쿠팡, 3760만명 개인정보 유출…과징금 6249억원

쿠팡과 쿠팡풀필먼트서비스가 개인정보 유출로 인해 개인정보보호위원회(이하 개인정보위원회)로부터 약 6249억원의 과징금을 부과받았다. 이는 개인정보위원회가 부과한 과징금 중 역대 최대 규모다.

11일 개인정보위원회에 따르면 지난 10일 개인정보위원회는 전체회의를 열고 쿠팡에 6246억8100만원의 과징금과 1680만원의 과태료를 부과했다. 쿠팡풀필먼트서비스 역시 개인정보보호 법규 위반이 확인되면서, 개인정보위원회는 쿠팡풀필먼트서비스에 2억4800만원의 과징금 부과를 의결했다.

개인정보위원회는 지난해 11월 20일 쿠팡의 신고를 받은 이후 한국인터넷진흥원과 집중조사 태스크포스(TF)를 꾸려 조사를 진행해왔다.

조사 결과, 해커는 회원 3322만2472명의 개인정보와 최소 433만8368명의 비회원(배송지 관리 페이지 내에 포함) 개인정보를 유출한 것으로 확인됐다. 회원 등록 배송지 정보에는 회원 본인 외에도 가족, 친구 등 제3자의 이름, 전화번호, 주소 등이 포함됐다.

개인정보위원회는 해당 사건 발생 배경으로 쿠팡의 기본적인 안전관리 체계 마비 및 관리 소홀을 꼽았다. 개인정보위원회에 따르면 쿠팡의 토큰 기반 인증체계는 서명에 사용되는 키 관리 실패 시 전체 회원계정에 대한 무단 접근이 허용된다. 그러나 해당 키 접근 가능한 해커 퇴사 이후에도 쿠팡은 서명키를 즉각 갱신 또는 폐기하지 않았다.

또 쿠팡은 배송지 관리 페이지를 통한 개인정보 유출 사실을 인지했음에도 법령에서 정한 72시간 경과 후 유출 사실을 통지했다.

개인정보위원회 측은 “(비회원) 정보주체는 유출사실을 인지하지 못해 2차 피해 예방을 위한 대응 기회를 상실하게 됐다”라며 “탈퇴 후 90일 경과한 71만7865명의 개인정보를 발송용 DB(데이터베이스)에서 파기하지 않은 사실도 확인됐다”고 설명했다.

개인정보위원회 발표 직후 쿠팡은 입장문을 통해 “작년 데이터 유출 사태와 관련 2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 개인정보위원회의 결정에 충분히 반영되지 못한 점 유감스럽게 생각한다”라며 “개인정보위원회로부터 공식 의결서를 수령한 후 법적 절차를 통해 사실관계가 명확하게 규명되길 기대한다”고 밝혔다.

[CEO스코어데일리 / 최수빈 기자 / choi32015@ceoscore.co.kr]

심층분석

CEO's PICK