대규모 고객 개인정보 유출 사고를 낸 국내 1위 이커머스 기업 쿠팡이 정부로부터 6,000억 원이 넘는 ‘과징금 폭탄’을 맞았다. 이는 개인정보 유출 및 보호법 위반과 관련해 국가 기관이 개별 기업에 부과한 과징금 중 역대 최대 규모로, 글로벌 사례와 비교해도 최고 수준이다.

개인정보보호위원회(이하 개보위)는 지난 10일 전체회의를 열고 쿠팡 주식회사와 계열사인 쿠팡풀필먼트서비스(CFS)의 개인정보보호법 위반 행위에 대해 과징금 총 6,248억 8,300만 원과 과태료 1,680만 원을 부과하고 시정명령 및 고발 등을 의결했다고 11일 밝혔다.

고도 해킹 아닌 ‘보안 불감증’이 키운 사태…1억 4,800만 회 공격에도 몰라

개보위 조사 결과에 따르면, 이번 쿠팡의 대규모 유출 사고는 고도의 해킹 기술에 의한 것이 아니라 기본적인 안전관리 체계 미비 및 내부 관리 소홀에서 비롯된 것으로 확인됐다.

공격자는 과거 쿠팡에서 근무했던 전직 개발자로, 퇴사 전 확보한 인증 서명키를 활용해 회원정보 수정 및 배송지 관리 페이지에 장기간 접근해 3,750만 명의 개인정보를 탈취했다. 쿠팡 측은 해당 직원이 퇴사한 후에도 서명키를 즉시 폐기하거나 교체하지 않았으며, 업무상 불필요한 경우에도 키를 평문으로 열람할 수 있도록 방치했다.

특히 해커가 지난해 4월부터 11월까지 배송지 관리 페이지 등에 약 1억 4,800만 회에 걸쳐 비정상적인 접근을 시도하며 과도한 트래픽을 발생시켰음에도, 쿠팡은 해커의 협박 메일을 받은 고객 민원이 접수되기 전까지 이를 전혀 인지하지 못했던 것으로 드러났다.

이용자 1,117만 명 온라인 기록 무단 수집…'블랙리스트' 의혹 계열사도 제재

유출 사고 외에 광범위한 이용자 정보 무단 수집 및 부정 광고 방조 혐의도 추가로 적발됐다.

쿠팡은 2024년 12월부터 2026년 2월까지 자사 광고 프로그램인 ‘쿠팡 파트너스’를 통해 이용자 1,117만여 명의 타사 웹·앱 방문 및 사용 기록 등 온라인 활동 기록을 법적 근거 없이 무단 수집해 데이터베이스(DB)에 저장했다. 이 과정에서 이용자의 의사와 상관없이 강제로 쿠팡 앱으로 전환시키는 일명 ‘납치 광고’ 업자들을 적절히 제재하지 않고, 오히려 추가 수수료율을 적용하는 등 방조한 사실이 확인되어 2,011억 600만 원의 과징금이 별도로 부과됐다.

아울러 개인정보 보호책임자(CPO)의 독립적 업무 수행 방해, 유출 통지 및 파기 의무 위반, 자료 폐기 등 조사 방해 혐의도 함께 인정됐다.

한편 계열사인 쿠팡풀필먼트서비스(CFS) 역시 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 명단을 당사자 동의 없이 ‘허위사실 유포’ 사유로 취업제한 목록(블랙리스트)에 등록·관리하고, 임직원의 체중 정보를 소송 과정에서 법원에 무단 제출한 혐의로 2억 4,800만 원의 과징 처분을 받았다.

쿠팡, 2분기 대규모 적자 전환 위기…업계 전반 ‘과징금 포비아’ 확산

이번에 부과된 과징금 총액은 지난해 쿠팡의 연간 영업이익(6,790억 원)에 육박하는 수준이다. 과징금은 부과 즉시 특정 기간 내에 선납해야 하므로, 이번 처분은 쿠팡의 올 2분기 실적에 손실로 반영되어 대규모 적자 기록이 불가피할 전망이다. 이에 따라 쿠팡이 추진 중이던 국내 로켓배송 추가 투자 및 대만 신사업 확장 등 경영 계획에도 차질이 생길 수 있다는 관측이 나온다.

업계에서는 대립각을 세워온 쿠팡에 정부가 고강도 제재를 내린 것으로 보고 긴장하는 분위기다. 쿠팡 측은 △2차 피해가 없다는 점 △유출 정보의 민감도가 낮은 점 등을 들어 감경을 주장했으나 받아들여지지 않았다. 특히 오는 9월부터 개인정보 유출 과징금 부과 기준이 매출액의 최대 10%로 상향 조정을 앞두고 있어 기업들 사이에서는 ‘과징금 포비아(공포증)’가 확산하고 있다.

쿠팡 측은 즉각 법적 대응을 예고했다. 쿠팡 관계자는 "이번 처분은 예상을 완전히 벗어난 과도한 제재"라며 "처분의 부당성을 밝히기 위해 행정소송 등 법적 절차를 밟을 예정"이라고 밝혔다.

송경희 개인정보위 위원장은 브리핑을 통해 "국내 소비자의 소중한 개인정보를 다루는 기업이라면 국내외 기업을 막론하고 동일한 기준과 엄격한 법적 책임이 적용되어야 한다"라며 "이번 처분이 온라인 플랫폼 전반의 보안 투자 확대와 내부 통제 강화를 유도하는 계기가 되기를 바란다"고 강조했다.