3000만명이 넘는 사람들의 개인정보를 유출한 쿠팡에 역대 최대 규모 과징금이 부과됐다. 쿠팡은 과거 자사 직원에 해킹을 당해 개인정보를 유출한데 이어 다른 사이트 광고 배너를 클릭하거나 사용자 의도와 관계없이 자동으로 사이트로 연결되는 이른바 ‘납치광고’로 1000만명이 넘는 개인의 활동기록을 무단수집한 것으로 조사됐다. 개인정보보호위원회는 10일 전체회의를 열고 개인정보 보호 법규를 위반한 쿠팡 주식회사에 과징금 6246억 8100만원과 과태료 1680만원을 부과했다고 11일 밝혔다. 또 경찰청 출입기자 71명을 ‘허위사실유포’ 사유로 취업제한 목록에 등록한 쿠팡필먼트서비스 유한회사에도 2억 4800만원의 과징금이 부과됐다. 지난해 11월 쿠팡 개인정보 유출 사고가 터진지 7개월만에 내려진 과징금은 역대 최대 규모다. 당초 최대 과징금이 부과된 SK텔레콤 유심 정보 유출 사고 1348억원의 5배에 달한다. 다만 이번 과징금 규모는 ‘1조원을 넘을 수 있다’는 관측보다는 다소 낮다. 관측은 금융감독원 전자공시시스템 상 지난해 쿠팡의 매출액 45조 5000억원에 법정 최대율인 3%인 1조 3600억원 수준에 이를 것으로 분석됐다. 하지만 이는 위반행위와 직접적 관련이 없는 쿠팡이츠, 쿠팡플레이 등의 매출액이 포함됐다. 개인정보위는 이를 고려해 과징금 규모를 산정했다. 이번 조사에서는 그간 쿠팡의 개인정보 유출 과정이 세세히 드러났다. 조사 결과 과거 쿠팡에서 근무했던 해커는 쿠팡의 대체 인증을 직접 개발한 전직 기술자였다. 2024년 말 퇴사한 후 자신이 개발한 대체 인증의 서명키를 획득해 2025년 4월부터 11월까지 회원정보 수정 페이지, 배송관리 및 주문목록 페이지 등을 조회해 개인정보를 유출했다. 해커는 2025년 1월 25일 자신의 계정을 포함한 총 95개 계정에 대해 이전에 탈취한 인증 서명키와 회원번호를 이용해 대체 인증토큰을 만들었다. 이를 통해 회원정보 수정 페이지 101회, 배송지 관리 페이지 141회를 조회하는 등 범행을 계획했다. 4월 14일부터 6월 25일까지는 회원번호를 순차적으로 늘려 다수의 위조 인증토큰을 만들었고 배송지 관리 페이지에 약 1억 4800만회 접근하며 유효 회원번호를 파악, 이름과 전화번호, 주소 등 배송지 정보를 유출했다. 이어 6월 24일부터 10월 12일까지 회원 정보 수정 페이지에 3496만 6812회 접근해 이름과 이메일주소를 탈취했다. 9월 26일부터 11월 8일까지는 배송지 수정 페이지에 5만474회, 주문 목록 페이지에 8만5213회 접근해 공동현관 비밀번호와 주문정보를 추가로 유출했다. 해커는 유출한 정보를 조합해 11월 9~17일, 11월 25일 두 차례에 걸쳐 샘플 데이터를 포함한 협박 메일을 회원과 쿠팡 측에 발송했다. 이렇게 유출된 개인정보는 3322만 2472명의 ‘회원’ 개인정보와 최소 433만 8368명의 ‘회원이 아닌 정보주체’에 달하는 것으로 확인됐다. 조사에서 쿠팡이 온라인 광고를 통한 무단 개인정보 수집도 확인됐다. 쿠팡은 2018년 7월부터 타사 홈페이지와 앱, 블로그, 광고지면 등을 보유하거나 운영하는 개인 또는 법인에 쿠팡 상품을 광고하는 ‘쿠팡 파트너스’를 운영하고 있다. 이들은 타사 홈페이지에 띄운 광고를 클릭한 사용자들의 온라인 활동 정보를 아무런 동의도 없이 데이터베이스에 저장하고 사용자 맞춤형 광고를 게재했다. 또 이용자가 광고를 클릭하지 않아도 온라인 방문 기록을 가져가 저장·보관했다. 이들은 이같은 방식으로 2024년 12월 23일부터 2026년 2월 4일까지 156만 5338개 웹페이지 또는 앱을 방문한 쿠팡 이용자 1117만 613명의 활동기록을 무단으로 수집했다. 이들은 사용자가 원하지 않아도 저절로 웹페이지를 쿠팡 홈페이지로 바꾸는 이른바 ‘납치광고’를 통해 온라인 활동정보를 수집하기도 했는데 쿠팡은 이를 인지하고도 적절한 조치를 하지 않았다. 쿠팡의 물류센터 자회사인 쿠팡풀필먼트서비스는 2023년 9월부터 2024년 2월까지 물류센터에 근무한 이력이 없는 경찰청 출입기자 71명을 ‘허위사실유포’란 명목으로 자신들의 시스템 상 ‘취업제한목록’으로 등록하며 사실상 ‘블랙리스트’를 만들었다. 개인정보위는 과징금 부과와 함께 시정명령 및 회원이 아닌 정보주체에도 유출 사실을 통지하라고 명령했다. 또 탈퇴회원 개인정보 처리 체계를 개선하라고 권고했다. 개인정보위는 3개월 내 이행 및 조치 결과를 확인할 계획이다. 개인정보위 관계자는 “이번 조사·처분을 통해 개인정보위는 국내 소비자의 소중한 개인정보를 다루는 기업이라면 동일한 기준과 엄격한 법적 책임이 적용된다는 원칙을 명확히 했다”며 “대규모 개인정보를 다루는 플랫폼 기업의 기본적인 안전조치 소홀과 개인정보 자기결정권 침해 행위에 대해 상응하는 책임이 따른다”고 밝혔다.

