쿠팡 6천246억 과징금, 감경 주장과 검증의 공백

쿠팡 6천246억 과징금, 감경 주장과 검증의 공백

역대 최대 개인정보 유출, '2차 피해 차단' 주장은 입증 부족

개인정보보호위원회가 6월 11일 쿠팡에 내린 과징금 총 6천246억원은 단일 개인정보 유출 사고로는 사상 최대 규모입니다. 3천750만명의 개인정보가 유출되고 법적 근거 없이 고객들의 온라인 활동기록이 무단 수집된 사건에 대한 결정인데, 과징금 규모만큼이나 그것을 둘러싼 입장 차이가 선명하게 드러났습니다.

쿠팡이 과징금 감경을 요구하며 내세운 핵심 논리는 "유출된 정보가 회수·삭제돼 2차 피해가 차단된 최초의 사안"이라는 주장이었습니다. 공격자를 특정해 기기를 회수하고 개인정보를 삭제했으며, 제3자에게 정보가 제공된 정황이나 실제 2차 피해도 확인되지 않았다는 것인데요. 또한 전직 직원이 재직 당시 부여받은 접근권한을 악용한 사건이라며 "일반적인 외부 해킹보다 사전에 막기 어려웠다"고 강조했습니다.

추가로 유출 통지를 받은 3천370만명에게 지급한 1인당 5만원어치 구매이용권을 1조6천930억원 규모의 피해보상이라고 표현하며, "기존 사례 대비 3배 이상"이라고 강조했습니다. 이를 감경의 주요 사유로 제시했습니다.

그러나 조사에 참여한 한국인터넷진흥원(KISA)의 평가는 달랐습니다. KISA는 드라이브가 이미 포맷돼 남아 있는 정보가 거의 없었다며 "쿠팡이 공격자가 저장했다고 주장하는 3천건에 대한 증적자료를 제출했으면 추가로 확인할 수 있었을 텐데 관련 정보를 단 하나도 받지 못했다"고 지적했습니다. 또한 "해커가 정보를 어딘가에 옮기고 보낸 흔적은 확인된 바 없다"면서도 "외부 클라우드나 다른 외장공간으로 옮겼을 가능성을 배제할 수 없고, 지금 당장 2차 피해가 없더라도 오랜 시간이 지난 후 활용할 수 있다"고 밝혔습니다.

전직 직원 악용이라는 쿠팡의 주장에 대해서도 위원회 내부의 판단은 달랐습니다. 송경희 개인정보보호위원장은 퇴사자인 공격자를 두고 "실제로 떠난 사람이다. 그러면 외부인이 되는 것이고 해커"라며 "권한 있는 자라는 표현을 자꾸 쓰는 것을 보면 쿠팡이 제대로 문제 인식을 못 하고 있다"고 반박했습니다.

피해보상의 실효성도 검증 과정에서 도마에 올랐습니다. 박상희 위원은 쿠팡이 위원회 요청에도 쿠폰 실사용 내역을 제출하지 않은 점을 지적하며 "쿠팡에 불리하기 때문에 안 낸다고 생각한다"고 언급했습니다. 특히 "트래블이나 명품몰에서 2만원을 쓰려면 10배 이상의 돈을 써야 할 것 같은데 이것을 보상책이라고 할 수 있느냐"고 질문했습니다.

개인정보위는 결국 쿠팡의 인증키 유출에 취약한 시스템 설계, 침입 탐지·차단 실패, 약 3천700만명 개인정보 유출로 인한 심각한 사회적 혼란을 근거로 이번 사고를 '중대한 위반'으로 판단했습니다. 과징금 산정 과정에서 위반 기간 1년 초과 2년 미만인 점에 25%, 최근 3년간 과징금 처분 2회 이상 받은 점에 30%를 각각 가중했고, 반면 위반행위로 취득한 이익이 없다는 점에는 30%를 감경했습니다. 이어 조사방해 행위에 10%를 가중한 한편, 시정 완료와 피해보상, 개인정보 보호 노력 등을 고려해 총 50%를 감경했습니다.

현재로서 위원회의 판단은 확정된 상태입니다. 향후 관전 포인트는 쿠팡이 약속한 개인정보 보호 노력이 실제로 이루어지는지, 그리고 제공한 피해보상이 고객들에게 제대로 도달하고 활용되는지입니다.