"쿠팡 정보 2차 피해 확인 안 됐을 뿐…범죄 악용 가능성 있다"[일문일답]

3755만여명 개인정보 유출 확인…정부 "2차 피해 확인 안 됐을 뿐, 회수된 것 아냐"

쿠팡·CFS에 과징금 6249억2900만원…유출·활동기록 무단 수집 등 법 위반

개인정보위 "관련 없는 매출 제외해 산정…조사 방해·피해 규모 등 종합 고려"

[서울=뉴시스] 조성우 기자 = 개인정보보호위원회가 3750만명의 개인정보 유출 사고를 낸 쿠팡에 과징금 총 6246억 8100억 원을 부과하기로 11일 의결했다. 사진은 이날 서울 송파구에 있는 쿠팡 본사 모습. 2026.06.11. [email protected]

[서울=뉴시스]윤정민 이주영 기자 = 정부 조사 결과 쿠팡 개인정보 유출 사고로 회원·비회원 3755만여명의 개인정보가 유출된 것으로 확인됐다. 국내 인구 10명 중 7명에 맞먹는 규모의 이름, 이메일 주소, 전화번호, 주소 등 주요 정보가 외부로 빠져나간 셈이다.

현재까지 쿠팡 유출 사고로 발생한 2차 피해는 확인되지 않았다. 하지만 유출 정보가 완벽히 회수된 것은 아닌 만큼 정부는 피싱·스미싱 등 사이버범죄 악용 가능성에 경각심을 가져야 한다고 강조했다.

양청삼 개인정보보호위원회 사무처장은 11일 오전 정부서울청사에서 열린 쿠팡 개인정보 보호법 위반 제재 브리핑에서 "현재까지 쿠팡에서 유출된 정보가 2차 피해에 활용됐다는 사실이 확인되지 않았을 뿐"이라며 "정보가 완전히 회수됐다고 판단하는 것은 아니다"라고 밝혔다.

양 사무처장은 "해커 협박 메일을 보면 발표된 유출 규모보다 훨씬 큰 규모로 정보가 유출된 정황이 있다"며 "추후 여러 사이버범죄에 활용될 가능성이 여전히 남아 있다"고 강조했다.

[서울=뉴시스] 정부가 개인정보 유출 사고를 낸 쿠팡에 역대 최대 과징금을 부과했다. 조사 결과 회원 3322만명과 비회원 최소 433만명의 개인정보가 유출된 것으로 확인됐다. 추가된 피해자는 비회원들로 쿠팡 회원이 배송지 목록에 등록해 둔 가족이나 지인의 이름, 전화번호, 주소다. (그래픽=안지혜 기자)  [email protected]

개인정보위는 전날 제11회 전체회의를 열고 개인정보 보호법을 위반한 쿠팡과 쿠팡풀필먼트서비스(CFS)에 총 6249억2900만원의 과징금을 부과하기로 의결했다. 쿠팡과 CFS의 법 위반은 개인정보 유출, 타사 온라인 활동기록 무단 수집, 경찰청 출입기자단 개인정보 무단 수집 등이다.

송경희 개인정보위 위원장은 과징금 산정 기준과 관련해 "쿠팡 유출 사고의 경우 사고 발생 직전 3개년도 평균 매출 약 30조원을 기준으로 봤다"고 설명했다.

다만 이 금액 전체가 과징금 산정 대상이 된 것은 아니다. 송 위원장은 "위반 행위와 직·간접적 연관이 없는 매출, 예를 들어 쿠팡플레이, 쿠팡이츠 등 금액은 제외했다"고 말했다.

이와 함께 위반행위의 중대성, 피해 규모, 위반 기간, 조사 협조 여부, 피해 회복 노력 등을 종합적으로 고려해 최종 과징금을 산정했다고 설명했다.

송 위원장은 "이번 처분이 국민 생활과 밀접한 온라인 플랫폼 전반의 보안 투자 확대와 내부 통제 강화를 유도하는 계기가 되길 바란다"고 밝혔다.

[서울=뉴시스] 조수정 기자 = 송경희 개인정보보호위원회 위원장이 11일 오전 서울 종로구 정부서울청사에서 쿠팡 개인정보 유출 및 침해 제재처분 의결을 발표하고 있다. 개인정보보호위원회는 쿠팡의 안전조치 의무 위반 및 법적 근거 없는 개인정보 수집등에 대해 과징금 6246억 8100만원과 과태료 1680만원 부과와 함께 시정명령, 공표 및 공표명령 등을 위원회 전체회의에서 의결했다. 2026.06.11. [email protected]

다음은 송경희 개인정보위원장, 양청삼 사무처장과의 주요 일문일답이다.

-과징금 산정 기준이 된 매출은 어떻게 계산했나.

"(송경희 위원장, 이하 '송') 유출의 경우 3개년 평균 매출 약 30조원으로 보고 계산했다. 다만 이 금액 전체를 기준으로 한 것은 아니다. 위반행위와 직·간접적 연관이 없는 독립적 매출, 예를 들어 쿠팡플레이, 쿠팡이츠 등의 매출은 제외했다."