매일 수많은 법안이 발의되고 있지만 이 중 언론에 보도되는 법안은 쟁점 법안 등 일부에 그칩니다. 서울신문은 매주 우리 사회에 큰 영향을 미칠 수 있는 법안에 주목해 3개 정도 추려 소개를 합니다. 법안 발의 배경부터 핵심 내용, 통과 시 파장 등을 압축적으로 정리했습니다. ●김영호 교육위원장 ‘독서교육 국가책임법’ 발의 교육기본법에 ‘독서교육’ 신설…국가 책임 명문화독서국가를 위한 기본 토대 법안…‘독서3법’ 추진최근 학생들의 문해력 저하가 학교 현장에서 큰 고민이라고 합니다. 스마트폰 사용이 늘고 짧은 영상 중심의 미디어 환경에 지속적으로 노출되다 보니 긴 글을 읽고 맥락을 유추하는 능력이 약화되고 있다는 겁니다. 이에 더불어민주당 소속 김영호(3선·서울 서대문을) 교육위원장은 학생들의 문해력을 신장시키기 위한 ‘독서교육 국가책임법’을 대표 발의했습니다. 독서를 교육의 핵심 가치로 여기며 모든 국민이 독서를 생활화할 수 있도록 국가와 지방자치단체가 독서교육 진흥을 위한 시책을 수립하고 실시하도록 하는 내용을 담았습니다. 현행 교육기본법은 과학·기술교육, 기후변화환경교육, 진로교육, 인공지능(AI) 교육 등 다양한 교육 영역에 대한 국가와 지자체의 책무를 규정하고 있지만 독서교육에 대해서는 별도의 법적 근거가 마련돼 있지 않다는 문제점에서 출발한 겁니다. 김 위원장은 올해 초부터 ‘독서국가 프로젝트’를 뒷받침할 ‘독서3법’ 추진에 나섰습니다. 그 첫 번째 법안은 지난 1월 발의한 ‘기초학력 보장법 개정안’입니다. 문해력 진단검사를 통해 학습지원이 필요한 학생에 대한 지원 근거를 마련해 학생의 기초학력 보장의 실효성을 제고하는 내용을 담았습니다. 두 번째 법안이 지난 13일 발의한 ‘독서교육 국가책임법’ 입니다. 마지막 법안은 실질적으로 독서 교육을 학교에서 실현할 수 있도록 하는 ‘학교도서관 진흥법’으로 조만간 발의할 예정입니다. 김 위원장은 “AI 시대에는 단순히 디지털기기를 잘 다루는 능력보다 AI가 내놓은 정보를 읽고 판단하고 다시 질문할 수 있는 문해력이 더 중요하다”면서 “독서는 가장 오래된 교육 방식이지만 AI 시대를 살아갈 아이들에게는 가장 미래적인 역량을 길러주는 교육”이라고 밝혔습니다. ●박성훈 국민의힘 의원 ‘학원법 개정안’ 대표발의 문항 거래 불법 취급…위반 시 학원 등록 말소교원 금지 행위에 ‘학원 문항 출제·컨설팅’ 추가‘일타강사’로 불린 수학 강사 현우진씨가 2020~2023년 현직 교사 3명에게 문항을 제공받고 총 4억여원의 대가를 지급한 혐의로 재판을 받고 있습니다. 마찬가지로 이른바 ‘문항 거래’ 의혹을 받는 영어 강사 조정식씨에 대한 재판도 진행 중입니다. 이들은 “정상적인 문항 거래”라고 주장했습니다. 이에 문항 거래에 대한 직접적인 제재 규정이 없는 현행법의 사각지대를 파고든 것 아니냐는 지적이 나왔습니다. 박성훈(초선·부산 북구을) 국민의힘 의원은 지난 12일 이른바 ‘사교육 카르텔 원천차단법’(학원의 설립·운영 및 과외교습에 관한 법률 개정안)을 발의했습니다. 개정안에는 교원의 금지 행위에 ‘학교교과교습학원(학원) 등의 학습자를 위한 문항 출제’, ‘컨설팅 등 교습 행위’ 등을 추가하고, 이를 의뢰한 학원 등에 대해서는 교육감이 즉각 ‘등록 말소’ 또는 1년 이내의 ‘교습 정지’ 등 행정처분을 내릴 수 있도록 법적 근거가 담겼습니다. 교원과 학원 강사 간 문항 거래 자체를 불법으로 취급하겠다는 취지입니다. 