개인정보보호위원회
심의ㆍ의결
제2026-011-075호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 6월 10일
요지
안건번호 : 제2026-011-075호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 쿠팡 주식회사(사업자등록번호 : )대표자
의결연월일 : 2026. 6. 10.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 쿠팡 주식회사(사업자등록번호 : )대표자
의결연월일 : 2026. 6. 10.
주문
1. 피심인에 대하여 다음과 같이 과징금과 과태료를 부과한다.
가. 과 징 금 : 423,575,000,000원
나. 과 태 료 : 16,800,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 명령한다.
가. 인증체계 전반에 대하여 키 관리ㆍ통제 체계를 점검하고, 추후 인증 시스템 개선 또는 신규 인증 서비스 도입 시 유사한 사고가 재발하지 않도록 개인정보 보호 요소를 고려하여 설계ㆍ운영할 것
나. 개인정보 유출이 발생할 수 있는 주요 경로를 식별하고, 모니터링 강화 및 주기적 점검 등을 통해 침해사고 발생시 신속히 탐지ㆍ대응할 수 있는 기술적ㆍ관리적 안전조치를 강화할 것
다. 정보주체의 2차 피해 예방을 위해 유출된 배송지에 포함된 '회원이 아닌 정보주체’에게 유출 통지를 실시할 것
라. 개인정보 파기 정책을 점검하고, 적절한 파기 정책에 따라 실제 파기 절차가 이행되고 있는지 점검 및 조치할 것
마. 회사 전반의 개인정보 처리 업무를 포함하여 개인정보 유출사고 발생시 관련 정보에 대한 접근을 보장하는 등 개인정보 보호책임자가 독립적으로 업무를 수행할 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
바. 피심인은 가.부터 마.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행 결과를 제출할 것
3. 피심인의 법 위반 내용 및 처분 결과를 개인정보위 홈페이지에 1년간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인 홈페이지에 공표하도록 명령한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 1개월 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
5. 피심인에 대해 다음과 같이 개선을 권고한다.
가. 피심인은 탈퇴회원의 개인정보 보관기간ㆍ항목에 대한 적절성을 검토(분리보관 포함)하여 탈퇴회원의 개인정보가 목적에 필요한 범위 내에서 최소한으로 보관ㆍ관리되도록 할 것
나. 피심인은 개인정보 처리ㆍ관리 방식이 변경되는 경우, 개인정보 처리방침을 실제 개인정보 처리 방식에 부합하도록 적시에 현행화하고, 공개할 것
다. 피심인은 가., 나.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 제출할 것
6. 피심인의 개인정보 보호법 제63조제2항 위반에 대해 피심인을 수사기관에 고발한다.
가. 과 징 금 : 423,575,000,000원
나. 과 태 료 : 16,800,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 명령한다.
가. 인증체계 전반에 대하여 키 관리ㆍ통제 체계를 점검하고, 추후 인증 시스템 개선 또는 신규 인증 서비스 도입 시 유사한 사고가 재발하지 않도록 개인정보 보호 요소를 고려하여 설계ㆍ운영할 것
나. 개인정보 유출이 발생할 수 있는 주요 경로를 식별하고, 모니터링 강화 및 주기적 점검 등을 통해 침해사고 발생시 신속히 탐지ㆍ대응할 수 있는 기술적ㆍ관리적 안전조치를 강화할 것
다. 정보주체의 2차 피해 예방을 위해 유출된 배송지에 포함된 '회원이 아닌 정보주체’에게 유출 통지를 실시할 것
라. 개인정보 파기 정책을 점검하고, 적절한 파기 정책에 따라 실제 파기 절차가 이행되고 있는지 점검 및 조치할 것
마. 회사 전반의 개인정보 처리 업무를 포함하여 개인정보 유출사고 발생시 관련 정보에 대한 접근을 보장하는 등 개인정보 보호책임자가 독립적으로 업무를 수행할 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
바. 피심인은 가.부터 마.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행 결과를 제출할 것
3. 피심인의 법 위반 내용 및 처분 결과를 개인정보위 홈페이지에 1년간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인 홈페이지에 공표하도록 명령한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 1개월 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
5. 피심인에 대해 다음과 같이 개선을 권고한다.
가. 피심인은 탈퇴회원의 개인정보 보관기간ㆍ항목에 대한 적절성을 검토(분리보관 포함)하여 탈퇴회원의 개인정보가 목적에 필요한 범위 내에서 최소한으로 보관ㆍ관리되도록 할 것
나. 피심인은 개인정보 처리ㆍ관리 방식이 변경되는 경우, 개인정보 처리방침을 실제 개인정보 처리 방식에 부합하도록 적시에 현행화하고, 공개할 것
다. 피심인은 가., 나.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 제출할 것
6. 피심인의 개인정보 보호법 제63조제2항 위반에 대해 피심인을 수사기관에 고발한다.
이유
Ⅰ. 기초 사실
피심인은 전자상거래 서비스 등을 제공하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)에 따른 개인정보처리자에 해당하며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169624245" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 신원 미상의 자 (이하 '해커’)로부터 협박메일을 수신하여 개인정보 유출 사실을 인지한 후, 유출 신고('25. 11. 20.)해옴에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('25. 11. 21. ~ '26. 4. 2.) 하였으며, 다음과 같은 사실을 확인하였다.
2. 피심인 현황
가. 개인정보 수집 현황
피심인은 쿠팡 서비스를 제공하면서 ’25. 11. 30. 기준, 다음과 같이 이용자의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169624307" alt="2번째 이미지"></img>
나. 사건 당시 인증 시스템 및 탈퇴회원 관리 현황
1) 토큰 기반 인증 시스템
피심인은 이용자가 ID/PW 등을 통해 로그인한 이후, 별도 재인증 절차 없이 서비스를 이용할 수 있도록, 전자적 인증수단인 인증토큰을 발급하는 인증체계를 운영하였고,
토큰 발급이 실패하는 경우(서비스 장애 등) 백업 인증 목적으로 기존 토큰 기반의 일반 인증 외 대체 인증 서비스(Fallback authentication service)를 개발ㆍ운영('24. 4월)하였다.
2) 탈퇴회원 관리 현황
피심인은 회원DB, 주문DB의 경우 탈퇴 후 90일을 기준으로 분리보관하여 관리하고, 주소DB의 경우 탈퇴 즉시 파기를 원칙으로 관리하고 있고, 구체적인 보관ㆍ관리 현황은 아래와 같다.
① 회원DB의 경우, 정보주체 동의 하에 원활한 민원 상담 등을 목적으로 탈퇴 시 즉시 분리보관하지 않고, 유효회원과 동일 DB에서 90일까지 전체 정보를 보관(탈퇴 직후, 상태값만 '탈퇴’로 변경)하고,
탈퇴 후 90일 경과 시, 회원가입 이후 상품주문, 대금결제, 민원제기 등 내역의 유무와 상관없이 모든 회원 대상으로 탈퇴 후 5년까지 일부 개인정보(이름, 이메일, 휴대전화번호, 생년월일)를 보관하고 있다.
② 주문DB의 경우, 탈퇴 후 90일까지 동일 DB에서 전체 정보를 보관하며, 90일 경과 시 분리보관하고, 5년 후 전체 파기를 원칙으로 한다.
③ 주소DB의 경우, 탈퇴 시 회원이 등록한 모든 배송지 정보를 즉시 파기하는 것을 원칙으로 관리한다.
다. 개인정보 유출 관련 사실관계
1) 악성프로그램 감염 및 개인정보 유출 경위
해커는 대체 인증을 직접 개발('24.4월)한 자로, 미상의 방법해커는 평문 대체 인증 서명키를 종이에 적어 유출했다고 피심인측에 진술함으로 대체 인증 서명키(Fallback Private Signature Key)를 획득하고, 회원정보 수정 페이지, 배송지 목록 페이지, 주문 목록 페이지 등을 조회하여 개인정보를 유출하였다.('25.1월~11월)
’25. 1. 25., 해커 본인 포함 총 95개 계정에 대해, 대체 인증 서명키(Fallback Private Signature Key)와 회원식별번호( )로 생성한 인증토큰으로, 회원정보 수정 페이지(101회) 및 배송지 관리 페이지(141회) 대상 유출 테스트를 수행하였다.
’25. 4. 14. ~ 6. 25., 회원 식별번호를 순차적으로 증가*시키며 다수의 위조 인증토큰을 생성하였고, 배송지 관리 페이지에 접속(약 1억4,800만회)하여 유효한 회원 식별번호 확보 및 배송지 정보를 유출하였다.
* 해커가 값을 2부터 164,654,508까지 순차적으로 증가시킨 값을 사용하여 인증토큰 111,384,526개를 생성하였고, ’25.6.3. 이전 로그가 삭제된 것을 고려할 때, 실제 생성된 인증토큰은 더 많을 수 있음
'25. 6. 24. ~ 10. 12., 앞서 확보한 유효한 회원 식별번호를 이용하여 회원정보 수정 페이지에 접근(34,966,812회)하여 개인정보(이름, 이메일)를 유출하였고,
’25. 9. 26. ~ 11. 8., 배송지 수정 페이지 및 주문 목록 페이지에 각각 50,474회, 85,213회 접근하여 주소, 공동현관 비밀번호, 주문정보 등을 유출하였다.
’25. 11. 9. ~ 11. 17. 해커는 '@coupang.com’ 이메일 계정을 사용하는 회원을 대상으로 개인정보가 유출될 위험에 있다는 내용의 메일 2,959개를 발송(개별 회원 및 쿠팡 직원 포함)하였고,
<img src="/LSW/flDownload.do?flSeq=169624315" alt="3번째 이미지"></img>
'25. 11. 25., 해커는 앞서 회원정보 수정 페이지, 배송지 관리 페이지, 주문목록 페이지에서 유출한 정보를 조합하여 회원별로 재구성한 샘플 데이터(266명)를 포함한 협박 메일*을 발송하면서, 관련 취약점 조치를 하지 않을 경우, 한국/일본/대만 회원, 미디어 등에 개인정보 유출 사실을 알리고, 잠재적인 사기 위험을 알리겠다고 적시하였다.
또한, 해커는 메일에서 본인이 한국 회원의 주소 1억2천만개, 주문정보 5억6천만개, 이메일 주소 3천3백만개 이상을 보유하고 있음을 언급하였으며, 지역별(경기도/서울 등), 이메일 도메인별( / 등)로 분류한 수치도 제시하였다.
<img src="/LSW/flDownload.do?flSeq=169624317" alt="4번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624319" alt="5번째 이미지"></img>
2) 개인정보 유출 내용1명이 여러 계정으로 가입 가능하여 일부 중복가능성 존재, 회원가입 및 배송지 정보 입력시 별도의 인증 과정이 없어 유출항목에 따라 일부 실제가 아닌 정보 포함 가능성 존재
회원의 경우, 33,222,472명(계정기준)의 개인정보가 유출되었으며, 해커가 접근한 웹페이지별 유출 내용은 다음과 같다.
회원정보 수정 페이지를 통해 33,057,012명의 개인정보(이름, 이메일)가 유출되었고, 배송지 관리 페이지를 통해 22,375,359명쿠팡의 로그 자동 삭제정책( )으로 인해 조사 당시 확보 가능한 로그('25.6.3. 이후) 기준으로 확인된 최소 규모이나, ⅰ) 해커는 ’25.4월~6월 '배송지 관리 페이지’에 먼저 접근하여 회원 식별번호를 순차적으로 증가시키며 유효한 회원번호(3,300만여명)를 획득하고, '회원정보 수정 페이지’에 접근하여 정보를 유출한 점, ⅱ) 해커가 발송한 메일에서 해커는 배송지 1.2억건을 보유하고 있고, 주소의 광역시도 및 시군구별 분류 수치를 언급하였는데, 이를 회원정보 수정 페이지에서 유출된 회원계정(3,300만여 명)이 등록한 배송지를 확인한 결과, 오차율 1% 이내로 일치하는 점, ⅲ) 로그가 삭제되어 배송지 관리 페이지에서 유출된 회원을 특정할 수 없는 공격기간(’25.4.14.~6.2.) 동안 해커는 배송지 관리 페이지에 약 35백만여회 접근한 사실이 있는 점(해커가 배송지 관리 페이지에 대한 전체 접속횟수인 1.4억여회의 25%에 해당) 등을 종합해 볼 때, 배송지 관리 페이지를 통해 유출된 회원은 더 많을 것으로 추정됨
(최소)이 등록한 배송지 목록(이름, 전화번호, 주소, 마스킹된 공동현관 비밀번호마스킹이 해제된 공동현관 비밀번호의 경우, 회원 2,580명이 등록한 4,226건의 공동현관 비밀번호가 유출됨) 63,986,315건이 유출되었으며, 주문목록 페이지를 통해 58,349명의 주문정보 272,470건이 유출되었다.
아울러, 배송지 관리 페이지를 통해 유출된 배송지 63,986,315건에는 회원이 아닌 정보주체 개인정보(이름, 휴대전화번호, 주소)가 포함되어 있었고, 배송지 내 등록된 휴대전화번호를 기준으로 회원DB에 존재하지 않는 건수를 산출한 결과, 4,338,368명의 개인정보가 유출된 것으로 확인하였다.
3) 유출 인지 및 대응
피심인은 인지 후 72시간 내 유출신고는 완료하였으나, 조사과정에서 추가로 식별된 유출대상(약 16.5만명)에 대한 통지는 지연하였고, 유출된 배송지에 포함된 회원이 아닌 정보주체 대상으로는 유출 통지하지 않았다.
<img src="/LSW/flDownload.do?flSeq=169624321" alt="6번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
1) 불법적인 접근 및 침해사고 방지를 위한 접근통제를 소홀히 한 행위
피심인이 운영하는 서비스에서 공격기간 동안 개인정보가 포함된 페이지(회원정보 수정 페이지, 배송지 관리 페이지) 대상으로 동일 IP에서 일평균 접속량은 최대 44배, 해외 IP 접속량은 최대 1,300배 이상 증가하는 등 이상 트래픽이 발생하였다.
특히, '25. 4.14. ~ 6.25. 동안 배송지 관리 페이지 대상으로 오직 16개 IP에서 1억4,800만여회 공격을 시도하였고, 6월에만 1억1,700만여회 공격하는 등 소수의 IP를 통해 비정상적인 과도한 접속을 시도하였다.
또한, 해커가 배송지 관리 페이지 대상으로 사용한 인증토큰 1억1천만여개 중 4천4백만여개(약 40%)는 실제 존재하지 않는 회원의 인증토큰을 이용한 비정상 접속을 시도하였으나, 피심인은 이상행위를 인지하지 못하였다.
