기업이 보유한 데이터는 자산입니다. 그러나 지키지 못한 데이터는 어느 순간 거대한 부채가 됩니다. 최근 쿠팡에 부과된 역대 최대 규모의 개인정보 관련 과징금은 사이버 사고가 어떻게 규제·재무·법률·평판 리스크로 확산되는지를 보여주는 사례입니다.
3,400만 계정에서 시작된 대규모 리스크
Claims Journal이 Bloomberg 보도를 통해 전한 내용에 따르면, 개인정보보호위원회는 쿠팡 한국 법인에 총 6,247억 원(약 4억900만 달러)의 과징금을 부과했습니다. 개인정보 유출과 관련해 국내에서 부과된 역대 최대 규모입니다.
사건의 핵심은 전직 직원이 약 3,400만 개 계정의 개인정보에 부적절하게 접근했다는 점입니다. 한국 인구의 약 3분의 2에 해당하는 방대한 규모이며, 이러한 접근이 수개월 동안 탐지되지 않았다는 점은 더욱 심각합니다.
개인정보보호위원회는 이번 사고가 고도의 해킹 기법보다는 회사의 기본적인 안전관리 체계와 관리·감독의 미흡에서 비롯됐다고 지적했습니다.
기술의 문제가 아니라 사람과 권한, 그리고 내부통제의 문제였던 것입니다.
6,247억 원은 어떻게 구성됐나
전체 과징금 가운데 4,236억 원은 개인정보 유출, 2,011억 원은 동의 없는 개인정보 수집과 관련해 부과됐습니다.
또한 쿠팡의 물류 자회사인 쿠팡풀필먼트서비스에도 개인정보를 불법적으로 수집하고 이를 취업 제한 명단 작성 등에 사용한 것과 관련해 별도로 2억4,800만 원의 과징금이 부과됐습니다.
기업이 주목해야 할 것은 사고비용이 과징금에서 끝나지 않는다는 사실입니다.
개인정보 사고가 발생하면 고객 보상, 포렌식과 시스템 복구, 법률 대응, 민사소송, 보안체계 개선, 영업 손실과 평판 훼손 등이 연쇄적으로 발생할 수 있습니다. 상장기업이라면 투자자의 신뢰와 기업가치에도 영향을 미칩니다.
실제로 기사에 따르면 쿠팡은 사고 이후 고객에게 보상성 쿠폰을 지급했고, 회사는 올해 매출 성장세가 둔화될 것이라고 전망했습니다. 당시 주가도 연초 이후 약 35% 하락한 상태였습니다.
사이버 사고의 진짜 비용은 사고가 발생한 순간보다 그 이후에 더 커질 수 있습니다.
외부 해커보다 가까운 곳에 있는 위험
이번 사건에서 기업들이 특히 주목해야 할 부분은 내부자 리스크(Insider Risk)입니다.
기업의 사이버보안 투자는 흔히 방화벽, 랜섬웨어, 외부 침입 차단 등에 집중됩니다. 그러나 실제 업무환경에서는 임직원·협력업체·퇴직자에게 부여된 접근권한 역시 중요한 위험요인입니다.
퇴직자의 계정과 권한은 즉시 회수되고 있는지, 한 사람이 업무상 필요한 범위를 넘어 개인정보에 접근할 수 있는지, 비정상적인 대량 조회와 다운로드는 자동으로 탐지되는지 점검해야 합니다.
결국 필요한 것은 “누가 들어오는가”를 막는 보안뿐 아니라 “들어온 사람이 무엇을 하는가”를 통제하는 보안입니다.
개인정보 사고는 IT부서만의 문제가 아닙니다
대규모 개인정보 사고는 이미 정보보안 부서를 넘어 전사적 경영 리스크(Enterprise Risk)가 되었습니다.
기업은 접근권한에 최소권한 원칙을 적용하고 인사이동이나 퇴직 시 즉시 권한을 회수해야 합니다. 대량 조회·다운로드와 비정상적인 접속을 탐지하는 모니터링 체계도 필요합니다.
개인정보 자체를 필요 이상으로 보유하지 않는 Data Minimization 역시 중요합니다. 보유하지 않는 개인정보는 유출될 수도 없기 때문입니다.
사고 발생 이후에는 IT·법무·준법·홍보·경영진이 따로 움직이는 것이 아니라 하나의 Incident Response 체계 아래 대응해야 합니다.
보험 프로그램도 함께 살펴봐야 합니다. Cyber Insurance를 통해 개인정보 침해 대응비용, 포렌식 비용, 법률비용, 고객 통지비용, 제3자 배상책임 등의 보장 여부를 점검할 필요가 있습니다. 다만 과징금과 벌금의 보험 보장 가능 여부는 관련 법률과 보험약관, 관할에 따라 달라질 수 있으므로 별도의 검토가 필요합니다.
데이터가 많아질수록 책임도 커집니다
디지털 기업의 경쟁력은 데이터를 얼마나 많이 확보했느냐에 달려 있었습니다. 이제는 그 데이터를 얼마나 안전하게 통제할 수 있느냐도 기업 경쟁력을 결정합니다.
3,400만 개의 계정과 6,247억 원의 과징금.
두 숫자가 던지는 메시지는 분명합니다.
기업이 성장하면 데이터가 늘어나고, 데이터가 늘어나면 리스크 역시 커집니다. 성장 속도를 내부통제와 보안 거버넌스가 따라가지 못한다면 오늘의 데이터 자산은 내일의 거대한 손실이 될 수 있습니다.
사이버 리스크 관리의 출발점은 더 높은 방화벽만이 아닙니다.
“우리 회사의 데이터에 누가, 왜, 어디까지 접근할 수 있는가.”
경영진이 이 질문에 명확하게 답할 수 있는 것, 그것이 개인정보 리스크관리의 출발점입니다.
출처
