쿠팡 본사 [사진=연합뉴스]

[디지털데일리 김보민기자] 쿠팡에서 대규모 개인정보 유출 사고가 발생했다는 소식이 알려진 후 7개월 만에 개인정보보호위원회 제재안이 발표됐다.

개인정보위는 쿠팡에 안전조치 의무 위반 및 법적 근거 없는 개인정보 수집 등에 대해 과징금 총 6246억8100만원을 부과하기로 의결했다. 이 가운데 '개인정보 유출 안건'에만 4235억원대 과징금이 부과됐다. 이전 최대 과징금인 SK텔레콤 사고(1348억원)를 뛰어넘는 수치다.

◆ 전직 직원이 인증키 악용…회원·비회원 3750여명 피해

개인정보위는 11일 쿠팡의 대규모 개인정보 유출 사고에 대한 조사 결과를 발표했다. 쿠팡은 해커가 보낸 협박 메일을 받은 고객의 민원을 통해 회원 4536명의 개인정보 유출 사실을 인지하고 지난해 11월 20일 최초 유출 신고를 했으며, 개인정보위는 다음 날인 11월 21일 조사에 착수했다.

이후 쿠팡은 해커로부터 2차 협박 메일을 받은 뒤 자체 검증을 진행한 결과 최초 신고 규모를 넘어 3300만 개 이상의 계정이 유출된 사실을 확인하고 지난해 11월29일 2차 유출 신고를 했다. 이어 약 16만5000여개 회원 계정의 추가 유출 사실을 확인해 올해 2월5일 3차 유출 신고를 진행했다.

조사 결과 해커는 과거 쿠팡 재직 당시 대체 인증 시스템을 직접 개발했던 전직 직원으로 확인됐다. 해당 직원은 2024년 말 퇴사한 뒤 대체 인증 서명키를 확보했으며, 2025년 1월 사전 유출 테스트를 거쳐 같은 해 4월부터 11월까지 회원정보 수정 페이지, 배송지 관리 페이지, 주문목록 페이지 등에 접근해 개인정보를 유출한 것으로 조사됐다.

조사 결과 해커는 쿠팡 서비스 내 여러 페이지에 접근해 총 3322만여명의 회원 개인정보와 최소 433만여명의 비회원 정보주체 개인정보를 유출한 것으로 확인됐다. 회원정보 수정 페이지에서는 3305만7012명의 이름과 이메일 주소가 유출됐고, 배송지 관리 페이지에서는 최소 2237만5359명의 회원이 등록한 배송지 정보 6398만6351건이 유출됐다. 주문목록 페이지에서는 회원 5만8349명의 주문내역 27만2470건이 유출된 것으로 나타났다.

◆ 안전관리 부실 드러나…과징금 4235억 원 부과

개인정보위는 이번 사고가 고도의 해킹이 아닌 쿠팡의 기본적인 안전관리 체계 미비와 관리 소홀로 인해 발생했다고 판단했다.

조사 결과 쿠팡은 인증 서명키를 평문으로 열람할 수 있도록 운영하는 등 접근권한 관리를 소홀히 했고, 해당 키에 접근 가능했던 직원이 퇴사한 이후에도 즉시 갱신하거나 폐기하지 않은 것으로 확인됐다. 또한 공격 기간 동안 개인정보가 포함된 페이지에 대한 비정상적인 대량 접속과 존재하지 않는 회원의 인증토큰을 이용한 접속이 반복적으로 발생했음에도 이를 인지하지 못한 것으로 조사됐다.

아울러 쿠팡은 추가 유출 사실을 법정 기한 내 통지하지 않았고, 비회원 정보주체에 대한 유출 통지도 이행하지 않은 것으로 나타났다. 개인정보 보호책임자(CPO)를 자체 조사 및 결과 공개 과정에서 배제한 사실과 탈퇴회원 개인정보를 파기하지 않은 사실도 확인됐다. 개인정보위의 자료보전 명령 이후 웹 접속 로그를 삭제하는 등 조사 방해 행위도 적발됐다.

개인정보위는 쿠팡에 대해 과징금 4235억7500만원과 과태료 1680만원을 부과하기로 결정했다. 또한 인증체계 전반의 키 관리 및 접근통제 강화, 비회원 정보주체 대상 유출 통지 실시, 파기 정책 및 내부 거버넌스 체계 정비 등을 시정 명령했다. 아울러 탈퇴회원 개인정보 관리 체계 개선과 개인정보 처리방침 현행화 등을 권고하고, 처분 사실을 쿠팡 홈페이지와 개인정보위 홈페이지에 공표할 예정이다.