[일문일답] 개보위원장 "쿠팡 비회원 유출 434만명, 더 있을 개연성"

"로그 삭제로 피해규모 확인 제한…2차 피해 없어도 경각심 필요"

"한미 통상 압박 고려 안 해…집단분쟁조정 12일 재개"

(서울=연합뉴스) 이지은 기자 = 송경희 개인정보위 위원장이 11일 서울 종로구 정부서울청사에서 쿠팡 과징금 제재 관련 브리핑을 하고 있다. 개보위는 3천750만명의 개인정보를 유출하고, 법적 근거 없이 회원들의 온라인 활동기록을 무단 수집한 쿠팡에 과징금 총 6천246억원을 부과했다. 2026.6.11 jieunlee@yna.co.kr

(서울=연합뉴스) 차민지 기자 = 송경희 개인정보보호위원회 위원장은 11일 쿠팡 개인정보 유출 사건에서 비회원 정보주체 유출 규모를 최소 434만명으로 산정한 것과 관련해 "(증거를 통해) 확인할 수 있었던 규모"라며 "앱 로그 기록이 몇 개월분 삭제돼 모두 확인하기는 어려웠지만 더 있을 개연성도 상당히 높다"고 밝혔다.

앞서 개인정보위는 쿠팡 전 직원인 공격자(해커)가 회원 3천322만명과 회원이 아닌 정보주체 최소 434만명의 개인정보가 유출된 것으로 판단했다.

중복 조회했거나 회원 탈퇴 등으로 데이터베이스(DB)에 개인정보가 존재하지 않는 경우는 제외했다.

양청삼 개인정보위 사무처장은 쿠팡의 '2차 피해가 확인되지 않았다'는 주장에 대해 "현재까지 유출 정보가 실제 2차 피해에 활용됐다는 사실이 확인되지 않았을 뿐"이라며 "정보가 회수됐거나 위험이 해소된 상황이라고 보기는 어렵다"고 말했다.

다음은 송경희 개인정보위원장과 양청삼 개인정보위 사무처장, 개인정보위 설명자료 등을 토대로 정리한 일문일답.

-- 민관합동조사단이 발표한 3천367만여건과 개인정보위가 발표한 유출 규모가 다른 이유는.

▲ (개인정보위) 과기정통부 민관합동조사단은 접속기록 등을 바탕으로 '회원정보 수정 페이지' 조회 건수를 기준으로 유출 규모를 산정했다. 반면 개인정보위는 공격자가 중복 조회한 경우와 회원 탈퇴 등으로 실제 개인정보가 DB 내에 존재하지 않는 경우 등을 제외해 산정했다. 그 결과 회원 3천322만명과 회원이 아닌 정보주체 최소 434만명의 개인정보가 유출된 것으로 확인됐다.

-- '회원이 아닌 정보주체'는 누구를 의미하나.

▲ (개인정보위) 공격자가 조회한 배송지 관리 페이지에는 이름, 전화번호, 주소 등 배송지 정보가 포함돼 있었다. 개인정보위는 휴대전화번호를 기준으로 쿠팡 회원 DB와 대조해 회원을 제외하고 중복을 제거하는 방식으로 비회원 정보주체 규모를 산정했다.

-- 회원이 아닌 정보주체 규모가 '최소' 434만명이라는 의미는 무엇인가.

▲ (송경희 위원장) 증거와 기록을 통해 확인할 수 있었던 규모가 434만명이다. 앱 로그 기록이 몇 개월 치 삭제돼 사실상 모두 확인하기는 어려웠다. 다만 접속 횟수와 공격자의 협박 이메일 내용 등을 종합적으로 고려하면 더 있을 개연성도 상당히 높다고 본다.

-- 쿠팡이 이번 사안을 미국과의 외교·통상 문제와 연결하려는 움직임이 있었는데.

▲ (송경희 위원장) 위원회는 쿠팡이 개인정보보호법을 위반한 사실과 이에 대한 증거, 조사 결과에 집중해 결론을 내렸다. 국내 회사인지 해외 회사인지, 또 이를 둘러싼 다른 영향들은 고려하지 않았다.

(서울=연합뉴스) 김주형 기자 = 개인정보보호위원회가 11일 3천750만명의 개인정보를 유출하고, 법적 근거 없이 회원들의 온라인 활동기록을 무단 수집한 쿠팡에 과징금 총 6천246억원을 부과했다. 단일 개인정보 유출 사고에 내린 과징금 규모로는 역대 최대치로, 한 기업의 여러 위반행위에 부과한 과징금 규모로도 가장 많다. 사진은 이날 서울 쿠팡 본사 모습. 2026.6.11 kjhpress@yna.co.kr

-- 어떤 부분을 가장 엄중하게 봤나.

▲ (양청삼 사무처장) 쿠팡은 인증토큰 기반 권한관리시스템을 운영하면서도 이에 필요한 핵심 인증키를 적절히 관리하지 못했다. 또 쿠팡은 국내 경제활동인구 상당수가 이용하는 대형 온라인 플랫폼인 만큼 개인정보처리시스템에 대한 침입 탐지와 대응 체계가 높은 수준으로 운영될 필요가 있다. 그러나 개인정보 페이지와 일반 상품 페이지에 대한 비정상 트래픽 탐지 기준을 동일하게 설정하는 등 침입 탐지 체계가 미흡했다고 봤다.

-- 쿠팡이 제공한 5만원 상당 쿠폰 보상 프로그램은 과징금 산정 과정에서 고려됐나.

▲ (양청삼 사무처장) 심의 과정에서 고려하려면 해당 프로그램이 실제 어느 정도 이용됐는지 정확히 확인되는 것이 중요하다. 다만 심의·의결 과정에서도 관련 질의가 있었지만, 쿠팡 측이 답변하지 않아 실제 집행 규모 등은 확인되지 않은 상황이다.

-- 쿠팡은 아직 2차 피해가 발생하지 않았다고 주장한다.

▲ (양청삼 사무처장) 조사 과정에서 현재까지 쿠팡에서 유출된 정보가 실제 2차 피해에 활용됐다는 사실이 확인되지 않았을 뿐이다. 그렇다고 정보가 회수됐거나 위험이 해소된 상황이라고 판단하는 것은 아니다. 해커의 협박 메일 등을 보면 확인된 규모보다 더 많은 정보가 유출됐을 정황도 있다. 향후 다양한 사이버 범죄에 활용될 가능성이 여전히 남아 있어 경각심이 필요하다.

-- 심의 과정에서 쿠팡의 주요 주장은 무엇이었나.

▲ (개인정보위) 쿠팡은 이번 유출 사고가 전직 직원이 재직 중 정당하게 알게 된 서명키 정보를 퇴사 후 악용한 데서 비롯된 것으로, 일반적인 개인정보 유출 사고와는 다르게 봐야 한다고 주장했다. 또 법에서 요구하는 인증키 관리와 이상행위 탐지·대응 의무도 충분히 이행했다고 소명했다.

-- 집단분쟁조정 절차는 어떻게 되나.

▲ (개인정보위) 현재까지 분쟁조정 신청은 2천578명(집단 2건·1천676명, 개인 902명) 접수됐다. 조사 진행으로 절차가 일시 중지된 상태였지만 이번 처분에 따라 12일부터 절차를 재개할 예정이다. 추가 참여도 가능하다.

chacha@yna.co.kr