30일 서울 송파구에 위치한 쿠팡 본사의 모습. 국내 최대 이커머스 업체 쿠팡에서 3370만 개의 고객 계정 정보가 유출된 사건 발생했다. 서울경찰청 사이버수사대는 지난 25일 쿠팡 측으로부터 이번 개인정보 유출 사고와 관련한 고소장을 접수해 수사를 진행하고 있다. /사진=뉴스1


국내 1위 이커머스 업체인 쿠팡에서 대규모 개인정보 유출 사고가 발생했다. 쿠팡 개인정보 유출 피해 규모는 3370만여개 계정이다. 사실상 쿠팡 이용자 대부분은 물론, 전 국민의 65%가 피해를 본 것으로 추정된다. SK텔레콤을 넘어 역대 최대 과징금 처분이 나올지 업계 바다이야기게임2 의 관심이 커진다.
30일 과학기술정보통신부와 개인정보보호위원회는 전날 쿠팡 개인정보 유출 피해가 대폭 확대됨에 따라 이날부터 신속하게 민관합동조사단을 구성해 사고 원인 분석에 착수했다고 밝혔다. 쿠팡은 지난 19일 최초 신고 당시 4536개의 고객명, 이메일, 주소 등의 정보가 유출됐다고 했지만 조사 과정에서 추가 피해자가 확대됐다. 릴게임모바일 현재까지 3370만개 계정에서 개인정보가 유출된 것으로 파악되고 있다.
유료 멤버십인 쿠팡 와우 회원의 경우 가족들이 한 계정을 공유하는 경우가 많아 계정이 아닌, 피해자 숫자는 더 증가할 가능성이 있다. 모바일인덱스에 따르면 쿠팡 모바일 앱 MAU(활성이용자수)는 지난 10월 기준 3438만544명으로 집계된다.
앞 사아다쿨 서 전 국민을 놀래킨 SK텔레콤 해킹 사건 피해자(2300만명)보다 1000만명 가량이 많다. 대한민국 전체 인구수(2022년 기준, 5167만명)의 65%가 넘는다.




━
개인정보법 개정…쿠팡, 최대 1조 과징금 부과받을까
알라딘릴게임
━



2023년 개정된 개인정보 보호법에 따르면 법 위반 시, 전체 매출액의 3%까지 과징금을 매길 수 있다. 2024회계연도 연결 감사보고서에 따르면 쿠팡의 지난해 연결 매출액은 38조2988억원이다. 여기서 이번 개인정보 유출 사고와 관 바다이야기온라인 련 없는 사업 매출을 제외한 금액이 과징금 산정 기준이 된다.

쿠팡의 경우 대만 등 해외 사업 부문이 있지만 비중이 10% 안팎으로 적다. 올해 3분기 기준 대만·파페치·쿠팡플레이·쿠팡이츠 등 성장사업(Developing Offerings) 부문 매출은 1조7839억원으로, 같은 기간 전체 매출(12조8000억원)의 14%를 차지한다. 이중 쿠팡플레이와 쿠팡이츠 등은 쿠팡 와우 멤버십 회원이면 무료로 이용할 수 있어 이번 개인정보 유출 피해를 겪었을 것으로 예상된다. 이를 제외한 순수 대만 사업 매출을 전체의 10% 수준으로 가정할 때 과징금 산정 기준 매출은 약 34조4700억원이 된다. 여기에 3%를 대입하면, 최대 과징금이 1조340억원에 달할 수 있다는 계산이 나온다.



송경희 개인정보보호위원회 위원장/사진=뉴시스


개인정보위는 개인정보 유출 사고와 관련된 매출에 감경 요소를 더해 최종 과징금을 산출한다. 앞서 SKT는 과징금 규모가 최대 3700억원에 달할 것으로 추산됐지만, 실제로는 1347억9100만원을 부과받았다.
SKT는 △사고의 직접적 원인이 다수의 안전조치의무 위반이라는 점 △가입자 인증에 필요한 핵심 정보(유심 인증키 등)가 유출된 점 △약 2300만명의 대규모 개인정보가 유출된 점 등이 '매우 중대한 위반행위'로 판단해 과징금 가중요소로 작용했다. 반면 △외부 해킹 공격이라는 점 △위반행위를 시정했다는 점 △유심보호서비스 등 피해 회복을 위해 노력했다는 점은 감경 요소로 작용했다.




━
SKT보다 피해 규모 1000만명 더 많아…해킹 아닌 내부 직원 소행

━


쿠팡의 경우 SKT와 달리 이번 사고 원인이 외부 공격이 아닌, 내부 직원의 소행으로 드러난 만큼 매우 중대한 법 위반행위로 판단될 것으로 보인다. 해당 직원이 퇴사한 상태라곤 하지만 개인정보 유출의 중대한 책임이 쿠팡에 있다.

또 실제 유출 사고가 발생한 지 5개월이 지나서야 인지했다는 점 역시 가중 요소로 판단된다. 쿠팡은 자체 조사 결과 6월24일부터 해외 서버를 통한 장기간의 비정상적 접근이 있었던 것으로 추정했지만 유출 사실은 이달 18일에야 알았고 신고는 다음 날인 19일에 이뤄졌다.
쿠팡 측은 유출된 개인정보는 이름, 이메일 주소, 배송지 주소록, 일부 주문 정보 등으로, 결제 정보나 신용카드 번호, 로그인 정보는 포함되지 않았다고 했다. 그러나 5개월간의 공백 기간이 있어 해당 기간 추가 정보 유출 가능성을 배제하기 어렵다. 게다가 SKT와 달리, 이번 유출 정보는 개인 이름과 연락처, 주소까지 특정되는 명백한 개인정보다.
한편 쿠팡은 이번 사고와 관련해 독립적인 리딩 보안기업 전문가를 영입해 내부 모니터링을 강화했다고 밝혔다. 또 전 고객 대상으로 이날 사과 문자를 발송했다.
김소연 기자 nicksy@mt.co.kr 기자 admin@no1reelsite.com