고객 정보 털린 쿠팡, 온라인 기록 무단수집해 광고에 쓰기도

동아일보

과징금 6247억 중징계 배경은
인증키 부실 관리-안전의무 위반… 이용자 동의없이 접속기록 저장
1117만명에 맞춤형 광고 활용… 증거 보전명령에도 자료 삭제

개인정보보호위원회(개인정보위)가 11일 쿠팡에 역대 최대 규모인 6247억 원의 과징금을 부과한 것은 개인정보 유출뿐 아니라 광범위한 개인정보보호법 위반 사항이 드러났기 때문이다. 조사 결과 3756만 명의 개인정보가 유출된 데다 쿠팡은 맞춤형 광고를 위해 이용자 1117만 명의 온라인 활동 기록도 동의 없이 수집한 것으로 나타났다. 개인정보위는 또 쿠팡이 증거자료 보전 명령 이후에도 일부 접속 기록을 삭제해 조사를 어렵게 했다고 판단했다.

● 3756만 명 유출, 1117만 명 기록 무단 수집

이날 개인정보위 발표에 따르면 지난해 11월 쿠팡이 유출 사실을 신고한 이후 조사로 확인된 개인정보 유출 규모는 기존에 알려진 회원 3322만2472명에 비회원 433만8368명을 더해 총 3756만840명이다. 지난해 8월 역대 최대 과징금(1347억9100만 원)이 부과된 SK텔레콤의 유출 규모(2324만 명)보다 약 1400만 명 많다.

유출된 정보에는 회원 3305만7012명의 이름, 이메일 주소 등과 회원 최소 2237만5359명 및 비회원 최소 433만8368명의 이름·주소·전화번호 등으로 이뤄진 배송지 정보 6398만6351건, 회원 5만8349명의 주문 내역 등이 포함됐다.

유출은 쿠팡의 인증체계 취약성을 잘 아는 전직 직원이 이를 악용하며 벌어졌다. 2024년 말 퇴사한 이 직원은 인증체계의 마스터키 역할을 하는 ‘인증서명키’를 이용해 위조 인증토큰을 생성했다. 그리고 이를 통해 지난해 4월부터 11월까지 회원정보 수정 페이지와 배송지 관리 페이지, 주문 목록 페이지 등에 접근해 개인정보를 유출했다.

개인정보위는 쿠팡이 이 과정에서 인증서명키를 부실하게 관리하고 이상 접속을 제때 탐지하지 못하는 등 안전조치 의무를 위반했다고 판단했다. 또 추가 유출 사실을 법정 기한 내 통지하지 않고, 개인정보보호책임자(CPO)를 의사결정 과정에서 배제했다고 지적했다. 쿠팡은 보유 기간이 지난 탈퇴 회원 정보도 파기하지 않은 것으로 조사됐다.

이에 더해 쿠팡은 회원들의 온라인 활동 기록도 동의 없이 수집한 것으로 드러났다. 이용자 브라우저에 기기를 구별할 수 있는 식별자를 저장한 뒤 이용자가 방문한 웹사이트와 애플리케이션 정보를 회원 정보와 연결해 보관했다. 개인정보위는 쿠팡이 이 정보를 활용해 이용자 1117만 명에게 맞춤형 광고를 제공했다고 판단했다.

조사 과정에서도 부적절한 대응이 이어졌다는 게 개인정보위의 판단이다. 개인정보위가 조사 착수 직후 증거자료 보전 명령을 내렸지만 쿠팡은 일부 접속 로그를 삭제하고 자동 삭제 정책도 중단하지 않았다. 또 개인정보 유출 경위를 설명하는 과정에서 해커 진술에 의존한 자체 조사 결과를 공개해 혼선을 초래했다. 송경희 개인정보위 위원장은 “(조사 방해에 대한) 고발이 진행될 것”이라고 말했다.

● 역대 최다 과징금… 쿠팡은 법적 대응 예고

개인정보위는 개인정보 유출에 대해 과징금 4235억7500만 원을, 온라인 활동 기록 무단 수집에 대해서는 과징금 2011억600만 원을 각각 부과했다. 두 처분을 합친 총과징금 규모는 6246억8100만 원으로 역대 최대다.

현행법상 과징금은 위반행위 직전 3개 사업연도 평균 매출액을 기준으로 최대 3%까지 부과할 수 있다. 쿠팡의 경우 개인정보 유출 사건 기준 매출은 약 30조 원, 개인정보 무단 수집 사건 기준 매출은 약 36조 원으로 집계됐다. 여기서 쿠팡플레이, 쿠팡이츠, 기업 간 거래(B2B) 등 사건과 직접 관련이 없는 매출은 제외했다. 양청삼 개인정보위 사무처장은 “보호법이 정한 법과 원칙에 따라 국내외 사업자를 차별하지 않고 처분했다”고 말했다. 단, 전체 매출의 최대 10%까지 부과가 가능한 징벌적 과징금 제도는 9월부터 시행이라 이번 사건에는 적용되지 않았다.

쿠팡은 이번 과징금이 과도하다는 입장이다. 쿠팡 측이 10일 개인정보위 전체회의에서 장시간 소명에 나서면서 심의는 역대 최장 시간인 13시간 넘게 이어졌다.

쿠팡은 입장문을 통해 “고객과 국민께 심려를 끼쳐 드린 점에 대해 사과드린다”면서도 “데이터 유출 사태와 관련한 선제적 조치와 사실관계에 대한 설명이 충분히 반영되지 않았다”고 밝혔다. 이어 향후 법적 절차를 통해 이번 처분의 적정성을 다투겠다는 입장을 내놨다.