4시간 전
"쿠팡, 3755만명 개인정보 유출"… 역대 최대 6246억 원 제재
2026.06.11 14:21
| ▲ 송경희 개인정보위 위원장이 11일 서울 종로구 정부서울청사에서 쿠팡사태 제재안 의결 브리핑을 하고 있다. 개보위는 3천750만명의 개인정보를 유출하고, 법적 근거 없이 회원들의 온라인 활동기록을 무단 수집한 쿠팡에 과징금 총 6천246억원을 부과했다. |
| ⓒ 연합뉴스 |
"쿠팡 사고는 고도의 해킹 기법 때문이 아니라 쿠팡의 기본적인 안전관리 체계 미비와 관리 소홀로 발생했습니다."
11일 송경희 개인정보보호위원회 위원장의 말이다. 그는 이날 오전 정부서울청사에 '쿠팡 개인정보 유출 및 개인정보 침해 사건'에 대한 시정조치안 의결을 발표하면서 고도 해킹 아닌 쿠팡의 기본 조치 소홀·관리 실패로 결론내렸다.
개인정보위는 전날(10일) 제11회 전체회의를 오전 10시부터 13시간 넘게 진행했다. 회의에서 사업자 의견 진술을 듣고 위원 간 논의가 있었다고 한다.
그 결과, 개인정보위는 쿠팡의 개인정보 유출과 타사 온라인 활동 정보 무단 수집 행위에 대해 안전조치 의무 위반, 개인정보 수집·이용 위반 등이 있었다고 판단했다. 이에 따라 과징금 6246억8100만 원과 과태료 1680만 원을 부과했다. 별도로 쿠팡풀필먼트서비스의 개인정보 처리 위반에 대해서도 과징금 2억4800만 원을 부과했다.
송 위원장은 "국내 최대 온라인 플랫폼 사업자이자 대규모 개인정보처리자인 쿠팡이 그에 상응하는 수준의 개인정보 보호 및 관리 체계를 갖추지 못한 사실이 확인됐다"고 말했다.
고객이 받은 협박 메일로 시작된 조사… "전직 직원이 인증서명키 확보"
개인정보위 조사에 따르면 쿠팡은 해커의 협박 메일을 받은 고객 민원을 통해 개인정보 유출 사실을 처음 인지했다. 이후 조사 과정에서 과거 쿠팡에서 대체 인증 기능을 직접 개발했던 전직 직원이 대체인증 서명키를 확보한 뒤 위조 인증토큰을 생성해 개인정보에 접근한 사실이 확인됐다. 해당 접근은 2025년 4월부터 11월까지 이어졌다.
송 위원장은 "전직 직원이 인증서명키를 확보한 후 회원정보 수정 페이지와 배송지관리 페이지, 주문목록 페이지에 포함된 개인정보를 유출한 것으로 확인됐다"고 밝혔다.
유출 규모는 예상보다 훨씬 컸다. 해커는 쿠팡 서비스 내 여러 페이지에 접근해 회원 약 3322만 명, 비회원 정보주체 약 433만 명의 개인정보를 유출한 것으로 조사됐다. 회원정보 수정 페이지에서는 회원 약 3300만 명의 이름과 이메일 주소가 유출됐다.
배송지관리 페이지에서는 최소 2230만 명 회원의 배송지 정보가 빠져나갔다. 특히 배송지에는 회원 본인뿐 아니라 가족·친구 등 제3자의 이름과 전화번호, 주소까지 포함돼 있었다.
송 위원장은 "배송지 정보에 포함된 회원이 아닌 정보주체는 휴대전화번호 기준 최소 433만 명으로 확인됐다"고 말했다. 주문목록 페이지에서는 회원 약 5만8000명의 주문 내역도 유출됐다.
"인증키를 평문으로 열람"… 개인정보위, 관리 부실 지적
| ▲ 송경희 개인정보위 위원장이 11일 서울 종로구 정부서울청사에서 쿠팡사태 제재안 의결 브리핑을 하고 있다. 개보위는 3천750만명의 개인정보를 유출하고, 법적 근거 없이 회원들의 온라인 활동기록을 무단 수집한 쿠팡에 과징금 총 6천246억원을 부과했다. |
| ⓒ 연합뉴스 |
개인정보위는 이번 사건을 정교한 외부 공격보다 내부 관리 실패에 무게를 뒀다. 송 위원장은 "쿠팡의 인증토큰 기반 인증체계는 인증서명키 관리 실패 시 전체 회원 계정에 대한 무단 접근이 가능해 엄격한 관리가 필수적인 구조"라고 설명했다.