심지어, 해커의 과도한 접속시도가 지속적으로 발생하여 시스템을 통해 이상행위가 의심되는 보안티켓(10건)이 생성해당 보안티켓은 '동일 IP에서 임계치를 초과하여 분간 번 이상 접속시도한 경우’, '봇을 통해 분간 회 이상 접속시도가 번 연속으로 발생하거나 분간 회 이상 접속시도한 경우’에 시스템을 통해 생성
되었으나, 피심인은 이를 단순 크롤링으로 인식하여 차단조치만 할 뿐, 이상행위에 대해 IP 분석 등 개인정보 유출시도에 대한 상세분석을 수행하지 않았고관제팀(SOC팀)에서 차단IP에 대한 검토를 요청하였으나, 상세분석 미수행,
<img src="/LSW/flDownload.do?flSeq=169624323" alt="7번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624325" alt="8번째 이미지"></img>
계정탈취(ATO)가 의심되는 행위ATO(Account Take Over) 티켓 : 동일한 기기 식별자(PCID)에서 개 이상의 휴대전화번호로 로그인(ID/PW가 아닌 휴대전화번호로 로그인하는 기능) 시도 시 탐지
가 발생하여 해커의 기기 식별자(PCID) 차단을 요청하는 보안 티켓(3건, '25.8.14.~8.21.)이 생성되었으나, 해당 기기 식별자(PCID)에서 발생하는 접속 시도를 차단하지 않았고(결제시도만 차단), IP 분석 등 별도의 상세분석을 수행하지 않아 해커는 동일한 기기 식별자(PCID)로 공격을 지속하였고, 장기간 해커의 유출시도를 인지하지 못하였다.
<img src="/LSW/flDownload.do?flSeq=169624327" alt="9번째 이미지"></img>
아울러, 회원정보 수정 페이지, 배송지 관리 페이지는 개인정보가 표출되는 중요 페이지로 특별 모니터링이 필요함에도 상품 페이지 등과 같이 크롤링이 다수 발생하는 일반 페이지와 동일한 임계치사고 당시 '회원정보 수정 페이지’의 경우, 동일 IP에서 초 동안 회, 분 동안 회 접속시 차단, '배송지 관리 페이지’의 경우, 초 동안 회, 분 동안 회 이상 접속 시 차단하는 정책 적용
를 설정하여 실질적인 공격 차단이 거의 이루어지지 않았다해커의 회원정보 수정 페이지 대상 36,550,979건 접속시도 중 502,637건 차단, 배송지 관리 페이지 대상 148,062,686건 접속시도 중 1,835건 차단
.(차단율 약 0.27%)
또한, 최대 10분간 차단 후 자동해제되는 차단정책으로 인해 전체 해커 IP 2,313개 중 40개의 IP가 차단 이후 공격에 재사용되었다.
2) 정보주체의 인증수단을 안전하게 관리하지 않은 행위
피심인은 대체(Fallback) 인증 개발 종료 후 운영환경에 있는 대체 인증 서명키(Fallback Private Signature Key)를 시스템비밀정보(비밀번호, 인증서, 키 등)를 저장ㆍ관리하는 솔루션으로, 피심인은 社의 시스템 사용에서 평문으로 노출되도록 운영하면서,
해당 키를 별도 분리 보관하지 않고, '키와 무관한 정보’와 함께 같은 경로(파일)에서 관리함에 따라, 업무상 인증 서명키 열람이 필요하지 않은 개발자들도 '키와 무관한 정보’ 확인을 이유로 시스템 내 해당 경로(파일) 접근권한을 부여받았다.
확인결과, 실제로 시스템 내 해당 경로(파일)에는 해커 포함 총 8명의 개발자가 권한을 부여받았고, 그 중 3명은 인증팀 소속도 아니었으며, ’25.12.14. 휴직한 직원에게 부여되었던 시스템 접근권한을 조사 당시인 '25.12.31. 현장조사 과정에서 지적하기 전까지 회수하지 않는 등 관리 또한 미흡한 사실을 확인하였다.
<img src="/LSW/flDownload.do?flSeq=169624247" alt="10번째 이미지"></img>
이로 인해, 재택근무 등이 활발한 피심인의 근무환경에서 외부에서도 개발자들(해커 포함)이 시스템에 접속하여 평문 대체 인증 서명키(Fallback Private Signature Key)를 상시적으로 열람할 수 있도록 하는 등 키가 유출에 취약한 상태로 운영되었다.
반면, 주 인증에 사용되는 일반 인증 서명키의 경우, 인증 서명키 생성시 생성 요청자, 승인자, 실제 생성자를 분리하고, 생성된 키는 인터페이스를 통해 자동으로 전용 데이터베이스( DB)에 저장되며, 해당 데이터베이스 접근 권한은 개발자에게 부여되지 않는 등 키 생성ㆍ이용ㆍ교체 전 과정에서 개발자 뿐만 아니라 운영자도 운영 인터페이스, API, DB 접근을 통해서 열람할 수 없도록 설계되어 외부 반출이 구조적으로 불가능하도록 설계ㆍ운영되고 있었다.
또한, 대체(Fallback) 인증을 설계ㆍ개발하였고, 운영 단계에서도 시스템에서 평문 대체 인증 서명키(Fallback Private Signature Key)를 열람할 수 있었던 해커가 퇴사('24.12.31.)하였음에도, 피심인은 해당 키를 즉각 갱신 또는 폐기하지 않아(사고 인지 후 ’25.11.19. 폐기) 인증 서명키가 유출된 상태가 장기간 지속되었다.
심지어 대체 인증 서명키(Fallback Private Signature Key)는 일반 인증 서명키일반 인증 서명키의 경우, 서명키 발급, 갱신, 폐기 등 全과정에서 변경목적, 대상환경, 수행 시점 등 사전 확인, 매니저의 검토ㆍ승인 필요, 내부 SOP(표준운영절차) 문서 등이 존재함
와 달리 관리정책(키 생성ㆍ승인절차, 키 폐기ㆍ갱신 절차 등)은 존재하지 않았고, 누가 어떠한 절차로 대체 인증 서명키를 생성했는지 발급내역 또한 존재하지 않았으며대체 인증 서명키는 대체 인증 기능이 배포되어 운영을 시작('24.4월)하기 5개월 전인 ’23.11월에 이미 생성된 키로, 사고 이후 폐기되기 전까지 계속 사용됨, 대체 인증 서비스 개발 이후에도 컴플라이언스팀이 수행하는 정기 모니터링(연1회) 대상에 한차례도 포함되지 않아 점검 체크리스트에 키가 절차에 따라 생성되어 안전하게 관리되고 있는지(키 갱신, 최소 접근권한 등) 점검항목이 있음에도 검토되지 않았다.
나. 회원 대상 유출 통지 지연 및 회원이 아닌 정보주체 대상 유출통지를 하지 않은 행위
피심인은 유출 통지(1ㆍ2차 통지) 당시 개인정보 “노출” 통지라는 제목으로 개인정보 일부 노출 사고 발생이라고 안내하여 정보주체에게 개인정보 유출 여부 등에 대한 혼란을 야기하였으며, 이후 개인정보보호위원회의 개선권고(’25.12.3.)에 따라 “유출”로 수정ㆍ보완하여 통지(’25.12.7.)한 바 있다.
이후 조사 과정에서 피심인은 기존 통지한 정보주체 외에 165,455개 계정이 배송지 관리 페이지를 통해 추가로 유출된 사실을 '26.1.30. 인지하였으나, 정당한 사유 없이 72시간을 경과한 '26. 2. 5. 유출 통지하였다.
아울러, 위원회는 피심인에 유출된 배송지 목록에 포함된 회원이 아닌 정보주체 대상으로 개인정보 유출 통지를 실시하도록 수차례 촉구하였으나('25.12.3., 12.10., 12.26., '26.1.14.), 피심인은 의결일인 ’26.6.10. 현재까지 통지하지 않은 사실이 있다.
다. 처리 목적 달성 등 개인정보가 불필요함에도 파기하지 않은 행위
피심인은 탈퇴회원의 회원정보는 탈퇴 후 90일 경과 시 파기하되 일부 정보는 분리 보관하고, 주소 및 계좌번호는 탈퇴 즉시 파기한다고 정하고 개인정보처리방침 등에서 밝히고 있으나,
탈퇴회원 884,972개 계정이 보유한 배송지 정보(이름, 전화번호, 주소) 2,465,592개를 주소 DB에서 파기하지 않았으며, 그 중 100,696개 탈퇴계정의 배송지 정보(이름, 전화번호, 주소 131,223건)는 실제 유출까지 이어졌다.
※ 미파기된 계정 중 '11. 3. 31. 탈퇴한 계정이 가장 오래전 탈퇴한 계정으로 파악
또한, 탈퇴회원의 계좌번호 318,499건을 파기하지 않고 90일 간 보관하였으며, 문자ㆍ이메일 발송 등을 위해 회원 DB를 복사한 별도의 발송용 DB( )를 구축ㆍ운영하면서, 탈퇴 후 90일이 경과한 717,865명의 개인정보(이름, 전화번호, 이메일)를 발송용 DB( )에서 파기하지 않았다.미파기된 계정 중 '13. 10. 1. 탈퇴한 계정이 가장 오래 전 탈퇴한 계정으로 확인라. 개인정보 보호책임자의 독립적 업무 수행을 방해한 행위
피심인은 ’25. 12. 9.부터 중국에 있는 해커와 접촉하여 진술서 작성, 증거물 확보, 포렌식 등 자체적으로 조사를 진행하였으나, 그 과정에서 국내 개인정보 보호 책임자(CPO)는 의사결정에서 배제되어 해당 내용을 사전 공유조차 받지 못하였고,
'25. 12. 25. 자체 조사결과에 대한 사실관계 검토 및 홈페이지를 통해 공개하는 과정에서도 CPO는 관련 업무에서 제외되었다.
한편, 피심인은 자체 접촉한 해커 진술에만 의존하여 “3천건만 저장하였고 이후 모두 삭제했다”는 내용의 일방적 자체조사 결과해커 PC 포렌식 결과, ①3,000명의 고객정보만 저장과 관련된 디지털 증거는 확인되지 않았고, ②해커는 대만 쿠팡의 회원정보에는 접근한 적이 없다고 진술하였으나, 확인결과, 해커는 대만 쿠팡 회원도 동일한 공격으로 개인정보를 유출하였고, ③해커는 3,000개를 초과하지 않은 계정에 대해서만 구매기록 및 공동현관 비밀번호를 확인할 수 있는 스크립트를 실행했다고 진술하였으나, 확인결과, 5,712개 계정의 배송지 수정 페이지(마스킹이 해제된 공동현관 비밀번호 확인 가능) 및 67,725개 계정의 구매내역 페이지에 접근한 사실이 있음, ④해커는 모든 데이터는 외부 기기나 클라우드 서버에 업로드되지 않았다고 진술하였으나, 확인결과, 해커 PC에 쿠팡 계정의 쿠키값(인증토큰 포함)을 외부 서버로 전송하는 스크립트가 확인됨를 쿠팡 앱/웹 내 공지배너, 언론보도 등을 통해 적극적으로 공개한 바 있다.
이러한 피심인의 행위는 개인정보 유출 피해규모를 축소하고, 정보주체로 하여금 혼란을 야기시키고, 2차 피해 방지를 위한 적절한 대응을 하기 어렵게 만들었으며, 개인정보보호위원회가 ’26.1.14. 자체조사 결과의 게시 중단을 촉구하자 '26.1.23. 게시를 중단하였다.
마. 자료은닉ㆍ폐기 등 조사를 방해한 행위
개인정보보호위원회는 조사 착수 즉시 사고 관련 접속기록 등 각종 증거자료의 보전 요청 공문을 피심인에게 ’25. 11. 21. 발송하였으나,
피심인의 로그 담당자는 보관하던 웹 접속로그 중 '24.7~11월에 해당되는 로그를 ’25. 11. 2.7. 수동으로 삭제하였고,
일 경과시 삭제되도록 설정된 어플리케이션 로그 자동삭제 정책을 '25. 12. 2.까지 중단하지 않아, 자료 보전 명령에 따라 남아있어야 할 ’25.5.25. ~ 6.2. 기간의 로그가 자동 삭제되도록 하였다.
해당 로그는 배송지 관리 페이지를 통해 유출된 회원을 특정하기 위해 필요한 로그이나, 해당 로그의 삭제로 인해 정확한 유출규모 확인이 제한되었다.
바. 기타 개인정보 처리실태 관련 개선 필요 사항
1) 탈퇴회원의 개인정보 보유기간 및 분리보관의 적절성 관련
피심인은 정보주체 동의를 근거로 탈퇴회원의 개인정보 전체를 유효회원과 동일한 DB에서 탈퇴 후 90일까지 보관하면서, 탈퇴 직후에는 탈퇴회원임을 확인할 수 있도록 상태값 등만 변경하여 관리한 사실이 있다他 이커머스 사업자(5일 이내 파기하되 부정이용 등의 방지 목적으로 휴대전화번호 등 일부 정보만 별도 DB에 분리 보관)와 비교할 때, 보관하는 목적이 포괄ㆍ추상적(원활한 민원상담 등)이고, 보관 기간 및 항목이 과다.
또한, 탈퇴 90일 이후에는 일부 개인정보*를 관계 법령(전자상거래법 등)에서 요구하는 기간** 동안 분리보관 하고 있으나, 가입 이후 관련 행위(상품주문, 대금결제, 민원제기 등)가 없는 경우에도 모든 회원의 정보를 탈퇴 후 5년까지 일률적으로 분리보관하였다.
* (항목) 회원식별번호, ID, 이름, 이메일, 전화번호, 생년월일, CI/DI
** (보유기간) ▲계약 또는 청약철회 등에 관한 기록(5년), ▲대금결제 및 재화등의 공급에 관한 기록(5년), ▲소비자의 불만 또는 분쟁처리에 관한 기록(3년) 등
2) 처리방침 현행화 미흡 관련
피심인은 국외이전(위탁) 관련하여 재난ㆍ재해 상황시 서비스 제공을 위해 '21년 4분기부터 '25.2.7일까지 회원DB를 싱가포르 클라우드( )에 백업한 바 있으나, 이후 국외이전(위탁)을 중지하였음에도 ’26. 2. 5.까지 처리방침을 현행화하지 않았다.
