송경희 개인정보위 위원장이 11일 서울 종로구 정부서울청사에서 쿠팡사태 제재안 의결 브리핑을 하고 있다. 개보위는 3750만 명의 개인정보를 유출하고 법적 근거 없이 회원들의 온라인 활동기록을 무단 수집한 쿠팡에 과징금 총 6247억 원을 부과했다. 연합뉴스

3750만 명을 넘는 가입자 개인정보를 유출한 쿠팡이 6000억 원대 과징금을 부과받았다. 역대 최대 규모다.

개인정보보호위원회는 지난 10일 전체회의를 열어 쿠팡의 개인정보 안전조치 의무 위반행위 제재안을 심의하고 과징금 4235억7500만 원을 부과하기로 했다고 11일 밝혔다. 신고 지연에 대해서는 과태료 1680만 원을 처분하는 한편 쿠팡 측이 유출사고 조사를 어렵게 한 부분에 대해서는 수사기관 고발도 병행한다.

개인정보위는 쿠팡에서 타사의 웹·앱에 접속한 회원 약 1117만 명의 온라인 활동기록을 무단 수집해 이용자 개인을 식별한 상태로 데이터베이스에 저장한 행위를 확인해 과징금 2011억660만 원을 별도 부과했다. 개인정보위가 이번 사건에서 쿠팡에 부과한 과징금 총액은 약 6247억 원이다. 아울러 개인정보위는 쿠팡 물류센터 자회사인 쿠팡풀필먼트서비스(CFS)가 물류센터에 근무한 이력이 없는 경찰청 출입기자단 71명 명단을 수집해 취업제한 목록에 등록·관리한 점도 위반행위로 판단했다.

또 ‘임직원 건강관리’를 목적으로 보유·관리하는 근로자 체중정보를 산업재해 관련 소송 과정에서 법원에 제출한 것도 민감정보 처리 위반으로 보고 과징금 2억4800만 원을 개별 부과했다.

개인정보위는 쿠팡의 인증 서명키 관리와 접근 통제 소홀 등 기본적인 안전관리 체계가 미흡해 약 3750여만 명의 개인정보가 유출된 것으로 결론 내렸다. 지난 2월 과학기술정보통신부의 민관합동조사단이 내놓은 개인정보 유출 규모( 3367만 명)보다 400만 명가량 많은 수치다.

개인정보위는 쿠팡 전 직원인 공격자(해커)가 중복 조회하거나 회원 탈퇴 등으로 데이터베이스(DB) 내 개인정보가 없는 경우를 제외하는 대신 회원 계정 약 3322만 명 및 회원이 아닌 정보주체 최소 433만 명의 정보가 유출된 것으로 판단했다.

해커는 쿠팡의 회원정보 수정페이지에서 3305만 명의 이름과 이메일 등 개인정보를 빼돌렸다. 배송지 관리 페이지에서는 최소 2237만여 명의 회원이 등록한 배송지 정보 6398만 건이 유출됐다. 외부로 나간 회원 배송지 정보에는 이름, 전화번호, 주소, 공동현관 비밀번호가 포함됐다.

배송지 정보에는 회원 본인 외에도 가족과 친구 등 제3자의 이름, 전화번호, 주소 등이 포함됐다. 회원이 아닌 정보주체는 휴대전화 번호 기준으로 최소 433만 명으로 확인됐다. 주문 목록 페이지에서도 회원 5만8000여 명의 주문내역 27만2000건이 유출됐다.

송경희 개인정보위원장은 11일 정부서울청사에서 연 브리핑에서 “이번 쿠팡의 유출사고는 고도의 해킹이 아닌 기본적인 안전관리 체계 미비와 관리 소홀로 인해 발생한 것으로 확인했다”고 강조했다.

개인정보위가 쿠팡에 부과한 과징금은 종전 최고액인 SK텔레콤 유심 정보 유출 사고 과징금(1347억9100만 원)의 4.6배 수준이다. 쿠팡은 “법적 절차를 통해 사실 관계가 명확하게 규명되기를 기대한다”면서 “지난해 데이터 유출 사태와 관련 2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 개인정보위원회의 결정에 충분히 반영되지 못한 점 유감스럽게 생각한다”고 밝혔다.