11일 서울 쿠팡 본사 [사진=연합뉴스]

개인정보보호위원회가 3천750만 명의 개인정보를 유출하고 회원들의 온라인 활동기록까지 무단 수집한 쿠팡에 총 6천247억원의 과징금을 부과했다. 단일 유출 사고에 대한 과징금으로는 물론, 한 기업의 여러 위반행위에 매겨진 규모로도 역대 최대다.

개인정보위는 10일 전체회의에서 쿠팡의 안전조치 의무 위반에 대해 4천235억여원을, 1천만 명이 넘는 회원의 온라인 활동을 무단 수집한 행위 등에 2천11억원을 각각 부과하기로 의결했다고 11일 밝혔다. 신고 지연에 따른 과태료 1천680만원도 더해졌으며, 조사를 방해한 정황이 있다고 보고 수사기관 고발도 병행하기로 했다.

개인정보위는 이번 사고의 원인으로 정교한 해킹이 아닌 쿠팡의 부실한 안전관리 체계를 지목했다. 쿠팡 전 직원이었던 공격자가 빼돌린 개인정보는 회원 3천322만 명과 비회원 정보주체 최소 433만 명을 합쳐 약 3천756만 명에 달했다. 이는 올해 2월 과학기술정보통신부 민관합동조사단이 발표한 3천367만 명보다 약 400만 명 늘어난 수치다.

문제의 핵심은 인증 서명키 관리였다. 쿠팡은 전자서명 검증만으로 인증을 허용하는 토큰 기반 체계를 운영하면서도, 불필요한 경우에도 키를 평문으로 열람할 수 있게 두고 퇴사자의 서명키를 즉시 갱신·폐기하지 않는 등 관리를 소홀히 했다. 공격 기간 과도한 트래픽 등 비정상 접속이 있었지만 쿠팡은 해커의 협박 메일을 받기 전까지 유출 사실조차 인지하지 못했고, 법정 72시간 내 신고 의무도 지키지 않았다. 비회원에 대한 유출 통지 요청도 수차례 외면했다.

유출 항목은 광범위했다. 회원정보 수정 페이지에서 3천305만 명의 이름·이메일이, 배송지 관리 페이지에서 최소 2천237만 명의 배송지 정보 6천398만 건이 새어 나갔다. 여기에는 이름과 전화번호, 주소뿐 아니라 공동현관 비밀번호, 가족·친구 등 제3자 정보까지 포함됐다. 특히 개인정보위는 쿠팡이 약 5개월 분량의 웹 접속 로그를 수동 삭제해 최초 유출 시점 규명을 어렵게 한 조사방해 행위가 있었다고 판단했다.

쿠팡의 위반은 유출 사고에 그치지 않았다. 개인정보위는 쿠팡이 타사 웹·앱에 접속한 회원 약 1천117만 명의 온라인 활동기록을 동의 없이 수집해 개인 식별이 가능한 상태로 광고 DB에 저장한 행위에 별도로 2천11억원을 부과했다. 이러한 기록은 개인의 관심사와 성향을 폭넓게 파악할 수 있고, 누적될 경우 사상·건강 등 민감정보까지 추론할 수 있어 권리 침해 위험이 크다고 봤다.

자회사 쿠팡풀필먼트서비스(CFS)의 행위도 도마에 올랐다. CFS는 비위 임직원의 물류센터 재취업을 막기 위한 취업제한 목록에 물류센터 근무 이력이 없는 경찰청 출입기자 71명을 '허위사실 유포'를 이유로 등록·관리한 것으로 드러났다. 별도 동의나 통보는 없었다. 임직원 건강관리 목적으로 보유한 체중정보를 산재 소송에서 법원에 제출한 행위도 민감정보 처리 위반으로 보고 2억4천800만원이 추가 부과됐다.

개인정보위는 재발 방지를 위한 안전조치 강화, 비회원 정보주체에 대한 유출 통지, 개인정보보호책임자(CPO)의 실질적 역할 보장 등을 시정명령하고 3개월 내 이행 결과를 확인하기로 했다.

전체 매출의 최대 10%까지 부과할 수 있는 '징벌적 과징금' 제도는 오는 9월 시행 예정이라 이번 사고에는 적용되지 않았다. 송경희 개인정보위원장은 "이번 처분은 법과 원칙에 따라 면밀히 검토한 타당한 결정"이라며 "쿠팡이 소송을 제기하면 적극 대응하겠다"고 밝혔다. 쿠팡은 "고객과 국민께 심려를 끼쳐 사과드린다"면서도 "법적 절차를 통해 사실관계가 명확히 규명되기를 기대한다"며 소송 가능성을 내비쳤다.

“ 저작권자 ⓒ 퍼스널포커스 무단전재 및 재배포 금지 ”