또한, 피심인은 통관업무 처리 목적으로 개인통관고유부호를 수집하고, 탈퇴 후 90일 간 보관하고 있으나, 처리방침에서 '회원 탈퇴 시 파기’로 상이하게 규정(~’26.2.5)하였다.
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 2. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 '26. 4. 30. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제2호는 “개인정보에 대한 개인정보에 대한 접근 권한을 제한하기 위한 '데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 ”개인정보처리시스템“이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행(가목)’, '정당한 권한을 가진 자에 의한 접근인지를 확인하기 위해 필요한 인증수단 적용 기준의 설정 및 운영(나목)’, '그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치(다목)’의 조치를 해야 한다고”라고 규정하고 있다.
시행령 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위한 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평균 100만명 이상인 개인정보처리자만 해당한다.의 조치를 해야 한다(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)」(이하 '안전성 확보조치 기준’) 제5조제5항은 “개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.”라고 규정하고 있다.
안전성 확보조치 기준 제6조제1항은 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 '개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한(1호)’, '개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응(2호)’의 안전조치를 하여야 한다.”라고 규정하고 있다.
나. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 ”유출등“이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(1호)’, '유출등이 된 시점과 그 경위(2호)’, '유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보(3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(5호)’의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.”라고 규정하고 있고, 제34조제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 보호위원회 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.”라고 규정하고 있고, 제34조제4항은 “제1항에 따른 유출등의 통지 및 제3항에 따른 유출등의 신고의 시기, 방법, 절차 등에 필요한 사항은 대통령령으로 정한다.”라고 규정하고 있다.
시행령 제39조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조 및 제40조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, '유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우(1호)’, '천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우(2호)’의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있다.“라고 규정하고 있고, 제39조제2항은 ”제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다.“라고 규정하고 있고, 제39조제3항은 ”제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.“라고 규정하고 있다.
시행령 제40조제1항은 ”개인정보처리자는 '1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우(1호)’, '민감정보 또는 고유식별정보가 유출등이 된 경우(2호)’, '개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우(3호)’의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조 제3항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다.“라고 규정하고 있고, 제40조제2항은 ”제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.“라고 규정하고 있고, 제40조제3항은 ”법 제34조제3항 전단 및 후단에서 “대통령령으로 정하는 전문기관”이란 각각 한국인터넷진흥원을 말한다.“라고 규정하고 있다.
다. 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.”라고 규정하고 있다.
라. 보호법 제31조제1항은 “개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다.”라고 규정하고 있고, 제31조제3항은 “개인정보 보호책임자는 '개인정보 보호 계획의 수립 및 시행(1호)’, '개인정보 처리 실태 및 관행의 정기적인 조사 및 개선(2호)’, '개인정보 처리와 관련한 불만의 처리 및 피해 구제(3호)’, '개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축(4호)’, '개인정보 보호 교육 계획의 수립 및 시행(5호)’, '개인정보파일의 보호 및 관리ㆍ감독(6호)’, '그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무(7호)’의 업무를 수행한다”라고 규정하고 있으며, 제31조제6항은 “개인정보처리자는 개인정보 보호책임자가 제3항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다.”라고 규정하고 있다.
마. 보호법 제63조제1항은 “보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다. '이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게된 경우(1호)’, '이 법 위반에 대한 신고를 받거나 민원이 접수된 경우(2호)’”라고 규정하고 있고, 제63조제2항은 “보호위원회는 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
안전성 확보조치 기준은 개인정보가 유출되지 않도록 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적(제1조)으로 하고 있고, 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려해, 스스로의 환경에 맞는 개인정보의 안전성 확보에 필요한 조치를 적용하도록 원칙(제3조)으로 정하고 있다.
1) 접근통제를 위한 안전조치를 소홀히 한 행위
피심인은 외부에서 개인정보처리시스템에 대한 불법적인 접근 및 침해사고를 방지하기 위하여, 개인정보처리시스템에 접속한 IP 주소 등을 분석하여 불법적인 유출시도를 탐지하고 접근 제한ㆍ차단 등 적절한 대응 조치*를 하여야 한다.
* 침입 차단ㆍ탐지 정책 설정, 이상행위 대응, 로그 대조ㆍ분석 등을 통해 유출 탐지ㆍ대응
<img src="/LSW/flDownload.do?flSeq=169624249" alt="11번째 이미지"></img>
이는 단순히 보안장비 구축ㆍ운영이 아닌, 서비스 규모ㆍ특성, 개인정보 처리환경 등을 고려하여 탐지ㆍ대응 전략을 수립을 의미한다. 예를 들어, 실질적인 개인정보 유출시도 탐지ㆍ대응을 위해 개인정보가 노출되는 페이지를 식별하여, 이에 대한 이상행위 트래픽 등을 점검해야 한다.
그러나, 피심인은 개인정보가 직접적으로 노출되는 핵심 페이지인 회원정보 수정 페이지, 배송지 관리 페이지 등에 대해 평시 대비 과도한 트래픽이 발생하였고, 서비스 장애 등 예외적인 상황에서만 동작하는 대체(Fallback) 인증토큰이 과도하게 생성ㆍ이용 되었으며, 그 중 40%는 실제 존재하지 않은 회원의 토큰을 통한 접속시도임에도 이상행위를 인지하지 못하였다.
또한, 해커의 반복적인 과도한 접속시도로 인해 보안티켓이 생성되었고, 티켓 내용 또한 회원정보 수정 페이지에 대한 공격 IP 검토를 요청하거나, 개인정보 스캐닝 태그와 함께 과도한 접속을 시도하는 의심 IP가 확인되었다는 내용이 존재함에도 상세분석 하지 않았고, 비정상적인 로그인 시도로 인해 계정탈취 의심 티켓(ATO 티켓)이 발생하는 등 개인정보 유출정황이 있음에도, 결제 차단조치는 신속하게 수행하면서 개인정보 유출 관련 분석은 수행하지 않는 등 이상행위에 대한 탐지ㆍ대응을 소홀히 하였다.
또한, 피심인이 적용한 차단정책은 개인정보가 포함된 페이지의 특성, 평상시 접속량 등이 고려되지 않은 채 임계치가 설정되어 사실상 공격이 거의 차단되지 않았다.
이로 인해, 다수의 이상행위가 발생되어 사전에 공격을 인지하고, 유출확산을 차단할 수 있는 기회가 있었음에도, 해커의 협박메일을 수신할 때까지 인지조차 하지 못하여 6개월 이상 장기간 공격이 지속되었고, 개인정보 대량 유출로까지 이어졌다.
이러한 피심인의 행위는 불법적인 접근 및 침해사고 방지를 위해 안전조치를 소홀히 한 것으로, 보호법 제29조, 시행령 제30조제1항제3호, 안전성 확보조치 기준 제6조제1항을 위반한 것이다.
2) 정보주체의 인증수단을 안전하게 관리하지 않은 행위
안전성 확보조치 기준에 따르면, 개인정보처리자는 정당한 권한을 가진 개인정보취급자 또는 정보주체를 인증하기 위하여 스스로의 환경, 개인정보 보유 수, 정보주체에 미치는 영향 등을 고려하여 인증수단을 안전하게 적용하고 관리하여야 한다.
보호법 상 '인증수단’은 개인정보취급자 또는 정보주체가 정당한 권한이 있는지 검증하기 위한 수단이다. 한편, '인증 서명키’는 정당한 접근권한이 있는지 그 신원 확인을 위한 인증토큰 생성 및 검증의 필수 요소로서, 신원확인의 실질적 핵심이다.
인증 서명키는 일종의 마스터키로서 전자서명 검증만으로 인증을 허용함에 따라 서명키가 유출될 경우, 전체 회원의 토큰을 위조하여 로그인할 수 있는 등 인증 서명키 관리 실패는 인증체계 전체의 무력화로 이어지는 고위험 취약 지점에 해당하여 철저하고 엄격한 관리가 필요하다.
이러한 키 관리를 위해 사용되는 키 관리 시스템의 핵심은 단순히 키를 저장하는 것에 그치는 것이 아니라, 키의 직접 노출을 최소화시켜 기밀성을 보장하는데 있으며, 피심인이 사용한 라는 시스템은 키 관리 시스템을 구성할 수 있는 기술적 기반일 뿐, 올바른 키 관리 시스템으로 운영되기 위해서는 접근통제, 권한분리 등이 함께 설계되어 불필요하게 키가 노출되지 않도록 제한해야 한다.
이는 암호키 관련 각종 국제표준(NIST SP 800-57) 및 피심인의 「암호화 기준서」에도 규정되어 있으며, 피심인의 주 인증 서비스에서 사용되는 일반 인증 서명키의 관리 현황인증 서명키를 열람할 수 없도록 설계되어 외부 반출 구조적으로 불가능하며, 키 관리정책에 따라 인증 서명키 발급, 갱신, 폐기 등 수행, 티켓을 통해 기록ㆍ관리및 피심인과 동일하게 를 통한 토큰 기반 인증체계를 운영하는 타사의 인증 서명키 관리 현황임직원이 키 생성, 갱신, 폐기 등 과정에서 직접 키값을 확인할 수 있는 경로 미존재, 임직원 퇴사시 내부 키 발급 및 관리 절차에 따라 재직기간 동안 발급받은 모든 키에 대한 접근차단 및 권한 회수을 보더라도 인증 서명키를 평문 상태로 보여지는 상황은 원천 차단되어 있다.
<img src="/LSW/flDownload.do?flSeq=169624251" alt="12번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624253" alt="13번째 이미지"></img>
아울러, 평문 키가 노출되어 기밀성이 훼손된 경우, 절차에 따라 신속하게 키를 교체하는 등 안전한 키 관리가 필요하다.
특히, 피심인은 국내 이커머스 업계 1위의 대규모 플랫폼 서비스를 운영하는 사업자로서 약 만 명 이상의 개인정보를 처리하고, 대체 인증 서명키(Fallback Private Signature Key)를 통해 전체 회원의 인증이 가능하도록 인증 체계를 운영함에 따라 대체 인증 서명키에 대한 각별한 기술적ㆍ관리적 보안이 필요하다.
그러나, 피심인은 시스템 접속 시 대체 인증 서명키(Fallback Private Signature Key)가 평문으로 노출되도록 운영하면서, 이미 개발이 종료되어 운영환경에 있는 핵심 비밀정보인 대체 인증 서명키를 ’키와 무관한 정보'들과 시스템 내 같은 경로(파일)에서 보관ㆍ관리함에 따라, 키 열람이 필요하지 않은 개발자들이 권한을 부여받아 외부에서 상시적으로 평문 대체 인증 서명키를 열람할 수 있는 등 키가 유출에 취약한 상태로 운영되었다.
또한, 피심인이 운영하는 시스템은 인증 서명키가 노출되지 않은 상태에서 전자서명 할 수 있는 핵심 기능(Transit)을 기본적으로 제공하고 있으며, 피심인은 해당 기능으로 이미 80여개 이상의 키를 관리하고 있었으나, 대체 인증 서명키(Fallback Private Signature Key)에 대해서는 해당 기능을 적용하지 않았다.
< Transit 기능( 제품 안내자료 발췌) >
<img src="/LSW/flDownload.do?flSeq=169624243" alt="14번째 이미지"></img>
한편, 사고가 발생한 ’대체(Fallback) 인증'과 달리 피심인은 이미 운영하고 있던 ’일반 인증'의 경우, 인증 서명키의 평문 노출을 원천 차단하고, 키 관리정책에 따라 철저히 관리하고 있었으며, 타사의 인증 서명키 운영현황을 보더라도 대체 인증 서명키(Fallback Private Signature Key)를 평문 상태로 노출되지 않도록 하는 것은 충분히 가능하였음에도, 대체 인증은 이러한 방식으로 운영하지 않는 등 안전하게 설계ㆍ운영하지 않았다.
또한, 암호키 보안표준([NIST SP 800-57] 8.3.5 Key Revocation Function)에 따르면 키 소유자가 조직을 떠났을 경우를 대표적인 키 폐기 사례로 제시하고 있으며, 해커는 재직 당시 대체(Fallback) 인증을 설계ㆍ개발하였고, 개발 종료 이후 운영 단계에서도 시스템에 접근하여 상시적으로 평문 대체 인증 서명키(Fallback Private Signature Key)를 확인할 수 있었던 자로, 해당 해커가 퇴사(’24.12.31.)함에 따라 키의 기밀성이 훼손 또는 유출될 위험이 있음에도, 대체 인증 서명키를 폐기 또는 갱신하지 않았다.
심지어, 대체 인증 서명키(Fallback Private Signature Key)는 일반 인증과 달리 별도의 서명키 관리 정책이 존재하지 않고, 키 생성 당시 발급ㆍ승인 기록 조차 존재하지 않아 누가, 언제, 어떠한 절차로 키를 발급하여 시스템에 주입하였는지 알 수 없는 상태로 사용되어 왔고,
<img src="/LSW/flDownload.do?flSeq=169624255" alt="15번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624257" alt="16번째 이미지"></img>
별도의 대체 인증 서명키(Fallback Private Signature Key) 관리ㆍ운영 정책 또한 존재하지 않으며, 컴플라이언스팀이 수행하는 정기 모니터링 대상에도 포함되지 않아 키 관리 상태가 점검되지 않는 등 사실상 대체 인증 서명키는 보안적으로 방치된 상태로 관리되는 등 키 관리 실패로 인증체계 전반이 무력화되었다.
이러한 피심인의 행위는 보호법 제29조, 시행령 제30조제1항제2호, 안전성 확보조치 기준 제5조제5항을 위반한 것이다.
나. 개인정보 유출 통지를 지연한 행위
[보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항]
보호법은 개인정보 유출 피해를 사전에 방지하고 정보주체로 하여금 유출 피해에 대응할 수 있도록 하기 위해, “유출 되었음을 알게 된 때”에는 지체 없이 유출 항목, 시점, 경위, 피해 최소화 방법, 피해 구제절차 등을 정보주체에게 통지하고, 위원회에 신고하도록 의무를 부과하고 있다.
피심인은 조사 과정에서 기존에 유출신고ㆍ통지한 3,300만여명 회원 외 추가로 유출 가능성이 있는 38만여개 계정을 ’26. 1. 27. 최초 식별하였으며, 그 중 공격시점에 배송지 존재 여부 등을 고려하여 실제 배송지가 유출된 계정 165,455개 계정을 '26. 1. 27. ~ 30. 최종 확인하는 등 추가 유출을 인지하였음에도 72시간이 경과한 ’26. 2. 5.에서야 해당 정보주체에게 유출 사실을 통지하였다.
