쿠팡 개인정보 유출 관련 민관합동조사 및 사법 처리
3줄 요약
TL;DR- 1이 국면에서는 과기정통부, 민관합동조사단 구성 및 조사 착수, 서울경찰청, 쿠팡 송파 본사 압수수색, 민관합동조사단, 3,367만 건 유출 및 자료 보전 명령 위반 결과 발표 등이 이어졌다.
- 2과학기술정보통신부의 민관합동조사단과 서울경찰청, 개인정보보호위원회가 쿠팡의 대규모 정보 유출 사고에 대해 전방위적 조사를 실시했다.
- 3조사 과정에서 쿠팡의 신고 지연과 자료 보전 명령 위반 정황이 드러나 과태료 부과 및 형사 처벌 절차가 진행되었다.
사건 내용
쿠팡의 대규모 개인정보 유출 사고 이후 정부 기관들은 유출 경로 파악과 책임 소재 규명을 위해 강제 수사와 행정 조사를 병행했다. 과학기술정보통신부는 민간 전문가 및 한국인터넷진흥원(KISA)과 함께 민관합동조사단을 구성해 사고 원인을 분석했으며, 서울경찰청 사이버수사과는 유출 경위 추적을 위해 쿠팡 본사에 대해 닷새 연속 압수수색을 집행했다.
조사 결과, 쿠팡 전직 중국인 개발자가 퇴사 후에도 보유하고 있던 서명키를 이용해 전자출입증을 위·변조하여 시스템에 침입한 사실이 밝혀졌다. 공격자는 지난해 4월부터 11월까지 매크로를 통해 이름, 이메일, 주소, 공동현관 비밀번호 등 약 3,367만 건의 정보를 탈취했다. 정부는 쿠팡이 사고 인지 후 24시간 내에 신고하지 않은 점에 대해 과태료를 부과하기로 했으며, 특히 과학기술정보통신부의 자료 보전 명령을 이행하지 않아 접속 기록이 삭제된 점은 정보통신망법 위반 혐의로 수사기관에 인계해 형사 처벌 가능성을 검토하고 있다.
정부는 유출 규모를 3,367만 건으로 확정했으며, 내부 관리 소홀과 수사 방해 가능성에 대해 엄중한 법적 책임을 묻는 방향으로 조사를 마무리했다.
쿠팡의 자체 보상(5만 원 쿠폰)이 충분한 배상인가?
사실관계와 책임 범위를 둘러싼 쟁점입니다.
쿠팡은 개인정보가 유출된 직후 5만원 상당의 쿠폰을 제공했으며, 이는 유출된 정보에 대한 추가 위험이 없다는 자체 입장을 근거로 신속히 고객에게 실질적인 혜택을 돌려주는 조치라고 주장한다. 쿠폰은 실제 쇼핑에 사용할 수 있어 금전적 손해를 일정 부분 보전하는 효과가 있으며, 과징금 및 조정권고와는 별개의 자발적 구제 방안이라며 추가 배상이 불필요하다고 입증한다.
쿠팡은 개인정보가 유출된 직후 5만원 상당의 쿠폰을 제공했으며, 이는 유출된 정보에 대한 추가 위험이 없다는 자체 입장을 근거로 신속히 고객에게 실질적인 혜택을 돌려주는 조치라고 주장한다. 쿠폰은 실제 쇼핑에 사용할 수 있어 금전적 손해를 일정 부분 보전하는 효과가 있으며, 과징금 및 조정권고와는 별개의 자발적 구제 방안이라며 추가 배상이 불필요하다고 입증한다.
소비자분쟁조정위원회는 쿠팡의 5만원 쿠폰이 피해자에게 충분한 배상이 아니라고 판단해 1인당 현금·쿠팡캐시 10만원을 지급하도록 결정했다. 이는 이름·이메일·주소·공동현관 비밀번호·주문내역 등 민감 정보가 대규모로 유출돼 정신적 고통을 초래했으며, 기존 대형 개인정보 유출 사건에서 법원이 인정한 위자료 수준(10만원 안팎)과 악용 가능성을 종합해 정한 금액이다. 따라서 쿠팡이 제시한 5만원 쿠폰은 피해의 실질적 규모와 정신적 손해를 감안할 때 부족하다는 것이 위원회와 피해자들의 입장이다.
소비자분쟁조정위원회는 쿠팡의 5만원 쿠폰이 피해자에게 충분한 배상이 아니라고 판단해 1인당 현금·쿠팡캐시 10만원을 지급하도록 결정했다. 이는 이름·이메일·주소·공동현관 비밀번호·주문내역 등 민감 정보가 대규모로 유출돼 정신적 고통을 초래했으며, 기존 대형 개인정보 유출 사건에서 법원이 인정한 위자료 수준(10만원 안팎)과 악용 가능성을 종합해 정한 금액이다. 따라서 쿠팡이 제시한 5만원 쿠폰은 피해의 실질적 규모와 정신적 손해를 감안할 때 부족하다는 것이 위원회와 피해자들의 입장이다.
이 국면의 다른 쟁점 1개 보기
쿠팡의 1.7조 원 규모 구매이용권 보상안은 적절한 손해배상인가?
개인정보 유출 피해자에 대한 보상 방식을 현금이 아닌 자사 서비스 이용권으로 제공한 것이 법적·실질적으로 적절한 손해배상인지에 대한 쟁점입니다.
쿠팡의 초기 유출 규모 축소 보고(4,500건 → 3,370만 건)에 고의성이 있는가?
사고 초기 신고된 유출 규모와 정부 조사 결과의 극심한 차이로 인해, 쿠팡이 의도적으로 피해 규모를 숨겼는지에 대한 책임 공방이 벌어지고 있습니다.
유출 규모 산정 과정에서 분석 기준의 차이가 있었으며, 고의적 은폐가 아니라는 입장입니다.
자체 포렌식 결과를 통해 소량의 정보만 저장되었다가 삭제되었다고 주장했으며, 일부 항목의 경우 자체 분석 수치가 정부 조사 결과에 충분히 반영되지 않았다고 설명합니다.
쿠팡이 유출 규모를 축소 발표하고 셀프 조사를 통해 상황을 모면하려 했다는 비판입니다.
쿠팡은 초기에 4,536개 계정 유출만 신고했으나, 정부 현장 조사 결과 3,000만 건 이상의 유출 정황이 포착되었고, 최종적으로 3,367만 건의 유출이 공식 확인되었습니다.