쿠팡의 실제 운영은 달랐다. 업무상 열람이 필요하지 않은 경우에도 대체인증 서명키를 평문으로 확인할 수 있도록 운영했고 접근권한 관리도 제대로 하지 않았다는 게 개인정보위 판단이다.
더욱이 해당 키를 열람할 수 있었던 인력이 퇴사한 뒤에도 인증서명키를 즉시 폐기하거나 갱신하지 않았다. 이에 대해 송 위원장은 "인증서명키를 안전하게 관리하지 않았다"고 지적했다.
외부 공격 탐지와 대응도 부실했다. 해커의 공격 기간 개인정보가 포함된 페이지 접속량이 급격히 증가하고 이상 트래픽이 반복됐지만 쿠팡은 고객 민원이 접수되기 전까지 이를 인지하지 못했다. 또 차단 임계치 설정이 미흡했고 탐지된 이상행위에 대한 상세 분석도 하지 않아 사고를 차단할 기회를 놓친 것으로 조사됐다.
유출 통지 지연·로그 삭제… "피해자들 2차 피해 대응 기회 놓쳐"
사고 이후 조치 과정에서도 문제점이 확인됐다. 송 위원장은 "개인정보보호법은 유출 사실 인지 후 72시간 내 정보주체에게 통지하도록 규정하고 있으나 쿠팡은 일부 회원에 대한 통지를 지연했고 비회원 정보주체에 대한 통지는 이행하지 않았다"고 밝혔다.
배송지관리 페이지에서 추가 유출이 확인된 약 16만 명 회원에 대한 통지가 늦어졌고, 배송지에 포함된 비회원 정보주체는 유출 사실 자체를 알지 못한 것으로 조사됐다. 송 위원장은 "해당 정보주체들은 유출 사실을 인지하지 못해 2차 피해 예방 기회를 갖지 못한 측면이 있다"고 말했다.
또 쿠팡은 해커 자체 조사 결과를 홈페이지에 공개하는 과정에서 개인정보보호책임자를 의사결정에서 배제한 것으로 확인됐다. 개인정보위는 이를 개인정보보호책임자의 독립적 직무 수행 권한을 실질적으로 무력화한 사례로 판단했다. 여기에 탈퇴 회원 배송지 정보와 일부 계좌번호도 보유 기간이 지났는데도 파기하지 않은 것으로 나타났다.
특히 개인정보위가 사고 관련 접속기록 보전을 명령했음에도 쿠팡은 약 5개월치 앱 접속 로그를 수동 삭제했고, 6개월 경과 애플리케이션 로그 자동 삭제 정책도 중단하지 않았다. 송 위원장은 "피해 범위 확인을 어렵게 한 사실이 있었다"고 했다.
개인정보위는 쿠팡에 대해 인증키 관리 강화, 비회원 정보주체 대상 유출 통지, 파기 정책 정비와 내부 거버넌스 개선 등을 시정명령으로 요구했다.
송 위원장은 "이번 처분이 국민 생활과 밀접한 온라인 플랫폼 전반에 보안 투자를 확대하고 내부 통제를 강화하는 계기가 되기를 바란다"며 "개인정보보호위원회도 국민 개인정보를 보다 안전하게 보호할 수 있는 환경을 만드는 데 노력하겠다"고 발표를 마무리했다.
곧바로 입장 낸 쿠팡, 고객과 국민께 사과... 개보위에 유감 표명
| ▲ 서울 쿠팡 본사. |
| ⓒ 연합뉴스 |
한편, 쿠팡은 이날 개보위 발표에 대해 곧바로 입장을 내놨다. 고객과 국민에게 사과의 뜻을 밝히면서 "개인정보 보호 프레임워크를 더욱 강화하고 새로운 의지로 고객 신뢰 회복을 위해 노력하겠다"고 했다.
다만, 쿠팡은 "작년 데이터 유출 사태와 관련 2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 개인정보위원회의 결정에 충분히 반영되지 못한 점 유감스럽게 생각한다"고 밝혔다.
덧붙여 쿠팡은 "쿠팡 파트너스는 수천 명의 국내 크리에이터, 블로거, 소상공인들이 상품을 추천하고 수익을 창출하는 프로그램이며, 다른 글로벌 기업들과 동일한 제휴 모델을 사용하여 고객 데이터를 보호하고 적법하게 운영하고 있다"면서 "개인정보위원회로부터 공식 의결서를 수령한 후 법적 절차를 통해 사실관계가 명확하게 규명되길 기대한다"고 전했다.
저작권 보호를 위해 본문의 일부만 표시됩니다.
원문 보기 →댓글 (0)
첫 번째 댓글을 작성해보세요!
번호 추천의 다른 소식
모든 소식을 불러왔습니다