또한, 피심인은 배송지 정보를 회원DB와 분리된 별도의 DB에서 관리하면서 배송받는 자의 휴대전화번호를 회원 정보와 대조하여 번호가 상이할 경우, 해당 휴대전화번호로 배송완료 문자를 발송하는 등 전화번호 기준으로 정보주체를 식별하고, 별도의 독립적인 정보로서 처리하면서,
6,398만여 건의 유출된 배송지 목록에 쿠팡 회원이 아닌 정보주체의 개인정보가 존재함을 인지하고, 통지수단(연락처) 또한 보유하고 있었음에도, 해당 정보주체를 대상으로 별도의 유출 통지를 하지 않는 등 정보주체의 2차 피해 예방을 위한 개인정보 유출통지를 소홀히 한 행위는 보호법 제34조제1항을 위반한 것이다.
위원회는 유출된 배송지 내 정보주체에 대해 유출통지할 것을 수차례 촉구하는 내용의 개선권고를 의결 후 피심인에 송달하였고, 피심인은 이에 대해 “식별 가능한 범위(배송지에 전화번호 등이 입력된 경우) 내에서 통지할 예정”임을 서면 답변(’25.12.9., ’25.12.22.)하였음에도, 의결일인 ’26.6.10.까지 통지하지 않았다.
다. 개인정보가 불필요하게 되었음에도 파기하지 않은 행위
[보호법 제21조(개인정보의 파기)제1항]
피심인은 보유기간의 경과, 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다.
그러나, 피심인은 탈퇴회원 884,972개 계정이 등록한 배송지(2,465,592건)를 파기하지 않았고, 그로 인해 100,696개 탈퇴계정의 실제 개인정보가 유출되는 상황까지 초래되었다.
또한, 탈퇴회원의 계좌번호(318,499건)는 탈퇴 후 즉시 파기한다는 처리방침과 다르게 파기하지 않았고, 회원 대상 문자ㆍ이메일 발송을 위해 회원DB를 복제한 문자ㆍ이메일 발송용 DB를 운영하면서, 탈퇴 후 90일이 경과한 717,865명의 개인정보를 파기하지 않은 행위는 보호법 제21조제1항을 위반한 것이다.
라. 개인정보 보호책임자의 독립적 업무수행을 방해한 행위
[보호법 제31조(개인정보 보호책임자의 지정 등)제6항]
피심인은 개인정보 보호책임자가 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자(이하 'CPO’)가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다.
그러나, 피심인은 해커와 직접 접촉하여 진술서 작성, 포렌식 등 자체 조사를 실시하면서 관련 정보를 CPO에게 공유하지 않는 등 CPO를 유출사고 조사 및 대응 과정의 의사결정에서 완전히 배제하였고, 포렌식 분석결과가 완성되지 않았고, 사실관계에 대해 CPO 검토도 이루어지지 않은 상태에서 확정되지 않은 자체 조사 결과를 홈페이지에 게시하였다.
이는 단순한 내부 소통의 부재가 아니라, 개인정보 보호 체계의 핵심인 CPO제도를 형해화(形骸化)하는 것으로, CPO는 기업 내 개인정보 보호 업무를 총괄하며, 사고 발생 시 조사 및 대응 과정의 핵심주체가 되어야 함에도, 법이 보장하는 CPO의 독립적 직무수행 권한을 실질적으로 무력화한 행위로써, 보호법 제31조제6항을 위반한 것이다.
마. 자료은닉ㆍ폐기 등 조사를 방해한 행위
[보호법 제63조(자료제출 요구 및 검사)제2항]
피심인은 위원회의 증거자료 보전 요청에도 불구하고 ’25. 11. 27. 보관 중이던 ’24.11월 이전 웹 접속로그를 수동 삭제하였고, 이로 인해 최초 유출시점 등 유출 관련 사실관계 규명을 어렵게 하였다.
또한, 배송지 정보가 유출된 계정을 특정하고 유출규모를 산정하기 위한 필수적인 로그인 어플리케이션 로그해당 로그를 통해 16만명의 추가 유출대상을 파악('26.2.5. 3차 유출통지)하는 등 명백히 사고와 관련된 로그에 해당함자동삭제 정책( 일 경과시 삭제)을 중단시키지 않아 ’25.5.25.~6.2 기간의 로그가 자동 삭제되었고, 이로 인해 해당 기간 동안 유출된 회원이 상당수로 추정됨에도 유출 대상 파악 등 피해범위 확인을 불가능하게 하였다.자료보전 명령 이후 로그가 삭제된 기간 동안 해커의 유출시도 횟수는 1,900만회(’25.5.25. ~ 6.2.)로, 전체 접속횟수(1.4억회)의 약 13%에 해당하는 로그가 삭제됨이는 보호법 제63조제2항에 따른 출입ㆍ검사 시 자료의 폐기 등을 통하여 위원회의 정당한 조사를 실질적으로 방해한 행위에 해당한다.
<img src="/LSW/flDownload.do?flSeq=169624299" alt="17번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 “시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.”라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’중대한 위반행위'로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다.
과징금 부과기준 제7조제2항은 '시행령 제60조의2제1항 단서에서 정한 직전 3개 사업연도 또는 해당사업연도는 위반행위의 종료일을 기준으로 판정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 위반행위와 관련이 없는 매출액은 별도의 앱을 통해 서비스가 제공되고, 서비스별 DBㆍ접근권한, 이용약관 등이 분리되어 있는 쿠팡이츠, 쿠팡플레이 매출과, 사업자회원을 대상으로 별도의 회원가입을 통해 상품을 판매하는 B2B 매출, 개인정보 처리와 무관하여 관련 없는 기타(계열사간 매출 등) 매출 합계 천 원으로 하고, 직전 3개 사업년도의 연평균 전체 매출액에서 관련 없는 매출액을 제외한 천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1천분의 를 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169624301" alt="18번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=169624303" alt="19번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 '피심인의 위반행위의 기간이 1년 초과 2년 이내인 경우’에 해당하여, 기준금액의 100분의 25에 해당하는 천 원을 가중하고, 과징금 부과처분을 2회 이상 받은 경우에 해당하여 100분의 30에 해당하는 천 원을 가중한다.
피심인이 '위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우’ 등을 고려하여, 기준금액의 100분의 30에 해당하는 금액인 천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲ 위원회의 증거자료 보전 요청에도 불구하고 ’25. 11. 27. 보관 중이던 ’24.11월 이전 웹 접속로그를 수동 삭제하고, 로그인 어플리케이션 로그해당 로그를 통해 16만명의 추가 유출대상을 파악('26.2.5. 3차 유출통지)하는 등 명백히 사고와 관련된 로그에 해당함자동삭제 정책( 일 경과시 삭제)을 중단시키지 않아 ’25.5.25.~6.2 기간의 로그가 자동 삭제되도록 한 행위는 조사 방해에 해당하여 1차 조정을 거친 금액의 100분의 10에 해당하는 천 원을 가중하고,
피심인이 ▲과징금의 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 점, ▲정보주체에게 발생한 피해에 대한 원상회복, 손해배상 또는 이에 상당하는 필요한 피해의 회복 및 피해 확산 방지 조치를 이행한 점, ▲개인정보 보호 인증, 자율적인 보호 활동 등 개인정보 보호를 위하여 노력한 점, ▲ 보호법 제64조의2제4항에서 규정하는 바와 같이 위반행위에 상응하는 비례성과 침해 예방에 대한 효과성이 확보될 수 있도록 위반행위의 정도ㆍ동기ㆍ결과 등을 종합적으로 고려하여, 1차 조정을 거친 금액의 100분의 50에 해당하는 천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 423,575,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=169624305" alt="20번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲일종의 마스터키로서 전체 회원의 인증을 담당하는 인증 서명키를 안전하게 관리하지 않아 인증체계 전반이 무력화된 점, ▲침입탐지ㆍ대응 등을 소홀히 하여 조기에 유출을 식별ㆍ차단할 수 있는 기회가 있었음에도 인지조차 하지 못하여 장기간ㆍ대규모 유출로 이어지도록 한 점, ▲다만, 위반행위가 고의적이라기보다는 관리ㆍ운영상의 미흡으로 볼 수 있는 점을 참작함
②(부당성:중) 대규모 개인정보를 처리하는 사업자로서 강화된 보안의무를 부담함에도, ▲피심인이 대체 인증 서명키를 유출에 취약하게 설계ㆍ개발하고 관리를 소홀히 한 점(키 미폐기, 발급내역, 관리정책 부재, 분리보관 미흡 등), ▲이상행위에 대해 보안티켓이 여러 차례 발생하였음에도 상세분석 등 대응하지 않은 점, ▲안전하지 않은 인증수단 적용ㆍ관리, 불법적인 접근 및 침해사고 방지를 위한 안전조치 소홀 등 안전조치의무 위반과 대규모 개인정보 유출 사이에 직접적인 관련성이 존재함, ▲다만, 대표자 또는 임원의 관여나 조직적인 위반행위에는 미해당하고, 개인정보 회수 노력 등을 참작함
③(개인정보 유형:하) ▲민감정보, 고유식별정보, 인증정보 미포함
④(피해규모:상) ▲국민의 일상적 소비와 밀접하게 연결된 생활 필수 플랫폼으로, 약 3,300만 명을 초과하는 국민 대다수의 개인정보가 유출된 점, ▲현재까지 공중에 노출된 사실은 확인되지 않았으나, 이용자의 이름, 연락처, 배송지 주소, 공동현관 비밀번호, 주문내역(성인용품 등 일부 민감한 내용 포함) 등이 유출되어, 스미싱ㆍ피싱 등 2차 피해로 이어질 위험성이 존재하며, 정보주체의 사생활에 미치는 영향이 작지 않은 점, ▲유출사고 관련 분쟁조정(약 2,578명(집단 2건ㆍ1,676명, 개인 902명), ’26.6.10.기준) 제기
** 위반기간 : 대체 인증 서비스 운영 시작(’24.4월) ~ 대체 인증 서비스 중단(’25.11.19.)
*** 과징금 부과기준 제11조제5항에 따라 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버림
**** 1인당 5만원 상당의 구매이용권 지급하는 등 고객 보상 시행
2. 과태료 부과
피심인의 보호법 제21조(개인정보의 파기)제1항, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대한 과태료는 같은 법 제75조(과태료)제2항제4호ㆍ제17호, 시행령 제63조 [별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)(이하 '과태료 부과기준’)에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 제21조(개인정보의 파기)제1항 위반행위에 대해서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없어 1회 위반에 해당하는 600만원을 기준금액을 적용하고, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 있어 2회 위반피심인은 '24. 11. 27. 유출 신고 및 유출 통지 지연 행위로 인한 과태료 처분을 받음에 해당하는 과태료인 1,200만 원을 기준금액으로 적용한다보호법 제29조 위반행위의 경우, 보호법 제76조(과태료에 관한 규정 적용의 특례)에 따라 과징금을 부과한 행위와 동일하므로 과태료를 부과하지 않음.
<img src="/LSW/flDownload.do?flSeq=169624309" alt="21번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과기준 제7조는 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도 등을 고려하여 가중사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 경우, 과태료 부과기준 제7조 및 [별표3]의 가중기준에 따라, 피심인의 보호법 제21조(개인정보의 파기)제1항 위반행위는 ▲법 위반상태의 기간이 2년을 초과한 경우에 해당하여 기준금액의 30%를 가중한다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 특별히 가중할 사유는 없어 기준금액을 유지한다.
2) (과태료의 감경) 과태료 부과기준 제6조제1항은 “당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲개인정보보호 노력정도, ▲조사협조 및 자진시정 등을 고려하여 감경사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있고, 제6조제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 경우, 과태료 부과기준 제6조 및 [별표2]의 감경기준에 따라, 피심인의 보호법 제21조(개인정보의 파기)제1항 위반행위는 ▲개인정보 보호를 위해 노력한 경우, ▲행위사실을 인정하면서 조사에 협력하고, 시정을 완료한 경우에 해당하여 기준금액의 50%를 감경한다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 감경할 사유는 없어 기준금액을 유지한다.
다. 최종 과태료
피심인의 보호법 제21조(개인정보의 파기)제1항, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 1,680만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=169624311" alt="22번째 이미지"></img>
3. 시정조치 명령
피심인에 대하여 보호법 제64조제1항에 따라 다음과 같이 시정조치를 명한다.
가. 인증체계 전반에 대하여 키 관리ㆍ통제 체계를 점검하고, 추후 인증 시스템 개선 또는 신규 인증 서비스 도입 시 유사한 사고가 재발하지 않도록 개인정보 보호 요소를 고려하여 설계ㆍ운영할 것
나. 개인정보 유출이 발생할 수 있는 주요 경로를 식별하고, 모니터링 강화 및 주기적 점검 등을 통해 침해사고 발생 시 신속히 탐지ㆍ대응할 수 있는 기술적ㆍ관리적 안전조치를 강화할 것
다. 정보주체의 2차 피해 예방을 위해 유출된 배송지에 포함된 '회원이 아닌 정보주체’에게 유출 통지를 실시할 것
라. 개인정보 파기 정책을 점검하고, 적절한 파기 정책에 따라 실제 파기 절차가 이행되고 있는지 점검 및 조치할 것
마. 회사 전반의 개인정보 처리 업무를 포함하여 개인정보 유출사고 발생시 관련 정보에 대한 접근을 보장하는 등 개인정보 보호책임자가 독립적으로 업무를 수행할 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
바. 피심인은 가.부터 마.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받을 날로부터 90일 이내에 이행 결과를 제출할 것
4. 결과 공표
보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)」(이하 ’공표 및 공표명령 지침') 제3조(공표요건)제1항에 따라, '보호위원회의 처분 시점을 기준으로 최근 3년 내 시정조치 명령, 과태료, 과징금 부과처분을 2회* 이상 받은 경우(제2호)’에 해당하므로, 피심인이 과징금ㆍ과태료 부과, 시정명령을 받은 사실에 대해 개인정보보호위원회 홈페이지에 1년 간 공표한다.
* 피심인은 '24. 11. 27. 2회 과태료, 과징금 부과처분 받은 사실이 있음(2024-019-246, 248)
<img src="/LSW/flDownload.do?flSeq=169624313" alt="23번째 이미지"></img>
5. 결과 공표명령
보호법 제66조제2항 및 공표 및 공표명령 지침 제6조제1항에 따라 ’위반행위로 인하여 피해를 입은 정보주체의 수가 10만 명 이상인 경우(8호)'에 해당하고 위반행위가 인터넷을 통하여 이루어졌으므로 제8조 및 제11조에 따라 처분등에 대한 통지를 받은 날부터 1개월 이내에 당해 처분등을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만의 기간 동안(휴업일 포함) 공표하도록 명한다. 다만, ’1일간 다시 보지 않기' 기능의 사용 등 팝업창 설정방식 등은 보호위원회와 협의하여 정한다.
