쿠팡, 개인정보 유출 보상 10만원 거부… “수용 어렵다”

쿠팡이 개인정보 유출 피해자에게 1인당 10만 원씩 배상하라는 한국소비자원 소비자분쟁조정위원회 조정안을 거부했다.

서울의 한 쿠팡 캠프 모습. / 연합뉴스

16일 연합뉴스 보도에 따르면, 쿠팡은 지난 11일 조정위에 조정안을 받아들이지 않겠다는 의사를 서면으로 전달했다.

쿠팡, 개인정보 유출 보상 10만원 거부… "신중한 결정"

쿠팡은 조정안을 거부하면서 "조정안을 신중히 검토했으나 최종적으로 수용이 어렵다는 판단을 내렸다"고 밝혔다. 이어 "그동안 기울인 선제적인 노력과 더불어 조정안 수용에 따른 대내외적 파급효과를 종합적으로 고려해 내린 신중한 결정"이라고 설명했다.

앞서 조정위는 지난해 발생한 개인정보 유출 사고와 관련해 소비자 50명이 집단분쟁조정을 신청하자 사건을 심의했고, 쿠팡의 위자료 배상 책임을 인정했다. 조정위가 제시한 배상액은 1인당 10만 원이다.

3조7000억 배상 갈림길에서 멈춘 쿠팡

쿠팡이 조정안을 받아들였다면, 집단분쟁조정에 참여하지 않은 피해자도 동일한 보상을 받을 수 있었다. 이 경우 지급해야 하는 배상금 규모는 3조7000억 원가량으로 추산된다.

쿠팡은 이미 개인정보가 유출된 3370만 명에게 1인당 5만 원 구매이용권을 지급하는 등 1조6850억 원 규모의 자발적 보상안을 이행했다. 쿠팡 안팎에서는 이런 배경 때문에 쿠팡이 추가 배상에는 선을 그은 것으로 풀이하고 있다.

참여연대 등이 참여하는 시민단체 '안전한 쿠팡 만들기 공동행동'은 이날 기자회견을 열고 쿠팡의 조정안 거부를 비판했다. 이 단체는 "추가적인 책임은 민사소송을 통해 피해자들과 다퉈보겠다는 취지"라며 "적반하장"이라고 했다.

유출 사고 넉 달, 되짚어보는 전말

이번 조정안 거부는 지난해 11월 발생한 개인정보 유출 사고에서 비롯했다. 쿠팡은 지난해 11월 6일 오후 6시 38분쯤 회원 로그인에 쓰이는 액세스 토큰을 이용한 비인가 접근이 발생했다고 밝혔다.

쿠팡이 침해 사실을 인지한 시점은 그로부터 12일이 11월 18일 오후 10시 52분쯤이다. 이마저 고객 민원을 통해 뒤늦게 파악한 것으로 알려지면서 쿠팡의 대응이 늦었다는 지적이 나왔다.

쿠팡은 11월 19일 오후 9시 35분 이 사실을 신고했다. 신고서에는 "유효한 인증 없이 4536개 계정 프로필에 접근한 기록이 발견됐다"며 "초기 조사 결과 서명된 액세스 토큰을 악용해 접근한 것으로 추정된다"고 적었다. 이어 "각 계정 프로필 접근 기록에 최근 주문 5건과 배송 주소록 정보가 포함돼 있다"고 덧붙였다.

박대준 전 쿠팡 대표이사가 지난해 12월 30일 서울 여의도 국회에서 열린 제430회국회(임시회) 쿠팡 침해사고 및 개인정보 유출, 불공정 거래, 노동환경 실태 파악과 재발방지 대책 마련을 위한 연석 청문회에 출석해 인사하고 있다. / 뉴스1

쿠팡은 11월 20일 피해 고객에게 개인정보가 비인가로 조회된 사실을 문자로 알렸다. 다만, 정확히 언제 유출됐는지는 안내하지 않았다. 같은 날 쿠팡은 입장문을 내고 결제 정보 접근이나 외부 침입 흔적은 없었다고 했다.

11월 29일 쿠팡은 후속 조사 결과 고객 계정 약 3370만 개가 무단으로 유출된 사실을 확인했다고 밝혔다. 이 규모는 2024년 3분기 기준 구매 이력이 있는 활성 고객 수인 2470만 명보다 많다. 과학기술정보통신부와 개인정보보호위원회는 쿠팡 침해사고와 관련한 조사에 나섰다.

유출된 정보는 이름과 이메일 주소, 배송지 주소록에 담긴 이름과 전화번호, 주소, 공동현관 비밀번호, 최근 주문 5건 내역 등이다. 쿠팡은 카드 정보 등 결제 정보와 비밀번호, 개인통관고유부호는 유출되지 않았다고 밝혔다.

조사 결과, 해외 서버를 거친 비정상 접근은 지난해 6월 24일부터 이어진 것으로 추정된다.

지난 2월 5일에는 조사 과정에서 16만5000여 개 계정의 개인정보가 추가로 확인됐다. 같은 달 10일에는 '내정보 수정' 페이지에서 가입자 이름과 이메일 등 3367만 건이 유출된 것으로 파악됐다. 전화번호와 주소가 담긴 '배송지 목록'은 1억4000만 회 조회됐고, 공동현관 비밀번호가 남은 '배송지 목록 수정 페이지'는 5만여 회 조회된 것으로 나타났다.

한편, 쿠팡은 지난해 11월 29일 저녁부터 30일까지 순차적으로 문자를 보내 개인정보 유출 사실을 공지했다. 같은 날 박대준 쿠팡 대표이사 명의의 사과문도 발표됐다.