시스템 취약, 15만명 피해

시스템 관리 소홀로 고객의 주문 정보와 음식 배달원의 개인정보를 유출시킨 쿠팡이 당국 제재를 받았다. 개인정보보호위원회는 27일 제20회 전체회의를 열고 개인정보보호법을 위반한 쿠팡에 총 15억8865만 원의 과징금과 과태료 1080만 원을 부과하기로 의결했다고 28일 밝혔다. 음식 배달과 관련해 주문정보 통합관리시스템 개발업체인 오터코리아에는 개인정보 파기의무를 준수하도록 시정 명령을 내렸다.

개인정보위는 조사 결과 지난해 쿠팡을 이용한 고객 중 2만2440명의 주문정보가 다른 판매자에게도 노출된 사실이 있었다고 밝혔다. 쿠팡은 판매자 전용시스템의 로그인 인증 서비스에 오픈소스 프로그램을 사용했는데 쿠팡은 해당 프로그램의 일부 기능이 안전성에 취약함에도 불구하고 개선하지 않았다. 그 결과 고객이 상품을 주문한 판매자가 아닌 다른 판매자도 고객의 이름과 주문 내역·가격정보·배송지 주소 등을 볼 수 있었다. 이에 개인정보위는 과징금 13억1000만 원을 부과하고 개인정보위 홈페이지에 이 사실을 공표하기로 했다.

한편 쿠팡의 음식배달 서비스인 쿠팡이츠에선 배달원 약 13만5000명의 실명과 휴대전화번호가 음식점에 그대로 전송된 것으로 확인됐다. 쿠팡은 2019년 11월부터 배달원의 개인정보 보호를 위해 일회용 안심번호만 음식점에 전송하기로 했으나 쿠팡이츠 서버에서 전송된 정보엔 실명과 휴대전화번호가 포함돼 있었다. 그 결과 음식점에서 주문배달 정보를 수신할 수 있는 주문정보 통합관리시스템 ‘오터’를 통해 배달원의 정보가 그대로 노출됐다.

개인정보위는 쿠팡에 개인정보 유출 사실과 유출통지 지연에 대한 책임을 물어 과징금 2억7865만 원·과태료 1080만 원을 부과하면서 개선방안 마련을 권고했다. 쿠팡 관계자는 “위 건들은 수년 전 외부 업체의 과실이나 소프트웨어의 일시적 오류로 인해 발생했다”고 말했다.

구혁·최준영 기자