이때 제7조제1항, 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅴ. 개선 권고
피심인의 개인정보보호 실태에 대하여 보호법 제61조(의견제시 및 개선권고)제2항에 따라 아래와 같이 개선을 권고한다.
가. 피심인은 탈퇴회원의 개인정보 보관기간ㆍ항목에 대한 적절성을 검토(분리보관 포함)하여 탈퇴회원의 개인정보가 목적에 필요한 범위 내에서 최소한으로 보관ㆍ관리되도록 할 것
나. 피심인은 개인정보 처리ㆍ관리 방식이 변경되는 경우 개인정보 처리방침을 실제 개인정보 처리 방식에 부합하도록 적시에 현행화하고, 공개할 것
다. 피심인은 가., 나.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.
Ⅵ. 고발
피심인이 사고와 관련된 로그를 삭제한 행위는 보호법 제63조제2항에 따른 출입ㆍ검사 시 자료의 폐기를 통해 조사를 방해한 것으로, 보호법 제73조제1항제5호에 따른 벌칙에 해당하고, 「개인정보 보호 법규 위반에 대한 고발 기준」개인정보 보호 법규 위반에 대한 고발 기준(개인정보보호위원회 지침, 2023. 10. 11. 시행)제2조에 따른 고발 대상에 해당하며, 최근 3년 내 보호법 제29조 위반행위로 과징금을 부과받은 사실이 있어 제3조에 따른 고발 기준을 충족하므로, 보호법 제65조에 근거하여 고발한다.
Ⅴ. 결론
피심인의 보호법 제29조(안전조치의무), 제21조(개인정보의 파기)제1항, 제34조(개인정보 유출등의 통지ㆍ신고)제1항, 제31조(개인정보 보호책임자의 지정 등)제6항, 제63조(자료제출 요구 및 검사)제2항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제75조(과태료)제2항제4호ㆍ제17호, 제64조(시정조치 등)제1항, 제66조(결과의 공표)제1항ㆍ제2항, 제61조(의견제시 및 개선권고)제2항, 제65조(고발 및 징계권고)에 따라 과징금 부과, 과태료 부과, 시정조치 명령, 공표, 공표 명령, 개선 권고, 고발을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정조치 명령, 공표, 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 전자상거래 서비스 등을 제공하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)에 따른 개인정보처리자에 해당하며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169624245" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 신원 미상의 자 (이하 '해커’)로부터 협박메일을 수신하여 개인정보 유출 사실을 인지한 후, 유출 신고('25. 11. 20.)해옴에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('25. 11. 21. ~ '26. 4. 2.) 하였으며, 다음과 같은 사실을 확인하였다.
2. 피심인 현황
가. 개인정보 수집 현황
피심인은 쿠팡 서비스를 제공하면서 ’25. 11. 30. 기준, 다음과 같이 이용자의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169624307" alt="2번째 이미지"></img>
나. 사건 당시 인증 시스템 및 탈퇴회원 관리 현황
1) 토큰 기반 인증 시스템
피심인은 이용자가 ID/PW 등을 통해 로그인한 이후, 별도 재인증 절차 없이 서비스를 이용할 수 있도록, 전자적 인증수단인 인증토큰을 발급하는 인증체계를 운영하였고,
토큰 발급이 실패하는 경우(서비스 장애 등) 백업 인증 목적으로 기존 토큰 기반의 일반 인증 외 대체 인증 서비스(Fallback authentication service)를 개발ㆍ운영('24. 4월)하였다.
2) 탈퇴회원 관리 현황
피심인은 회원DB, 주문DB의 경우 탈퇴 후 90일을 기준으로 분리보관하여 관리하고, 주소DB의 경우 탈퇴 즉시 파기를 원칙으로 관리하고 있고, 구체적인 보관ㆍ관리 현황은 아래와 같다.
① 회원DB의 경우, 정보주체 동의 하에 원활한 민원 상담 등을 목적으로 탈퇴 시 즉시 분리보관하지 않고, 유효회원과 동일 DB에서 90일까지 전체 정보를 보관(탈퇴 직후, 상태값만 '탈퇴’로 변경)하고,
탈퇴 후 90일 경과 시, 회원가입 이후 상품주문, 대금결제, 민원제기 등 내역의 유무와 상관없이 모든 회원 대상으로 탈퇴 후 5년까지 일부 개인정보(이름, 이메일, 휴대전화번호, 생년월일)를 보관하고 있다.
② 주문DB의 경우, 탈퇴 후 90일까지 동일 DB에서 전체 정보를 보관하며, 90일 경과 시 분리보관하고, 5년 후 전체 파기를 원칙으로 한다.
③ 주소DB의 경우, 탈퇴 시 회원이 등록한 모든 배송지 정보를 즉시 파기하는 것을 원칙으로 관리한다.
다. 개인정보 유출 관련 사실관계
1) 악성프로그램 감염 및 개인정보 유출 경위
해커는 대체 인증을 직접 개발('24.4월)한 자로, 미상의 방법해커는 평문 대체 인증 서명키를 종이에 적어 유출했다고 피심인측에 진술함으로 대체 인증 서명키(Fallback Private Signature Key)를 획득하고, 회원정보 수정 페이지, 배송지 목록 페이지, 주문 목록 페이지 등을 조회하여 개인정보를 유출하였다.('25.1월~11월)
’25. 1. 25., 해커 본인 포함 총 95개 계정에 대해, 대체 인증 서명키(Fallback Private Signature Key)와 회원식별번호( )로 생성한 인증토큰으로, 회원정보 수정 페이지(101회) 및 배송지 관리 페이지(141회) 대상 유출 테스트를 수행하였다.
’25. 4. 14. ~ 6. 25., 회원 식별번호를 순차적으로 증가*시키며 다수의 위조 인증토큰을 생성하였고, 배송지 관리 페이지에 접속(약 1억4,800만회)하여 유효한 회원 식별번호 확보 및 배송지 정보를 유출하였다.
* 해커가 값을 2부터 164,654,508까지 순차적으로 증가시킨 값을 사용하여 인증토큰 111,384,526개를 생성하였고, ’25.6.3. 이전 로그가 삭제된 것을 고려할 때, 실제 생성된 인증토큰은 더 많을 수 있음
'25. 6. 24. ~ 10. 12., 앞서 확보한 유효한 회원 식별번호를 이용하여 회원정보 수정 페이지에 접근(34,966,812회)하여 개인정보(이름, 이메일)를 유출하였고,
’25. 9. 26. ~ 11. 8., 배송지 수정 페이지 및 주문 목록 페이지에 각각 50,474회, 85,213회 접근하여 주소, 공동현관 비밀번호, 주문정보 등을 유출하였다.
’25. 11. 9. ~ 11. 17. 해커는 '@coupang.com’ 이메일 계정을 사용하는 회원을 대상으로 개인정보가 유출될 위험에 있다는 내용의 메일 2,959개를 발송(개별 회원 및 쿠팡 직원 포함)하였고,
<img src="/LSW/flDownload.do?flSeq=169624315" alt="3번째 이미지"></img>
'25. 11. 25., 해커는 앞서 회원정보 수정 페이지, 배송지 관리 페이지, 주문목록 페이지에서 유출한 정보를 조합하여 회원별로 재구성한 샘플 데이터(266명)를 포함한 협박 메일*을 발송하면서, 관련 취약점 조치를 하지 않을 경우, 한국/일본/대만 회원, 미디어 등에 개인정보 유출 사실을 알리고, 잠재적인 사기 위험을 알리겠다고 적시하였다.
또한, 해커는 메일에서 본인이 한국 회원의 주소 1억2천만개, 주문정보 5억6천만개, 이메일 주소 3천3백만개 이상을 보유하고 있음을 언급하였으며, 지역별(경기도/서울 등), 이메일 도메인별( / 등)로 분류한 수치도 제시하였다.
<img src="/LSW/flDownload.do?flSeq=169624317" alt="4번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624319" alt="5번째 이미지"></img>
2) 개인정보 유출 내용1명이 여러 계정으로 가입 가능하여 일부 중복가능성 존재, 회원가입 및 배송지 정보 입력시 별도의 인증 과정이 없어 유출항목에 따라 일부 실제가 아닌 정보 포함 가능성 존재
회원의 경우, 33,222,472명(계정기준)의 개인정보가 유출되었으며, 해커가 접근한 웹페이지별 유출 내용은 다음과 같다.
회원정보 수정 페이지를 통해 33,057,012명의 개인정보(이름, 이메일)가 유출되었고, 배송지 관리 페이지를 통해 22,375,359명쿠팡의 로그 자동 삭제정책( )으로 인해 조사 당시 확보 가능한 로그('25.6.3. 이후) 기준으로 확인된 최소 규모이나, ⅰ) 해커는 ’25.4월~6월 '배송지 관리 페이지’에 먼저 접근하여 회원 식별번호를 순차적으로 증가시키며 유효한 회원번호(3,300만여명)를 획득하고, '회원정보 수정 페이지’에 접근하여 정보를 유출한 점, ⅱ) 해커가 발송한 메일에서 해커는 배송지 1.2억건을 보유하고 있고, 주소의 광역시도 및 시군구별 분류 수치를 언급하였는데, 이를 회원정보 수정 페이지에서 유출된 회원계정(3,300만여 명)이 등록한 배송지를 확인한 결과, 오차율 1% 이내로 일치하는 점, ⅲ) 로그가 삭제되어 배송지 관리 페이지에서 유출된 회원을 특정할 수 없는 공격기간(’25.4.14.~6.2.) 동안 해커는 배송지 관리 페이지에 약 35백만여회 접근한 사실이 있는 점(해커가 배송지 관리 페이지에 대한 전체 접속횟수인 1.4억여회의 25%에 해당) 등을 종합해 볼 때, 배송지 관리 페이지를 통해 유출된 회원은 더 많을 것으로 추정됨
(최소)이 등록한 배송지 목록(이름, 전화번호, 주소, 마스킹된 공동현관 비밀번호마스킹이 해제된 공동현관 비밀번호의 경우, 회원 2,580명이 등록한 4,226건의 공동현관 비밀번호가 유출됨) 63,986,315건이 유출되었으며, 주문목록 페이지를 통해 58,349명의 주문정보 272,470건이 유출되었다.
아울러, 배송지 관리 페이지를 통해 유출된 배송지 63,986,315건에는 회원이 아닌 정보주체 개인정보(이름, 휴대전화번호, 주소)가 포함되어 있었고, 배송지 내 등록된 휴대전화번호를 기준으로 회원DB에 존재하지 않는 건수를 산출한 결과, 4,338,368명의 개인정보가 유출된 것으로 확인하였다.
3) 유출 인지 및 대응
피심인은 인지 후 72시간 내 유출신고는 완료하였으나, 조사과정에서 추가로 식별된 유출대상(약 16.5만명)에 대한 통지는 지연하였고, 유출된 배송지에 포함된 회원이 아닌 정보주체 대상으로는 유출 통지하지 않았다.
<img src="/LSW/flDownload.do?flSeq=169624321" alt="6번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
1) 불법적인 접근 및 침해사고 방지를 위한 접근통제를 소홀히 한 행위
피심인이 운영하는 서비스에서 공격기간 동안 개인정보가 포함된 페이지(회원정보 수정 페이지, 배송지 관리 페이지) 대상으로 동일 IP에서 일평균 접속량은 최대 44배, 해외 IP 접속량은 최대 1,300배 이상 증가하는 등 이상 트래픽이 발생하였다.
특히, '25. 4.14. ~ 6.25. 동안 배송지 관리 페이지 대상으로 오직 16개 IP에서 1억4,800만여회 공격을 시도하였고, 6월에만 1억1,700만여회 공격하는 등 소수의 IP를 통해 비정상적인 과도한 접속을 시도하였다.
또한, 해커가 배송지 관리 페이지 대상으로 사용한 인증토큰 1억1천만여개 중 4천4백만여개(약 40%)는 실제 존재하지 않는 회원의 인증토큰을 이용한 비정상 접속을 시도하였으나, 피심인은 이상행위를 인지하지 못하였다.
심지어, 해커의 과도한 접속시도가 지속적으로 발생하여 시스템을 통해 이상행위가 의심되는 보안티켓(10건)이 생성해당 보안티켓은 '동일 IP에서 임계치를 초과하여 분간 번 이상 접속시도한 경우’, '봇을 통해 분간 회 이상 접속시도가 번 연속으로 발생하거나 분간 회 이상 접속시도한 경우’에 시스템을 통해 생성
되었으나, 피심인은 이를 단순 크롤링으로 인식하여 차단조치만 할 뿐, 이상행위에 대해 IP 분석 등 개인정보 유출시도에 대한 상세분석을 수행하지 않았고관제팀(SOC팀)에서 차단IP에 대한 검토를 요청하였으나, 상세분석 미수행,
<img src="/LSW/flDownload.do?flSeq=169624323" alt="7번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624325" alt="8번째 이미지"></img>
계정탈취(ATO)가 의심되는 행위ATO(Account Take Over) 티켓 : 동일한 기기 식별자(PCID)에서 개 이상의 휴대전화번호로 로그인(ID/PW가 아닌 휴대전화번호로 로그인하는 기능) 시도 시 탐지
가 발생하여 해커의 기기 식별자(PCID) 차단을 요청하는 보안 티켓(3건, '25.8.14.~8.21.)이 생성되었으나, 해당 기기 식별자(PCID)에서 발생하는 접속 시도를 차단하지 않았고(결제시도만 차단), IP 분석 등 별도의 상세분석을 수행하지 않아 해커는 동일한 기기 식별자(PCID)로 공격을 지속하였고, 장기간 해커의 유출시도를 인지하지 못하였다.
<img src="/LSW/flDownload.do?flSeq=169624327" alt="9번째 이미지"></img>
아울러, 회원정보 수정 페이지, 배송지 관리 페이지는 개인정보가 표출되는 중요 페이지로 특별 모니터링이 필요함에도 상품 페이지 등과 같이 크롤링이 다수 발생하는 일반 페이지와 동일한 임계치사고 당시 '회원정보 수정 페이지’의 경우, 동일 IP에서 초 동안 회, 분 동안 회 접속시 차단, '배송지 관리 페이지’의 경우, 초 동안 회, 분 동안 회 이상 접속 시 차단하는 정책 적용
를 설정하여 실질적인 공격 차단이 거의 이루어지지 않았다해커의 회원정보 수정 페이지 대상 36,550,979건 접속시도 중 502,637건 차단, 배송지 관리 페이지 대상 148,062,686건 접속시도 중 1,835건 차단
.(차단율 약 0.27%)
또한, 최대 10분간 차단 후 자동해제되는 차단정책으로 인해 전체 해커 IP 2,313개 중 40개의 IP가 차단 이후 공격에 재사용되었다.