-과징금이 역대 최대 규모다. 어떤 부분을 가장 엄중하게 봤나.

"(양청삼 사무처장, 이하 '양') 개인정보위는 쿠팡이 대체 인증 시스템의 마스터키 관리와 접근권한 통제에 실패한 데다, 개인정보 페이지의 비정상 트래픽을 제대로 탐지하지 못한 점을 중대한 안전조치 의무 위반으로 판단했다. 특히 경제활동인구 대부분이 이용하는 대형 플랫폼이라는 점에서 더 높은 수준의 보안통제가 요구됐다고 봤다."

-과거 SKT, 구글·메타 처분과 비교해 쿠팡 과징금이 큰 이유는 무엇인가.

"(양) 개별 사건마다 성격과 위반행위, 적용 법조가 달라 단순 비교는 어렵다. 다만 쿠팡은 유출 규모가 3700만여명 수준이고 회원 규모가 우리나라 경제활동인구 전체를 포괄한다. 배송지 주소만 해도 공격자 주장에 따르면 1억2000만개가 관리되는 등 국민 일상생활과 밀접한 온라인 플랫폼이라는 점을 고려했다. 국내외 사업자를 차별하지 않고 법과 원칙에 따라 처분했다."

-유출된 비회원 수가 최소 433만명이라고 했는데 유출 규모가 더 커질 가능성이 있나.

"(송) 433만명은 확인할 수 있었던 규모다. 앱 로그 기록 몇개월분이 삭제돼 전체 확인이 어려웠다. 기록상 증거로 확인할 수 있었던 규모가 433만명이다."

-경찰청 출입기자 71명의 개인정보는 쿠팡이 자체 수집한 것인가, 경찰청 등 제3자로부터 제공받은 것인가.

"(송) CFS가 제3자로부터 받아 수집한 것이다."

"(관계자) 제3자가 누구인지에 대한 구체적인 내용은 수사 영역이라 확인이 어렵다."

-쿠팡이 불복 소송을 제기할 가능성이 있다. 어떻게 대응할 계획인가.

"(송) 소송이 제기된다면 적극적으로 대응하겠다. 이번 처분은 법과 원칙에 근거해 면밀한 검토와 충분한 숙고 끝에 내려진 타당한 처분이라고 생각한다."

-쿠팡은 2차 피해가 발생하지 않았다는 점을 강조한다. 이 부분은 어떻게 봤나.

"(양) 현재까지 쿠팡에서 유출된 정보가 2차 피해에 활용됐다는 사실이 확인되지 않았을 뿐이다. 정보가 완전히 회수됐다고 판단하는 것은 아니다. 해커 협박 메일을 보면 발표된 유출 규모보다 훨씬 큰 규모로 정보가 유출된 정황이 있다. 추후 여러 사이버 범죄에 활용될 가능성이 남아 있어 경각심이 필요하다."

[서울=뉴시스] 쿠팡이 개인정보 유출 사고에 대한 보상으로 1인당 5만원 규모의 구매 이용권을 15일 오전 10시부터 순차 지급하고 있다. 사진은 1인당 5만원 규모로 지급되는 ▲로켓배송 등 쿠팡 모든 상품(5000원) ▲쿠팡트래블 상품(2만원) ▲알럭스 상품(2만원) ▲쿠팡이츠(5000원) 등 쿠폰을 내려받은 애플리케이션(앱) 화면. (사진=앱 화면 갈무리) 2026.01.15. [email protected]

-쿠팡의 5만원 쿠폰팩 등 보상 프로그램이 과징금 감경 사유로 얼마나 적용됐나.

"(양) 보상 프로그램을 정확히 고려하려면 실제 이용자에게 어느 정도 집행됐는지 확인돼야 한다. 심의 과정에서 위원 질의가 있었지만 쿠팡이 답변하지 않아 정확한 집행 규모는 확인되지 않았다. 다만 종합적인 가중·감경 판단에는 일부 고려됐다."

-이번 제재를 미국과의 외교 문제로 연결 지으려는 움직임도 있었다. 회의에서 관련 논의가 있었나.

"(송) 쿠팡이 개인정보 보호법을 위반한 사실과 증거, 조사 결과에 집중해 결론을 내렸다. 국내 회사냐 해외 회사냐, 이를 둘러싼 다른 영향은 고려하지 않았다."

-과징금을 피해자 지원에 쓰는 방안이 있나.

"(양) 중요한 정책적 관심사 중 하나다. 정부 차원에서 추진 중인 기금이 있다. 신고와 포상을 장려하는 기금을 기획하고 있는데 개인정보위도 참여해 정보주체 피해 지원 사업에 활용하는 방안을 검토 중이다. 그 외에도 정보주체 권리 보호를 위한 정책 기능을 강화할 필요가 있다고 보고 관련 사업과 업무 추진체계를 정비해 나가려 한다."


◎공감언론 뉴시스 [email protected], [email protected]