개보위, 쿠팡 개인정보 유출, 역대 최대 과징금 6,246억 원 부과

브리프 | 사이버 보안 

쿠팡 개인정보 유출, 역대 최대 과징금 6,246억 원 부과 출처: KBS 뉴스, 2026년 6월 28일

---

개인정보보호위원회가 쿠팡의 대규모 개인정보 유출 사건과 관련하여 역대 최고 수준인 6,246억여 원의 과징금을 부과하였습니다.

유출 규모 및 사고 원인

회원 약 3,320만 명과 비회원 433만 명 등 총 3,750만 명의 개인정보가 해커에게 유출되었습니다. 개인정보보호위원회는 이번 사고의 원인이 고도의 해킹 기술이 아니라 쿠팡의 기본적인 안전관리 미비에 있다고 판단하였습니다. 구체적으로 서명키(Signing Key)를 평문(Plain Text)으로 열람 가능하게 운영하였고, 퇴사자 서명키를 즉시 폐기하지 않았으며, 이상 트래픽(Abnormal Traffic)을 제때 인지하지 못한 점이 핵심 위반 사항으로 지적되었습니다.

통지 지연 및 정보 미파기

쿠팡은 추가 유출 사실을 인지하고도 법정 통지 기한인 72시간을 초과하여 통보함으로써 통지 의무를 위반하였습니다. 또한 탈퇴 회원의 배송지 정보 246만여 건과 계좌번호 31만여 건을 파기하지 않고 보유하였으며, 관련 웹 접속 로그를 삭제하여 조사를 방해한 것으로 판단되었습니다.

무단 수집 및 부적절한 정보 활용

타사 웹·앱에서 회원 1,117만 명의 온라인 활동 기록을 동의 없이 수집하여 데이터베이스(DB)에 저장한 사실도 확인되었습니다. 아울러 부정 광고 파트너 관리 소홀로 이른바 '납치 광고' 문제가 발생하였고, 물류센터 근무 이력이 없는 경찰 출입기자단 71명의 명단을 취업제한 목록에 등록하거나, 직원 체중 등 민감정보(Sensitive Personal Information)를 소송 과정에서 제출하는 등 처리 제한 의무를 위반하였습니다.

개인정보보호위원회 조치

개인정보보호위원회는 과징금 부과 외에도 시정명령, 공표 명령, 고발, 개선 권고 등 다수의 제재 조치를 병행하였으며, 3개월 내 개선 이행 여부를 확인할 예정입니다.

리스크 관리 시사점

이번 쿠팡 사건은 사이버 침해(Cyber Breach)의 원인이 정교한 외부 공격이 아닌 내부 보안 거버넌스(Security Governance) 부재에 있었다는 점에서 중요한 시사점을 제공합니다. 6,246억 원이라는 과징금 규모는 사이버 보험(Cyber Liability Insurance)의 보상 한도 설정 시 규제 제재금(Regulatory Fine) 및 과징금 커버리지 포함 여부를 반드시 검토해야 함을 보여줍니다. 한국 개인정보보호법상 과징금은 전체 매출액 기준으로 산정될 수 있어, 대형 플랫폼 기업일수록 잠재 노출(Exposure) 규모가 천문학적으로 커질 수 있습니다. 또한 통지 지연, 정보 미파기, 무단 수집 등 복합적 위반이 동시에 적발된 점은, 사이버 보험 가입 시 단순 해킹 대응을 넘어 규정 준수 실패(Compliance Failure)에 따른 배상책임 및 규제 대응 비용까지 포괄하는 종합적 프로그램 설계가 필요함을 시사합니다.