5개월간 정보유출 몰랐던 쿠팡, 퇴사한 중국인 직원 범인 지목

25일 고소… 서울경찰청 수사 착수
유출 계정 3370만 개로 대폭 확대
올해 6월부터 내부 직원 유출 추정
사고 전후 안전조치 여부 쟁점 전망

고객 3,370만 명의 개인정보 유출 사고가 일어난 서울 송파구 쿠팡 본사 앞 교통신호기에 30일 빨간불이 켜져 있다. 강예진 기자

쿠팡의 개인정보 유출 피해 규모가 3,000만 명 이상으로 커지고 유출 시점이 드러나면서 안전조치가 제대로 이뤄졌는지 개인정보보호위원회가 조사를 시작했다. SK텔레콤 개인정보 유출 사고(약 2,324만 명)보다도 규모가 커 과징금 등 제재 강도도 '역대급'이 될 전망이다.

개인정보위는 전날 쿠팡의 대규모 개인정보 유출 사고에 대해 대응 방향을 발표하고 30일 대책 실행에 착수했다. 이미 쿠팡으로부터 1차(11월 20일)와 2차(11월 29일) 유출 신고를 접수해 지난 21일부터 조사 중인데, 개인정보 유출 피해 규모가 급증해서다.

지난 20일 최초 신고 당시 쿠팡은 개인정보위에 4,536개 계정의 고객명, 연락처, 주소, 이메일, 일부 주문 정보 등의 정보가 유출된 것으로 신고했지만 3,370만 개로 피해 범위가 크게 확대됐다. 쿠팡이 올해 3분기 실적 발표 때 공개한 프로덕트 커머스 부분 활성고객(구매 이력이 있는 고객) 2,470만 명보다 많아 사실상 전 고객의 정보가 유출된 것으로 보인다.

지난 25일 쿠팡은 내부 직원이 해외 서버를 통해 고객 정보를 유출했다며 경찰에 고소, 서울경찰청 사이버수사대가 수사에 착수했다. 해당 직원은 중국 국적자이고 현재는 쿠팡에서 퇴사해 한국을 떠난 것으로 전해졌다.

개인정보위는 국민 대부분의 개인정보가 빠져나간 만큼 신속한 조사를 통해 안전조치의무 위반 내용이 확인되면 엄정 제재를 내릴 방침이다. 앞서 개인정보위는 지난 8월 쿠팡의 유출 규모보다 적은 SK텔레콤의 개인정보 유출 사고에 역대 최대 과징금(1,348억 원)을 부과했다.

개인정보보호법상 개인정보 유출 시 과징금 상한은 전체 매출액의 3%인데, 쿠팡의 연간 매출액은 SK텔레콤 무선 사업 매출(약 12조 원)의 세 배가 넘는다. 특히 쿠팡의 최초 유출 시점은 지난 6월 24일로 확인돼 약 5개월 동안 어떤 조치가 이뤄졌는지도 관건이다. 개인정보 유출을 인지하고도 신고 지연 등 대처가 미흡했다면 과징금 가중 사유로 작용하게 된다.

이재명 기자 nowlight@hankookilbo.com