2) 정보주체의 인증수단을 안전하게 관리하지 않은 행위
피심인은 대체(Fallback) 인증 개발 종료 후 운영환경에 있는 대체 인증 서명키(Fallback Private Signature Key)를 시스템비밀정보(비밀번호, 인증서, 키 등)를 저장ㆍ관리하는 솔루션으로, 피심인은 社의 시스템 사용에서 평문으로 노출되도록 운영하면서,
해당 키를 별도 분리 보관하지 않고, '키와 무관한 정보’와 함께 같은 경로(파일)에서 관리함에 따라, 업무상 인증 서명키 열람이 필요하지 않은 개발자들도 '키와 무관한 정보’ 확인을 이유로 시스템 내 해당 경로(파일) 접근권한을 부여받았다.
확인결과, 실제로 시스템 내 해당 경로(파일)에는 해커 포함 총 8명의 개발자가 권한을 부여받았고, 그 중 3명은 인증팀 소속도 아니었으며, ’25.12.14. 휴직한 직원에게 부여되었던 시스템 접근권한을 조사 당시인 '25.12.31. 현장조사 과정에서 지적하기 전까지 회수하지 않는 등 관리 또한 미흡한 사실을 확인하였다.
<img src="/LSW/flDownload.do?flSeq=169624247" alt="10번째 이미지"></img>
이로 인해, 재택근무 등이 활발한 피심인의 근무환경에서 외부에서도 개발자들(해커 포함)이 시스템에 접속하여 평문 대체 인증 서명키(Fallback Private Signature Key)를 상시적으로 열람할 수 있도록 하는 등 키가 유출에 취약한 상태로 운영되었다.
반면, 주 인증에 사용되는 일반 인증 서명키의 경우, 인증 서명키 생성시 생성 요청자, 승인자, 실제 생성자를 분리하고, 생성된 키는 인터페이스를 통해 자동으로 전용 데이터베이스( DB)에 저장되며, 해당 데이터베이스 접근 권한은 개발자에게 부여되지 않는 등 키 생성ㆍ이용ㆍ교체 전 과정에서 개발자 뿐만 아니라 운영자도 운영 인터페이스, API, DB 접근을 통해서 열람할 수 없도록 설계되어 외부 반출이 구조적으로 불가능하도록 설계ㆍ운영되고 있었다.
또한, 대체(Fallback) 인증을 설계ㆍ개발하였고, 운영 단계에서도 시스템에서 평문 대체 인증 서명키(Fallback Private Signature Key)를 열람할 수 있었던 해커가 퇴사('24.12.31.)하였음에도, 피심인은 해당 키를 즉각 갱신 또는 폐기하지 않아(사고 인지 후 ’25.11.19. 폐기) 인증 서명키가 유출된 상태가 장기간 지속되었다.
심지어 대체 인증 서명키(Fallback Private Signature Key)는 일반 인증 서명키일반 인증 서명키의 경우, 서명키 발급, 갱신, 폐기 등 全과정에서 변경목적, 대상환경, 수행 시점 등 사전 확인, 매니저의 검토ㆍ승인 필요, 내부 SOP(표준운영절차) 문서 등이 존재함
와 달리 관리정책(키 생성ㆍ승인절차, 키 폐기ㆍ갱신 절차 등)은 존재하지 않았고, 누가 어떠한 절차로 대체 인증 서명키를 생성했는지 발급내역 또한 존재하지 않았으며대체 인증 서명키는 대체 인증 기능이 배포되어 운영을 시작('24.4월)하기 5개월 전인 ’23.11월에 이미 생성된 키로, 사고 이후 폐기되기 전까지 계속 사용됨, 대체 인증 서비스 개발 이후에도 컴플라이언스팀이 수행하는 정기 모니터링(연1회) 대상에 한차례도 포함되지 않아 점검 체크리스트에 키가 절차에 따라 생성되어 안전하게 관리되고 있는지(키 갱신, 최소 접근권한 등) 점검항목이 있음에도 검토되지 않았다.
나. 회원 대상 유출 통지 지연 및 회원이 아닌 정보주체 대상 유출통지를 하지 않은 행위
피심인은 유출 통지(1ㆍ2차 통지) 당시 개인정보 “노출” 통지라는 제목으로 개인정보 일부 노출 사고 발생이라고 안내하여 정보주체에게 개인정보 유출 여부 등에 대한 혼란을 야기하였으며, 이후 개인정보보호위원회의 개선권고(’25.12.3.)에 따라 “유출”로 수정ㆍ보완하여 통지(’25.12.7.)한 바 있다.
이후 조사 과정에서 피심인은 기존 통지한 정보주체 외에 165,455개 계정이 배송지 관리 페이지를 통해 추가로 유출된 사실을 '26.1.30. 인지하였으나, 정당한 사유 없이 72시간을 경과한 '26. 2. 5. 유출 통지하였다.
아울러, 위원회는 피심인에 유출된 배송지 목록에 포함된 회원이 아닌 정보주체 대상으로 개인정보 유출 통지를 실시하도록 수차례 촉구하였으나('25.12.3., 12.10., 12.26., '26.1.14.), 피심인은 의결일인 ’26.6.10. 현재까지 통지하지 않은 사실이 있다.
다. 처리 목적 달성 등 개인정보가 불필요함에도 파기하지 않은 행위
피심인은 탈퇴회원의 회원정보는 탈퇴 후 90일 경과 시 파기하되 일부 정보는 분리 보관하고, 주소 및 계좌번호는 탈퇴 즉시 파기한다고 정하고 개인정보처리방침 등에서 밝히고 있으나,
탈퇴회원 884,972개 계정이 보유한 배송지 정보(이름, 전화번호, 주소) 2,465,592개를 주소 DB에서 파기하지 않았으며, 그 중 100,696개 탈퇴계정의 배송지 정보(이름, 전화번호, 주소 131,223건)는 실제 유출까지 이어졌다.
※ 미파기된 계정 중 '11. 3. 31. 탈퇴한 계정이 가장 오래전 탈퇴한 계정으로 파악
또한, 탈퇴회원의 계좌번호 318,499건을 파기하지 않고 90일 간 보관하였으며, 문자ㆍ이메일 발송 등을 위해 회원 DB를 복사한 별도의 발송용 DB( )를 구축ㆍ운영하면서, 탈퇴 후 90일이 경과한 717,865명의 개인정보(이름, 전화번호, 이메일)를 발송용 DB( )에서 파기하지 않았다.미파기된 계정 중 '13. 10. 1. 탈퇴한 계정이 가장 오래 전 탈퇴한 계정으로 확인라. 개인정보 보호책임자의 독립적 업무 수행을 방해한 행위
피심인은 ’25. 12. 9.부터 중국에 있는 해커와 접촉하여 진술서 작성, 증거물 확보, 포렌식 등 자체적으로 조사를 진행하였으나, 그 과정에서 국내 개인정보 보호 책임자(CPO)는 의사결정에서 배제되어 해당 내용을 사전 공유조차 받지 못하였고,
'25. 12. 25. 자체 조사결과에 대한 사실관계 검토 및 홈페이지를 통해 공개하는 과정에서도 CPO는 관련 업무에서 제외되었다.
한편, 피심인은 자체 접촉한 해커 진술에만 의존하여 “3천건만 저장하였고 이후 모두 삭제했다”는 내용의 일방적 자체조사 결과해커 PC 포렌식 결과, ①3,000명의 고객정보만 저장과 관련된 디지털 증거는 확인되지 않았고, ②해커는 대만 쿠팡의 회원정보에는 접근한 적이 없다고 진술하였으나, 확인결과, 해커는 대만 쿠팡 회원도 동일한 공격으로 개인정보를 유출하였고, ③해커는 3,000개를 초과하지 않은 계정에 대해서만 구매기록 및 공동현관 비밀번호를 확인할 수 있는 스크립트를 실행했다고 진술하였으나, 확인결과, 5,712개 계정의 배송지 수정 페이지(마스킹이 해제된 공동현관 비밀번호 확인 가능) 및 67,725개 계정의 구매내역 페이지에 접근한 사실이 있음, ④해커는 모든 데이터는 외부 기기나 클라우드 서버에 업로드되지 않았다고 진술하였으나, 확인결과, 해커 PC에 쿠팡 계정의 쿠키값(인증토큰 포함)을 외부 서버로 전송하는 스크립트가 확인됨를 쿠팡 앱/웹 내 공지배너, 언론보도 등을 통해 적극적으로 공개한 바 있다.
이러한 피심인의 행위는 개인정보 유출 피해규모를 축소하고, 정보주체로 하여금 혼란을 야기시키고, 2차 피해 방지를 위한 적절한 대응을 하기 어렵게 만들었으며, 개인정보보호위원회가 ’26.1.14. 자체조사 결과의 게시 중단을 촉구하자 '26.1.23. 게시를 중단하였다.
마. 자료은닉ㆍ폐기 등 조사를 방해한 행위
개인정보보호위원회는 조사 착수 즉시 사고 관련 접속기록 등 각종 증거자료의 보전 요청 공문을 피심인에게 ’25. 11. 21. 발송하였으나,
피심인의 로그 담당자는 보관하던 웹 접속로그 중 '24.7~11월에 해당되는 로그를 ’25. 11. 2.7. 수동으로 삭제하였고,
일 경과시 삭제되도록 설정된 어플리케이션 로그 자동삭제 정책을 '25. 12. 2.까지 중단하지 않아, 자료 보전 명령에 따라 남아있어야 할 ’25.5.25. ~ 6.2. 기간의 로그가 자동 삭제되도록 하였다.
해당 로그는 배송지 관리 페이지를 통해 유출된 회원을 특정하기 위해 필요한 로그이나, 해당 로그의 삭제로 인해 정확한 유출규모 확인이 제한되었다.
바. 기타 개인정보 처리실태 관련 개선 필요 사항
1) 탈퇴회원의 개인정보 보유기간 및 분리보관의 적절성 관련
피심인은 정보주체 동의를 근거로 탈퇴회원의 개인정보 전체를 유효회원과 동일한 DB에서 탈퇴 후 90일까지 보관하면서, 탈퇴 직후에는 탈퇴회원임을 확인할 수 있도록 상태값 등만 변경하여 관리한 사실이 있다他 이커머스 사업자(5일 이내 파기하되 부정이용 등의 방지 목적으로 휴대전화번호 등 일부 정보만 별도 DB에 분리 보관)와 비교할 때, 보관하는 목적이 포괄ㆍ추상적(원활한 민원상담 등)이고, 보관 기간 및 항목이 과다.
또한, 탈퇴 90일 이후에는 일부 개인정보*를 관계 법령(전자상거래법 등)에서 요구하는 기간** 동안 분리보관 하고 있으나, 가입 이후 관련 행위(상품주문, 대금결제, 민원제기 등)가 없는 경우에도 모든 회원의 정보를 탈퇴 후 5년까지 일률적으로 분리보관하였다.
* (항목) 회원식별번호, ID, 이름, 이메일, 전화번호, 생년월일, CI/DI
** (보유기간) ▲계약 또는 청약철회 등에 관한 기록(5년), ▲대금결제 및 재화등의 공급에 관한 기록(5년), ▲소비자의 불만 또는 분쟁처리에 관한 기록(3년) 등
2) 처리방침 현행화 미흡 관련
피심인은 국외이전(위탁) 관련하여 재난ㆍ재해 상황시 서비스 제공을 위해 '21년 4분기부터 '25.2.7일까지 회원DB를 싱가포르 클라우드( )에 백업한 바 있으나, 이후 국외이전(위탁)을 중지하였음에도 ’26. 2. 5.까지 처리방침을 현행화하지 않았다.
또한, 피심인은 통관업무 처리 목적으로 개인통관고유부호를 수집하고, 탈퇴 후 90일 간 보관하고 있으나, 처리방침에서 '회원 탈퇴 시 파기’로 상이하게 규정(~’26.2.5)하였다.
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 2. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 '26. 4. 30. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제2호는 “개인정보에 대한 개인정보에 대한 접근 권한을 제한하기 위한 '데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 ”개인정보처리시스템“이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행(가목)’, '정당한 권한을 가진 자에 의한 접근인지를 확인하기 위해 필요한 인증수단 적용 기준의 설정 및 운영(나목)’, '그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치(다목)’의 조치를 해야 한다고”라고 규정하고 있다.
시행령 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위한 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평균 100만명 이상인 개인정보처리자만 해당한다.의 조치를 해야 한다(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)」(이하 '안전성 확보조치 기준’) 제5조제5항은 “개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.”라고 규정하고 있다.
안전성 확보조치 기준 제6조제1항은 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 '개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한(1호)’, '개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응(2호)’의 안전조치를 하여야 한다.”라고 규정하고 있다.
나. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 ”유출등“이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(1호)’, '유출등이 된 시점과 그 경위(2호)’, '유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보(3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(5호)’의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.”라고 규정하고 있고, 제34조제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 보호위원회 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.”라고 규정하고 있고, 제34조제4항은 “제1항에 따른 유출등의 통지 및 제3항에 따른 유출등의 신고의 시기, 방법, 절차 등에 필요한 사항은 대통령령으로 정한다.”라고 규정하고 있다.
시행령 제39조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조 및 제40조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, '유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우(1호)’, '천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우(2호)’의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있다.“라고 규정하고 있고, 제39조제2항은 ”제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다.“라고 규정하고 있고, 제39조제3항은 ”제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.“라고 규정하고 있다.
시행령 제40조제1항은 ”개인정보처리자는 '1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우(1호)’, '민감정보 또는 고유식별정보가 유출등이 된 경우(2호)’, '개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우(3호)’의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조 제3항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다.“라고 규정하고 있고, 제40조제2항은 ”제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.“라고 규정하고 있고, 제40조제3항은 ”법 제34조제3항 전단 및 후단에서 “대통령령으로 정하는 전문기관”이란 각각 한국인터넷진흥원을 말한다.“라고 규정하고 있다.
다. 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.”라고 규정하고 있다.