박 의원은 “현직 교사와 대형 학원이 유착한 이권 카르텔은 대다수 평범한 학생들과 학부모들에게 상실감을 안겨주는 범죄 행위”라고 강조했습니다. ●조인철 민주당 의원 ‘납치광고·다크패턴 금지법’ 발의 화면 전환 금지 등 ‘3대 기만 행위’ 금지 명문화‘온라인 광고사업자’ 정의 신설…투명성 강화인터넷 기사를 읽던 중 갑자기 쇼핑 앱이 강제로 실행되거나 광고를 닫으려 해도 닫을 수 없게 설계된 이른바 ‘납치광고’ 등을 근절하기 위한 입법이 추진됩니다. 조인철(초선·광주 서구갑) 민주당 의원은 온라인상의 대표적인 이용자 기만 행위를 전기통신사업자의 금지행위로 명문화하는 ‘전기통신사업법 개정안’을 지난 14일 대표 발의했습니다. 조 의원이 꼽은 대표적인 ‘3대 이용자 기만 행위’는 납치광고·플로팅 광고·다크패턴(눈속임 설계)입니다. 납치광고는 이용자가 기사나 콘텐츠를 보려는 순간 본인도 모르게 쇼핑몰이나 광고 페이지로 자동 전환되는 현상을 말합니다. 플로팅 광고는 화면 전체를 가린 채 스크롤을 계속 따라다니며 종료를 방해하는 현상을, 다크패턴은 서비스 가입은 쉽게, 해지는 극도로 어렵게 설계한 기만 행위를 뜻합니다. 개정안은 전기통신사업자의 금지행위에 이용자의 합리적 선택권을 침해하는 3가지 유형을 명확히 신설해 규제의 실효성을 높였습니다. 특히 이번 개정안은 ‘온라인 광고사업자’ 정의를 신설하고 이들을 방송미디어통신위원회의 사실조사 대상에 포함시켰습니다. 실제 광고를 배포한 사업자도 조사 대상에 포함시켜 법 집행의 실효성을 높이겠다는 취지입니다. 조 의원은 “교묘한 기술 뒤에 숨어 명확한 제재 근거가 없다는 이유로 사업자들이 사실상 책임을 회피해 온 규제 사각지대를 이번 개정안으로 반드시 메우겠다”고 밝혔습니다.

쿠팡의 이른바 ‘납치광고’가 방송통신위원회 조사를 받게 됐다. 방송통신위원회는 그간 각종 홈페이지나 소셜미디어(SNS) 등에서 강제로 쿠팡 홈페이지나 앱으로 이동하는 등 이용자 불편을 유발해 온 쿠팡에 대해 전기통신사업법상 금지 행위 위반 여부를 확인하기 위해 사실조사에 착수한다고 20일 밝혔다. 방통위는 지난해 11월부터 쿠팡의 온라인 광고 현황, 집행방식, 사업 구조 등에 대해 실태 점검을 해왔다. 그 결과 쿠팡 광고가 각종 홈페이지와 SNS 등 다양한 인터넷 공간에 게시돼 이용자 의사와 무관하게 쿠팡으로 강제 전환되는 등 불편을 유발하고 있으며, 이를 관리하는 쿠팡의 업무처리 절차에 미흡한 점이 확인돼 사실조사에 착수하게 됐다고 방통위는 설명했다. 또한 방통위는 쿠팡이 통합계정 제도를 빌미로 쿠팡 외에 ‘쿠팡이츠’와 ‘쿠팡플레이’ 등 하위 서비스의 개별 탈퇴를 지원하지 않는 부분에 대해서도 조사할 방침이다. 방통위는 특히 쿠팡의 이런 행태가 전기통신사업법상 금지 행위인 ‘이용자의 해지권 제한’에 해당하는지 살펴볼 예정이다. 이번 조사를 통해 금지행위 위반 사항이 확인될 경우 방통위는 법령에 따라 과징금 부과, 시정명령 등의 조치를 할 수 있다. 쿠팡은 방통위 조사에 적극 협력하는 한편 이용자 보호 노력을 적극 소명하겠다는 입장이다. 쿠팡 측은 “일부 악성 광고사업자의 부정광고 행위에 대해 수익금 지급 중단, 계정탈퇴 조치, 신고 포상제 운영 등 엄격한 대응을 지속해왔다”며 “방통위와 함께 일부 악성 광고사업자의 부정광고를 근절하는 방안을 마련하도록 노력하겠다”고 밝혔다. 또한 쿠팡이츠 등의 탈퇴 미적용에 대해선 “다른 기관 조사에서 이미 동일한 사항에 대해 충실하게 소명했고 문제가 없음을 확인 받은 바 있다”고 덧붙였다.