서울 서초구 쿠팡 물류센터에 배송차량이 주차되어 있다. 연합뉴스
지난해 3750여만 명의 대규모 개인정보 유출 사고를 낸 쿠팡이 정부로부터 과징금 총 6246억 8100만 원을 부과받았다. 지난해 전국민 유심 대란을 일으킬 정도로 유출사고 후유증이 심각했던 SK텔레콤의 과징금 1348억 원의 약 5배에 달한다. 정부는 쿠팡이 규제 법망을 교묘하게 넘나들며 무단으로 회원들의 정보를 수집·활용했으며, 유출 사고를 인지한 후에도 뒤늦게 신고하고 무단으로 정보를 삭제·은폐하는 등 비정상 행위가 다수 발견됐다고 지적했다.
개인정보보호위원회는 지난 10일 정부서울청사에서 제11회 전체회의를 열고, 개인정보 보호 법규를 위반한 쿠팡에 총 6246억8100만원의 과징금, 1680만원의 과태료 부과와 함께 시정 명령, 공표 및 공표 명령 등을 의결했다고 11일 밝혔다. 개인정보 보호 법규 위반이 확인된 쿠팡풀필먼트서비스 유한회사(CFS)에 대해서도 총 2억4800만원의 과징금 부과를 의결했다.
개인정보위는 지난해 11월 30일에는 한국인터넷진흥원(KISA)과 함께 집중조사 태스크포스(TF)를 구성해 관련 사실관계, 개인정보 보호 법규 위반 여부 등을 중점 확인했다. 조사 결과 2024년 말 퇴사한 전직 쿠팡 직원이 회원 정보를 빼돌리는 등의 해킹을 했다. 해커는 해커는 제공하는 여러 서비스 페이지에 접근해 총 3322만2472명의 ‘회원’ 개인정보와 최소 433만8368명의 ‘회원이 아닌 정보주체‘(배송지 관리 페이지 내에 포함)의 개인정보를 유출한 것으로 확인됐다.
특히 개인정보위는 이번 사고는 고도의 해킹이 아닌 쿠팡의 안전관리 체계 미비 및 관리 소홀로 인해 발생한 것으로 확인됐다고 지적했다. 쿠팡은 회원 약 16만명의 개인정보가 추가 유출된 사실을 올해 1월 30일 쯤 인지했음에도 법령에서 정한 72시간이 경과한 2월 5일에야 유출 사실을 통지했다.
특히 쿠팡이 회원들의 타사 온라인 활동기록을 무단으로 수집한 사실도 드러났다. 쿠팡은 2024년12월부터 지난 2월까지 1564만5338개 웹페이지 또는 앱을 방문·사용한 이용자 1117만613명에 대한 타사 온라인 활동기록을 무단 수집·저장했다. 쿠팡이 무단 수집한 정보는 그 자체로 개인 식별이 가능한 개인정보로, 개인의 사상·건강 등 민감 정보를 추론할 수 있어 정보 주체 권리 침해 위험성이 크다고 개보위는 지적했다.
회원정보는 탈퇴 후 90일이 지나면, 주소와 계좌번호는 탈퇴 즉시 파기하도록 하는 내부 규정에도 불구하고 탈퇴 회원이 등록한 배송지 정보 246만 5592건을 파기하지 않아 일부는 유출됐고, 계좌번호 31만 8499건도 즉시 파기하지 않은 사실도 드러났다. 이와함께 별도의 발송용 DB를 구축·운영하면서, 탈퇴 후 90일이 경과한 71만7865명의 개인정보를 발송용 DB에서 파기하지 않은 사실도 확인됐다.