라. 보호법 제31조제1항은 “개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다.”라고 규정하고 있고, 제31조제3항은 “개인정보 보호책임자는 '개인정보 보호 계획의 수립 및 시행(1호)’, '개인정보 처리 실태 및 관행의 정기적인 조사 및 개선(2호)’, '개인정보 처리와 관련한 불만의 처리 및 피해 구제(3호)’, '개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축(4호)’, '개인정보 보호 교육 계획의 수립 및 시행(5호)’, '개인정보파일의 보호 및 관리ㆍ감독(6호)’, '그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무(7호)’의 업무를 수행한다”라고 규정하고 있으며, 제31조제6항은 “개인정보처리자는 개인정보 보호책임자가 제3항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다.”라고 규정하고 있다.
마. 보호법 제63조제1항은 “보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다. '이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게된 경우(1호)’, '이 법 위반에 대한 신고를 받거나 민원이 접수된 경우(2호)’”라고 규정하고 있고, 제63조제2항은 “보호위원회는 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
안전성 확보조치 기준은 개인정보가 유출되지 않도록 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적(제1조)으로 하고 있고, 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려해, 스스로의 환경에 맞는 개인정보의 안전성 확보에 필요한 조치를 적용하도록 원칙(제3조)으로 정하고 있다.
1) 접근통제를 위한 안전조치를 소홀히 한 행위
피심인은 외부에서 개인정보처리시스템에 대한 불법적인 접근 및 침해사고를 방지하기 위하여, 개인정보처리시스템에 접속한 IP 주소 등을 분석하여 불법적인 유출시도를 탐지하고 접근 제한ㆍ차단 등 적절한 대응 조치*를 하여야 한다.
* 침입 차단ㆍ탐지 정책 설정, 이상행위 대응, 로그 대조ㆍ분석 등을 통해 유출 탐지ㆍ대응
<img src="/LSW/flDownload.do?flSeq=169624249" alt="11번째 이미지"></img>
이는 단순히 보안장비 구축ㆍ운영이 아닌, 서비스 규모ㆍ특성, 개인정보 처리환경 등을 고려하여 탐지ㆍ대응 전략을 수립을 의미한다. 예를 들어, 실질적인 개인정보 유출시도 탐지ㆍ대응을 위해 개인정보가 노출되는 페이지를 식별하여, 이에 대한 이상행위 트래픽 등을 점검해야 한다.
그러나, 피심인은 개인정보가 직접적으로 노출되는 핵심 페이지인 회원정보 수정 페이지, 배송지 관리 페이지 등에 대해 평시 대비 과도한 트래픽이 발생하였고, 서비스 장애 등 예외적인 상황에서만 동작하는 대체(Fallback) 인증토큰이 과도하게 생성ㆍ이용 되었으며, 그 중 40%는 실제 존재하지 않은 회원의 토큰을 통한 접속시도임에도 이상행위를 인지하지 못하였다.
또한, 해커의 반복적인 과도한 접속시도로 인해 보안티켓이 생성되었고, 티켓 내용 또한 회원정보 수정 페이지에 대한 공격 IP 검토를 요청하거나, 개인정보 스캐닝 태그와 함께 과도한 접속을 시도하는 의심 IP가 확인되었다는 내용이 존재함에도 상세분석 하지 않았고, 비정상적인 로그인 시도로 인해 계정탈취 의심 티켓(ATO 티켓)이 발생하는 등 개인정보 유출정황이 있음에도, 결제 차단조치는 신속하게 수행하면서 개인정보 유출 관련 분석은 수행하지 않는 등 이상행위에 대한 탐지ㆍ대응을 소홀히 하였다.
또한, 피심인이 적용한 차단정책은 개인정보가 포함된 페이지의 특성, 평상시 접속량 등이 고려되지 않은 채 임계치가 설정되어 사실상 공격이 거의 차단되지 않았다.
이로 인해, 다수의 이상행위가 발생되어 사전에 공격을 인지하고, 유출확산을 차단할 수 있는 기회가 있었음에도, 해커의 협박메일을 수신할 때까지 인지조차 하지 못하여 6개월 이상 장기간 공격이 지속되었고, 개인정보 대량 유출로까지 이어졌다.
이러한 피심인의 행위는 불법적인 접근 및 침해사고 방지를 위해 안전조치를 소홀히 한 것으로, 보호법 제29조, 시행령 제30조제1항제3호, 안전성 확보조치 기준 제6조제1항을 위반한 것이다.
2) 정보주체의 인증수단을 안전하게 관리하지 않은 행위
안전성 확보조치 기준에 따르면, 개인정보처리자는 정당한 권한을 가진 개인정보취급자 또는 정보주체를 인증하기 위하여 스스로의 환경, 개인정보 보유 수, 정보주체에 미치는 영향 등을 고려하여 인증수단을 안전하게 적용하고 관리하여야 한다.
보호법 상 '인증수단’은 개인정보취급자 또는 정보주체가 정당한 권한이 있는지 검증하기 위한 수단이다. 한편, '인증 서명키’는 정당한 접근권한이 있는지 그 신원 확인을 위한 인증토큰 생성 및 검증의 필수 요소로서, 신원확인의 실질적 핵심이다.
인증 서명키는 일종의 마스터키로서 전자서명 검증만으로 인증을 허용함에 따라 서명키가 유출될 경우, 전체 회원의 토큰을 위조하여 로그인할 수 있는 등 인증 서명키 관리 실패는 인증체계 전체의 무력화로 이어지는 고위험 취약 지점에 해당하여 철저하고 엄격한 관리가 필요하다.
이러한 키 관리를 위해 사용되는 키 관리 시스템의 핵심은 단순히 키를 저장하는 것에 그치는 것이 아니라, 키의 직접 노출을 최소화시켜 기밀성을 보장하는데 있으며, 피심인이 사용한 라는 시스템은 키 관리 시스템을 구성할 수 있는 기술적 기반일 뿐, 올바른 키 관리 시스템으로 운영되기 위해서는 접근통제, 권한분리 등이 함께 설계되어 불필요하게 키가 노출되지 않도록 제한해야 한다.
이는 암호키 관련 각종 국제표준(NIST SP 800-57) 및 피심인의 「암호화 기준서」에도 규정되어 있으며, 피심인의 주 인증 서비스에서 사용되는 일반 인증 서명키의 관리 현황인증 서명키를 열람할 수 없도록 설계되어 외부 반출 구조적으로 불가능하며, 키 관리정책에 따라 인증 서명키 발급, 갱신, 폐기 등 수행, 티켓을 통해 기록ㆍ관리및 피심인과 동일하게 를 통한 토큰 기반 인증체계를 운영하는 타사의 인증 서명키 관리 현황임직원이 키 생성, 갱신, 폐기 등 과정에서 직접 키값을 확인할 수 있는 경로 미존재, 임직원 퇴사시 내부 키 발급 및 관리 절차에 따라 재직기간 동안 발급받은 모든 키에 대한 접근차단 및 권한 회수을 보더라도 인증 서명키를 평문 상태로 보여지는 상황은 원천 차단되어 있다.
<img src="/LSW/flDownload.do?flSeq=169624251" alt="12번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624253" alt="13번째 이미지"></img>
아울러, 평문 키가 노출되어 기밀성이 훼손된 경우, 절차에 따라 신속하게 키를 교체하는 등 안전한 키 관리가 필요하다.
특히, 피심인은 국내 이커머스 업계 1위의 대규모 플랫폼 서비스를 운영하는 사업자로서 약 만 명 이상의 개인정보를 처리하고, 대체 인증 서명키(Fallback Private Signature Key)를 통해 전체 회원의 인증이 가능하도록 인증 체계를 운영함에 따라 대체 인증 서명키에 대한 각별한 기술적ㆍ관리적 보안이 필요하다.
그러나, 피심인은 시스템 접속 시 대체 인증 서명키(Fallback Private Signature Key)가 평문으로 노출되도록 운영하면서, 이미 개발이 종료되어 운영환경에 있는 핵심 비밀정보인 대체 인증 서명키를 ’키와 무관한 정보'들과 시스템 내 같은 경로(파일)에서 보관ㆍ관리함에 따라, 키 열람이 필요하지 않은 개발자들이 권한을 부여받아 외부에서 상시적으로 평문 대체 인증 서명키를 열람할 수 있는 등 키가 유출에 취약한 상태로 운영되었다.
또한, 피심인이 운영하는 시스템은 인증 서명키가 노출되지 않은 상태에서 전자서명 할 수 있는 핵심 기능(Transit)을 기본적으로 제공하고 있으며, 피심인은 해당 기능으로 이미 80여개 이상의 키를 관리하고 있었으나, 대체 인증 서명키(Fallback Private Signature Key)에 대해서는 해당 기능을 적용하지 않았다.
< Transit 기능( 제품 안내자료 발췌) >
<img src="/LSW/flDownload.do?flSeq=169624243" alt="14번째 이미지"></img>
한편, 사고가 발생한 ’대체(Fallback) 인증'과 달리 피심인은 이미 운영하고 있던 ’일반 인증'의 경우, 인증 서명키의 평문 노출을 원천 차단하고, 키 관리정책에 따라 철저히 관리하고 있었으며, 타사의 인증 서명키 운영현황을 보더라도 대체 인증 서명키(Fallback Private Signature Key)를 평문 상태로 노출되지 않도록 하는 것은 충분히 가능하였음에도, 대체 인증은 이러한 방식으로 운영하지 않는 등 안전하게 설계ㆍ운영하지 않았다.
또한, 암호키 보안표준([NIST SP 800-57] 8.3.5 Key Revocation Function)에 따르면 키 소유자가 조직을 떠났을 경우를 대표적인 키 폐기 사례로 제시하고 있으며, 해커는 재직 당시 대체(Fallback) 인증을 설계ㆍ개발하였고, 개발 종료 이후 운영 단계에서도 시스템에 접근하여 상시적으로 평문 대체 인증 서명키(Fallback Private Signature Key)를 확인할 수 있었던 자로, 해당 해커가 퇴사(’24.12.31.)함에 따라 키의 기밀성이 훼손 또는 유출될 위험이 있음에도, 대체 인증 서명키를 폐기 또는 갱신하지 않았다.
심지어, 대체 인증 서명키(Fallback Private Signature Key)는 일반 인증과 달리 별도의 서명키 관리 정책이 존재하지 않고, 키 생성 당시 발급ㆍ승인 기록 조차 존재하지 않아 누가, 언제, 어떠한 절차로 키를 발급하여 시스템에 주입하였는지 알 수 없는 상태로 사용되어 왔고,
<img src="/LSW/flDownload.do?flSeq=169624255" alt="15번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624257" alt="16번째 이미지"></img>
별도의 대체 인증 서명키(Fallback Private Signature Key) 관리ㆍ운영 정책 또한 존재하지 않으며, 컴플라이언스팀이 수행하는 정기 모니터링 대상에도 포함되지 않아 키 관리 상태가 점검되지 않는 등 사실상 대체 인증 서명키는 보안적으로 방치된 상태로 관리되는 등 키 관리 실패로 인증체계 전반이 무력화되었다.
이러한 피심인의 행위는 보호법 제29조, 시행령 제30조제1항제2호, 안전성 확보조치 기준 제5조제5항을 위반한 것이다.
나. 개인정보 유출 통지를 지연한 행위
[보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항]
보호법은 개인정보 유출 피해를 사전에 방지하고 정보주체로 하여금 유출 피해에 대응할 수 있도록 하기 위해, “유출 되었음을 알게 된 때”에는 지체 없이 유출 항목, 시점, 경위, 피해 최소화 방법, 피해 구제절차 등을 정보주체에게 통지하고, 위원회에 신고하도록 의무를 부과하고 있다.
피심인은 조사 과정에서 기존에 유출신고ㆍ통지한 3,300만여명 회원 외 추가로 유출 가능성이 있는 38만여개 계정을 ’26. 1. 27. 최초 식별하였으며, 그 중 공격시점에 배송지 존재 여부 등을 고려하여 실제 배송지가 유출된 계정 165,455개 계정을 '26. 1. 27. ~ 30. 최종 확인하는 등 추가 유출을 인지하였음에도 72시간이 경과한 ’26. 2. 5.에서야 해당 정보주체에게 유출 사실을 통지하였다.
또한, 피심인은 배송지 정보를 회원DB와 분리된 별도의 DB에서 관리하면서 배송받는 자의 휴대전화번호를 회원 정보와 대조하여 번호가 상이할 경우, 해당 휴대전화번호로 배송완료 문자를 발송하는 등 전화번호 기준으로 정보주체를 식별하고, 별도의 독립적인 정보로서 처리하면서,
6,398만여 건의 유출된 배송지 목록에 쿠팡 회원이 아닌 정보주체의 개인정보가 존재함을 인지하고, 통지수단(연락처) 또한 보유하고 있었음에도, 해당 정보주체를 대상으로 별도의 유출 통지를 하지 않는 등 정보주체의 2차 피해 예방을 위한 개인정보 유출통지를 소홀히 한 행위는 보호법 제34조제1항을 위반한 것이다.
위원회는 유출된 배송지 내 정보주체에 대해 유출통지할 것을 수차례 촉구하는 내용의 개선권고를 의결 후 피심인에 송달하였고, 피심인은 이에 대해 “식별 가능한 범위(배송지에 전화번호 등이 입력된 경우) 내에서 통지할 예정”임을 서면 답변(’25.12.9., ’25.12.22.)하였음에도, 의결일인 ’26.6.10.까지 통지하지 않았다.
다. 개인정보가 불필요하게 되었음에도 파기하지 않은 행위
[보호법 제21조(개인정보의 파기)제1항]
피심인은 보유기간의 경과, 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다.
그러나, 피심인은 탈퇴회원 884,972개 계정이 등록한 배송지(2,465,592건)를 파기하지 않았고, 그로 인해 100,696개 탈퇴계정의 실제 개인정보가 유출되는 상황까지 초래되었다.
또한, 탈퇴회원의 계좌번호(318,499건)는 탈퇴 후 즉시 파기한다는 처리방침과 다르게 파기하지 않았고, 회원 대상 문자ㆍ이메일 발송을 위해 회원DB를 복제한 문자ㆍ이메일 발송용 DB를 운영하면서, 탈퇴 후 90일이 경과한 717,865명의 개인정보를 파기하지 않은 행위는 보호법 제21조제1항을 위반한 것이다.
라. 개인정보 보호책임자의 독립적 업무수행을 방해한 행위
[보호법 제31조(개인정보 보호책임자의 지정 등)제6항]
피심인은 개인정보 보호책임자가 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자(이하 'CPO’)가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다.
