서울 쿠팡 본사. 연합뉴스

대만 정부가 현지 쿠팡 이용자 20만여명의 개인정보 유출과 관련해 쿠팡 대만법인과 대표에게 총 150만 대만달러(약 6500만원)의 과징금을 부과했다.

21일 대만 디지털발전부(MODA)에 따르면 당국은 지난달 17일 쿠팡 대만법인과 대표에게 각각 75만 대만달러의 과징금을 부과하고 시정명령을 내렸다. 쿠팡 대만법인이 개인정보의 도난·변경·손상·손실 또는 유출을 막기 위한 적절한 보안 조치를 취하도록 규정한 대만 개인정보보호법 제27조 1항을 위반했다고 판단한 데 따른 조치다.

대만 개인정보보호법에 따라 비정부기관의 개인정보 보호 의무 위반에 과징금을 부과할 경우 대표자나 책임자에게도 법인과 동일한 금액의 과징금을 부과할 수 있다.

이번 조치는 지난해 말 한국에서 발생한 쿠팡 개인정보 유출 사고를 조사하는 과정에서 대만 이용자 정보가 유출된 사실이 확인된 데 따른 것이다.

대만 당국은 한국에서 발생한 쿠팡 개인정보 유출 이후 쿠팡 대만 측과 관련 내용을 확인해왔다. 올해 1월 행정조사에 착수했으며, 한국 정부가 지난 2월 대만 이용자 약 20만명이 피해를 봤다고 발표한 이후 쿠팡 대만 측으로부터 관련 내용을 보고받았다.

대만 당국에 따르면 쿠팡 대만 이용자 20만4552명의 이름, 이메일, 전화번호, 배송주소, 일부 주문기록 등이 불법 열람됐다. 공격자는 2000여개의 IP주소를 통해 이용자 개인정보에 접근한 것으로 조사됐다.

조사 과정에서는 한국과 대만 이용자의 데이터베이스가 분리돼 있었지만 서로 다른 데이터베이스의 백업 키가 동일해 접근이 가능했던 것으로 파악됐다.

대만 당국은 이번 사고를 개인정보보호법상 ‘중대한 위반’이 아닌 일반적인 보안조치 의무 위반으로 판단했다. 대만 개인정보보호법은 일반적인 보안조치 의무 위반에 최대 200만 대만달러의 과징금을 부과할 수 있으며, 중대한 위반으로 판단할 경우 최대 1500만 대만달러(약 6억5000만원)까지 부과할 수 있다.

쿠팡 측은 대만 디지털발전부의 조사와 판단을 존중한다는 입장을 밝히고 과징금 납부와 개선 조치를 완료한 것으로 전해졌다.

쿠팡은 앞서 지난 2월 보안업체 맨디언트의 포렌식 조사 결과를 근거로 공격자가 약 20만개 계정 가운데 1개 계정의 데이터만 저장했으며 금융·결제 정보나 비밀번호에는 접근하지 않았다고 밝혔다.

쿠팡은 대만 피해 고객에게 총 2억 대만달러(약 87억원) 규모의 이용권을 보상으로 지급했다.