인정보 유출 사태 공격 개요, 출처 :개인정보보호위원회>

이번 사건은 지난해 11월 쿠팡이 개인정보 유출 사실을 신고하면서 시작됐다. 개인정보위와 한국인터넷진흥원(KISA)은 공동 조사에 착수해 유출 경위와 법 위반 여부를 집중적으로 점검했다.

조사 결과 공격자는 과거 쿠팡 재직 시 인증 체계 개발에 참여했던 전직 직원으로 확인됐다. 그는 인증 관련 서명키를 확보한 뒤 수개월에 걸쳐 회원정보 수정, 배송지 관리, 주문내역 조회 등의 시스템에 접근하며 개인정보를 빼낸 것으로 조사됐다.

유출 규모는 회원 개인정보 3322만여 건과 비회원 개인정보 최소 433만여 건으로 파악됐다. 이름과 연락처, 주소, 공동현관 출입 비밀번호 등 민감성이 높은 정보가 포함됐으며, 회원이 등록한 가족·지인 정보도 다수 포함된 것으로 나타났다.

해커는 확보한 데이터를 바탕으로 회원별 정보를 재구성한 뒤 일부 데이터를 첨부한 협박 메일을 회원과 회사 측에 발송했다. 이 과정에서 성인용품 구매 내역 등 사생활과 관련된 정보도 노출된 것으로 알려졌다.

개인정보위는 이번 사고의 주요 원인으로 쿠팡의 보안 관리 체계 미흡을 지목했다. 공격 기간 동안 비정상적인 접속량 증가가 지속됐음에도 쿠팡이 이를 탐지하지 못했으며, 고객 민원이 접수된 이후에야 이상 징후를 파악한 것으로 조사됐다.

또한 올해 초 추가 개인정보 유출 사실을 확인하고도 법정 신고 기한인 72시간을 넘겨 이용자에게 통지한 사실도 적발됐다. 비회원 정보 유출에 대한 별도 통지 역시 충분히 이뤄지지 않은 것으로 나타났다.

특히 개인정보 보호 책임자(CPO)를 주요 조사 과정에서 배제한 채 사고 대응과 결과 공개가 이뤄진 점도 문제로 지적됐다. 개인정보위는 이를 개인정보 보호 체계의 핵심 역할을 약화시키는 행위로 판단했다.

탈퇴 회원 정보 관리도 미흡했다. 내부 규정상 삭제해야 할 탈퇴 회원 정보 246만여 건이 보관되고 있었으며, 일부는 실제 유출 피해로 이어진 것으로 확인됐다.

이에 개인정보위는 안전조치 의무 위반에 대해 4235억7500만원의 과징금을, 유출 통지와 개인정보 파기 의무 위반에 대해서는 과태료 1680만원을 부과했다.

<타사 온라인 활동기록을 수집하는 쿠팡 광고(예시), 출처 :개인정보보호위원회>

이와 별도로 쿠팡이 운영하는 제휴 마케팅 프로그램 ‘쿠팡 파트너스’ 과정에서 이용자 동의 없이 타사 웹사이트와 앱 이용 기록을 수집한 사실도 드러났다. 조사 결과 약 1117만 명의 온라인 활동 정보가 법적 근거 없이 수집·보관된 것으로 나타났다.

개인정보위는 이 같은 행위가 개인의 관심사와 성향을 광범위하게 추론할 수 있어 개인정보 침해 위험성이 높다고 판단하고, 추가로 2011억600만원의 과징금을 부과했다.

아울러 일부 광고 파트너가 이용자 의사와 관계없이 쿠팡 페이지로 이동시키는 이른바 ‘납치 광고’를 운영했음에도 쿠팡이 적절한 제재 조치를 취하지 않은 사실도 확인됐다.

쿠팡 계열사인 쿠팡풀필먼트서비스 역시 별도 제재를 받았다. 개인정보위는 경찰 출입 기자들을 취업 제한 명단에 등록해 관리하고, 임직원의 건강 관련 정보를 소송 과정에서 활용한 행위 등에 대해 2억4800만원의 과징금을 부과했다.

쿠팡은 이번 결정에 대해 개인정보 유출로 고객에게 불편을 끼친 점에 사과하면서도, 사고 이후의 재발 방지 노력과 피해 최소화 조치가 충분히 고려되지 않았다고 주장했다. 또한 쿠팡 파트너스는 글로벌 기업들이 사용하는 일반적인 제휴 마케팅 모델이라고 강조했다.

다만 회사 측은 개인정보위의 공식 의결서를 검토한 뒤 법적 절차를 통해 사실관계를 다투겠다는 입장을 밝혀 향후 행정소송 등 법적 공방이 이어질 가능성이 커졌다.

업계에서는 이번 과징금 규모가 쿠팡의 연간 영업이익에 육박하는 수준인 만큼 향후 경영 실적과 투자 계획에 적지 않은 영향을 미칠 수 있다는 우려도 제기되고 있다. 동시에 현행 과징금 산정 방식이 실제 피해 정도보다 기업 매출 규모에 지나치게 의존하고 있다는 형평성 논란도 함께 불거지고 있다.

감사·내부통제 전문지 BLACK EDGE / 강호림 기자