그러나, 피심인은 해커와 직접 접촉하여 진술서 작성, 포렌식 등 자체 조사를 실시하면서 관련 정보를 CPO에게 공유하지 않는 등 CPO를 유출사고 조사 및 대응 과정의 의사결정에서 완전히 배제하였고, 포렌식 분석결과가 완성되지 않았고, 사실관계에 대해 CPO 검토도 이루어지지 않은 상태에서 확정되지 않은 자체 조사 결과를 홈페이지에 게시하였다.
이는 단순한 내부 소통의 부재가 아니라, 개인정보 보호 체계의 핵심인 CPO제도를 형해화(形骸化)하는 것으로, CPO는 기업 내 개인정보 보호 업무를 총괄하며, 사고 발생 시 조사 및 대응 과정의 핵심주체가 되어야 함에도, 법이 보장하는 CPO의 독립적 직무수행 권한을 실질적으로 무력화한 행위로써, 보호법 제31조제6항을 위반한 것이다.
마. 자료은닉ㆍ폐기 등 조사를 방해한 행위
[보호법 제63조(자료제출 요구 및 검사)제2항]
피심인은 위원회의 증거자료 보전 요청에도 불구하고 ’25. 11. 27. 보관 중이던 ’24.11월 이전 웹 접속로그를 수동 삭제하였고, 이로 인해 최초 유출시점 등 유출 관련 사실관계 규명을 어렵게 하였다.
또한, 배송지 정보가 유출된 계정을 특정하고 유출규모를 산정하기 위한 필수적인 로그인 어플리케이션 로그해당 로그를 통해 16만명의 추가 유출대상을 파악('26.2.5. 3차 유출통지)하는 등 명백히 사고와 관련된 로그에 해당함자동삭제 정책( 일 경과시 삭제)을 중단시키지 않아 ’25.5.25.~6.2 기간의 로그가 자동 삭제되었고, 이로 인해 해당 기간 동안 유출된 회원이 상당수로 추정됨에도 유출 대상 파악 등 피해범위 확인을 불가능하게 하였다.자료보전 명령 이후 로그가 삭제된 기간 동안 해커의 유출시도 횟수는 1,900만회(’25.5.25. ~ 6.2.)로, 전체 접속횟수(1.4억회)의 약 13%에 해당하는 로그가 삭제됨이는 보호법 제63조제2항에 따른 출입ㆍ검사 시 자료의 폐기 등을 통하여 위원회의 정당한 조사를 실질적으로 방해한 행위에 해당한다.
<img src="/LSW/flDownload.do?flSeq=169624299" alt="17번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 “시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.”라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’중대한 위반행위'로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다.
과징금 부과기준 제7조제2항은 '시행령 제60조의2제1항 단서에서 정한 직전 3개 사업연도 또는 해당사업연도는 위반행위의 종료일을 기준으로 판정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 위반행위와 관련이 없는 매출액은 별도의 앱을 통해 서비스가 제공되고, 서비스별 DBㆍ접근권한, 이용약관 등이 분리되어 있는 쿠팡이츠, 쿠팡플레이 매출과, 사업자회원을 대상으로 별도의 회원가입을 통해 상품을 판매하는 B2B 매출, 개인정보 처리와 무관하여 관련 없는 기타(계열사간 매출 등) 매출 합계 천 원으로 하고, 직전 3개 사업년도의 연평균 전체 매출액에서 관련 없는 매출액을 제외한 천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1천분의 를 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169624301" alt="18번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=169624303" alt="19번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 '피심인의 위반행위의 기간이 1년 초과 2년 이내인 경우’에 해당하여, 기준금액의 100분의 25에 해당하는 천 원을 가중하고, 과징금 부과처분을 2회 이상 받은 경우에 해당하여 100분의 30에 해당하는 천 원을 가중한다.
피심인이 '위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우’ 등을 고려하여, 기준금액의 100분의 30에 해당하는 금액인 천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲ 위원회의 증거자료 보전 요청에도 불구하고 ’25. 11. 27. 보관 중이던 ’24.11월 이전 웹 접속로그를 수동 삭제하고, 로그인 어플리케이션 로그해당 로그를 통해 16만명의 추가 유출대상을 파악('26.2.5. 3차 유출통지)하는 등 명백히 사고와 관련된 로그에 해당함자동삭제 정책( 일 경과시 삭제)을 중단시키지 않아 ’25.5.25.~6.2 기간의 로그가 자동 삭제되도록 한 행위는 조사 방해에 해당하여 1차 조정을 거친 금액의 100분의 10에 해당하는 천 원을 가중하고,
피심인이 ▲과징금의 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 점, ▲정보주체에게 발생한 피해에 대한 원상회복, 손해배상 또는 이에 상당하는 필요한 피해의 회복 및 피해 확산 방지 조치를 이행한 점, ▲개인정보 보호 인증, 자율적인 보호 활동 등 개인정보 보호를 위하여 노력한 점, ▲ 보호법 제64조의2제4항에서 규정하는 바와 같이 위반행위에 상응하는 비례성과 침해 예방에 대한 효과성이 확보될 수 있도록 위반행위의 정도ㆍ동기ㆍ결과 등을 종합적으로 고려하여, 1차 조정을 거친 금액의 100분의 50에 해당하는 천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 423,575,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=169624305" alt="20번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲일종의 마스터키로서 전체 회원의 인증을 담당하는 인증 서명키를 안전하게 관리하지 않아 인증체계 전반이 무력화된 점, ▲침입탐지ㆍ대응 등을 소홀히 하여 조기에 유출을 식별ㆍ차단할 수 있는 기회가 있었음에도 인지조차 하지 못하여 장기간ㆍ대규모 유출로 이어지도록 한 점, ▲다만, 위반행위가 고의적이라기보다는 관리ㆍ운영상의 미흡으로 볼 수 있는 점을 참작함
②(부당성:중) 대규모 개인정보를 처리하는 사업자로서 강화된 보안의무를 부담함에도, ▲피심인이 대체 인증 서명키를 유출에 취약하게 설계ㆍ개발하고 관리를 소홀히 한 점(키 미폐기, 발급내역, 관리정책 부재, 분리보관 미흡 등), ▲이상행위에 대해 보안티켓이 여러 차례 발생하였음에도 상세분석 등 대응하지 않은 점, ▲안전하지 않은 인증수단 적용ㆍ관리, 불법적인 접근 및 침해사고 방지를 위한 안전조치 소홀 등 안전조치의무 위반과 대규모 개인정보 유출 사이에 직접적인 관련성이 존재함, ▲다만, 대표자 또는 임원의 관여나 조직적인 위반행위에는 미해당하고, 개인정보 회수 노력 등을 참작함
③(개인정보 유형:하) ▲민감정보, 고유식별정보, 인증정보 미포함
④(피해규모:상) ▲국민의 일상적 소비와 밀접하게 연결된 생활 필수 플랫폼으로, 약 3,300만 명을 초과하는 국민 대다수의 개인정보가 유출된 점, ▲현재까지 공중에 노출된 사실은 확인되지 않았으나, 이용자의 이름, 연락처, 배송지 주소, 공동현관 비밀번호, 주문내역(성인용품 등 일부 민감한 내용 포함) 등이 유출되어, 스미싱ㆍ피싱 등 2차 피해로 이어질 위험성이 존재하며, 정보주체의 사생활에 미치는 영향이 작지 않은 점, ▲유출사고 관련 분쟁조정(약 2,578명(집단 2건ㆍ1,676명, 개인 902명), ’26.6.10.기준) 제기
** 위반기간 : 대체 인증 서비스 운영 시작(’24.4월) ~ 대체 인증 서비스 중단(’25.11.19.)
*** 과징금 부과기준 제11조제5항에 따라 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버림
**** 1인당 5만원 상당의 구매이용권 지급하는 등 고객 보상 시행
2. 과태료 부과
피심인의 보호법 제21조(개인정보의 파기)제1항, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대한 과태료는 같은 법 제75조(과태료)제2항제4호ㆍ제17호, 시행령 제63조 [별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)(이하 '과태료 부과기준’)에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 제21조(개인정보의 파기)제1항 위반행위에 대해서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없어 1회 위반에 해당하는 600만원을 기준금액을 적용하고, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 있어 2회 위반피심인은 '24. 11. 27. 유출 신고 및 유출 통지 지연 행위로 인한 과태료 처분을 받음에 해당하는 과태료인 1,200만 원을 기준금액으로 적용한다보호법 제29조 위반행위의 경우, 보호법 제76조(과태료에 관한 규정 적용의 특례)에 따라 과징금을 부과한 행위와 동일하므로 과태료를 부과하지 않음.
<img src="/LSW/flDownload.do?flSeq=169624309" alt="21번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과기준 제7조는 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도 등을 고려하여 가중사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 경우, 과태료 부과기준 제7조 및 [별표3]의 가중기준에 따라, 피심인의 보호법 제21조(개인정보의 파기)제1항 위반행위는 ▲법 위반상태의 기간이 2년을 초과한 경우에 해당하여 기준금액의 30%를 가중한다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 특별히 가중할 사유는 없어 기준금액을 유지한다.
2) (과태료의 감경) 과태료 부과기준 제6조제1항은 “당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲개인정보보호 노력정도, ▲조사협조 및 자진시정 등을 고려하여 감경사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있고, 제6조제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 경우, 과태료 부과기준 제6조 및 [별표2]의 감경기준에 따라, 피심인의 보호법 제21조(개인정보의 파기)제1항 위반행위는 ▲개인정보 보호를 위해 노력한 경우, ▲행위사실을 인정하면서 조사에 협력하고, 시정을 완료한 경우에 해당하여 기준금액의 50%를 감경한다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 감경할 사유는 없어 기준금액을 유지한다.
다. 최종 과태료
피심인의 보호법 제21조(개인정보의 파기)제1항, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 1,680만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=169624311" alt="22번째 이미지"></img>
3. 시정조치 명령
피심인에 대하여 보호법 제64조제1항에 따라 다음과 같이 시정조치를 명한다.
가. 인증체계 전반에 대하여 키 관리ㆍ통제 체계를 점검하고, 추후 인증 시스템 개선 또는 신규 인증 서비스 도입 시 유사한 사고가 재발하지 않도록 개인정보 보호 요소를 고려하여 설계ㆍ운영할 것
나. 개인정보 유출이 발생할 수 있는 주요 경로를 식별하고, 모니터링 강화 및 주기적 점검 등을 통해 침해사고 발생 시 신속히 탐지ㆍ대응할 수 있는 기술적ㆍ관리적 안전조치를 강화할 것
다. 정보주체의 2차 피해 예방을 위해 유출된 배송지에 포함된 '회원이 아닌 정보주체’에게 유출 통지를 실시할 것
라. 개인정보 파기 정책을 점검하고, 적절한 파기 정책에 따라 실제 파기 절차가 이행되고 있는지 점검 및 조치할 것
마. 회사 전반의 개인정보 처리 업무를 포함하여 개인정보 유출사고 발생시 관련 정보에 대한 접근을 보장하는 등 개인정보 보호책임자가 독립적으로 업무를 수행할 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
바. 피심인은 가.부터 마.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받을 날로부터 90일 이내에 이행 결과를 제출할 것
4. 결과 공표
보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)」(이하 ’공표 및 공표명령 지침') 제3조(공표요건)제1항에 따라, '보호위원회의 처분 시점을 기준으로 최근 3년 내 시정조치 명령, 과태료, 과징금 부과처분을 2회* 이상 받은 경우(제2호)’에 해당하므로, 피심인이 과징금ㆍ과태료 부과, 시정명령을 받은 사실에 대해 개인정보보호위원회 홈페이지에 1년 간 공표한다.
* 피심인은 '24. 11. 27. 2회 과태료, 과징금 부과처분 받은 사실이 있음(2024-019-246, 248)
<img src="/LSW/flDownload.do?flSeq=169624313" alt="23번째 이미지"></img>
5. 결과 공표명령
보호법 제66조제2항 및 공표 및 공표명령 지침 제6조제1항에 따라 ’위반행위로 인하여 피해를 입은 정보주체의 수가 10만 명 이상인 경우(8호)'에 해당하고 위반행위가 인터넷을 통하여 이루어졌으므로 제8조 및 제11조에 따라 처분등에 대한 통지를 받은 날부터 1개월 이내에 당해 처분등을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만의 기간 동안(휴업일 포함) 공표하도록 명한다. 다만, ’1일간 다시 보지 않기' 기능의 사용 등 팝업창 설정방식 등은 보호위원회와 협의하여 정한다.
이때 제7조제1항, 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅴ. 개선 권고
피심인의 개인정보보호 실태에 대하여 보호법 제61조(의견제시 및 개선권고)제2항에 따라 아래와 같이 개선을 권고한다.
가. 피심인은 탈퇴회원의 개인정보 보관기간ㆍ항목에 대한 적절성을 검토(분리보관 포함)하여 탈퇴회원의 개인정보가 목적에 필요한 범위 내에서 최소한으로 보관ㆍ관리되도록 할 것
나. 피심인은 개인정보 처리ㆍ관리 방식이 변경되는 경우 개인정보 처리방침을 실제 개인정보 처리 방식에 부합하도록 적시에 현행화하고, 공개할 것
다. 피심인은 가., 나.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.
Ⅵ. 고발
피심인이 사고와 관련된 로그를 삭제한 행위는 보호법 제63조제2항에 따른 출입ㆍ검사 시 자료의 폐기를 통해 조사를 방해한 것으로, 보호법 제73조제1항제5호에 따른 벌칙에 해당하고, 「개인정보 보호 법규 위반에 대한 고발 기준」개인정보 보호 법규 위반에 대한 고발 기준(개인정보보호위원회 지침, 2023. 10. 11. 시행)제2조에 따른 고발 대상에 해당하며, 최근 3년 내 보호법 제29조 위반행위로 과징금을 부과받은 사실이 있어 제3조에 따른 고발 기준을 충족하므로, 보호법 제65조에 근거하여 고발한다.
Ⅴ. 결론
피심인의 보호법 제29조(안전조치의무), 제21조(개인정보의 파기)제1항, 제34조(개인정보 유출등의 통지ㆍ신고)제1항, 제31조(개인정보 보호책임자의 지정 등)제6항, 제63조(자료제출 요구 및 검사)제2항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제75조(과태료)제2항제4호ㆍ제17호, 제64조(시정조치 등)제1항, 제66조(결과의 공표)제1항ㆍ제2항, 제61조(의견제시 및 개선권고)제2항, 제65조(고발 및 징계권고)에 따라 과징금 부과, 과태료 부과, 시정조치 명령, 공표, 공표 명령, 개선 권고, 고발을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정조치 명령, 공표, 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).