쿠팡의 개인정보 유출 사태가 한국을 넘어 대만에서도 행정 제재로 이어졌다.

대만 당국은 쿠팡 대만 법인과 대표에게 각각 75만 대만달러의 제재금을 부과했다. 합계는 150만 대만달러로, 한화 약 6,500만원 규모다.

이번 사건에서 확인된 대만 이용자는 20만4,552명이다. 이름이나 이메일뿐 아니라 전화번호, 배송주소와 일부 주문 기록까지 불법 접근 대상에 포함됐다.

한국에서 시작된 대규모 개인정보 유출 문제가 쿠팡이 사업을 확장하고 있는 해외 시장의 규제 문제로 이어졌다는 점에서 눈여겨볼 사건이다.

대만 쿠팡 이용자 20만4,552명 정보에 불법 접근

사건의 시작은 2025년 11월 한국에서 발생한 쿠팡 개인정보 유출 사고다.

대만 디지털발전부 산하 디지털산업서는 당시 쿠팡 대만 측에 현지 이용자의 개인정보까지 영향을 받았는지 확인하도록 요구했다.

처음에는 대만 이용자의 정보가 유출됐다는 증거가 확인되지 않았다.

상황이 달라진 것은 올해 2월이다.

쿠팡 대만이 외부 보안업체에 맡긴 조사 결과 대만 고객 정보에도 불법 접근이 있었던 것으로 확인됐다.

대만 당국이 공식적으로 밝힌 영향을 받은 이용자는 20만4,552명이다.

불법 접근 대상에는 이용자의 이름과 이메일 주소, 전화번호, 배송주소, 일부 주문 기록 등이 포함됐다.

온라인 쇼핑몰에서 고객의 이름과 연락처, 주소, 주문내역은 상품 배송과 구매 과정에서 필수적으로 쌓이는 정보다. 플랫폼 사업자가 보유한 고객 데이터가 얼마나 광범위한지를 보여주는 대목이기도 하다.

어떻게 대만 이용자 정보까지 접근했나

대만 당국의 조사 결과를 보면 단순히 대만 법인에서 별도의 해킹 사고가 발생한 것은 아니었다.

한국 쿠팡에서 발생한 사건과 연결돼 있었다.

대만 디지털산업서는 지난 2월 행정조사를 진행한 뒤 공격자가 한국 쿠팡 사건과 동일한 전직 직원이라고 밝혔다.

조사에서 특히 문제가 된 부분은 인증에 사용되는 백업 키 관리였다.

한국과 대만의 이용자 데이터베이스는 구분돼 있었지만 서로 다른 데이터베이스에서 같은 백업 키가 사용된 것으로 조사됐다.

퇴사자의 접근 권한을 제대로 제거하지 않았고 백업 키도 정기적으로 변경하지 않은 문제가 확인됐다.

당국에 따르면 공격자는 2,000개가 넘는 서로 다른 IP 주소를 이용해 대만 고객 20만4,552명의 개인정보에 접근했다.

결국 데이터베이스가 물리적으로 구분돼 있다는 사실만으로 해외 고객의 정보까지 안전하게 보호할 수 있었던 것은 아니었다.

인증키와 퇴사자 권한 같은 기본적인 접근 통제가 제대로 이뤄지지 않으면 하나의 보안 문제가 여러 시장으로 번질 수 있다는 사실이 드러났다.

쿠팡 대만과 대표에게 각각 75만 대만달러

조사 이후 대만 당국은 쿠팡 대만의 개인정보보호법 위반을 확인하고 행정처분을 내렸다.

쿠팡 대만 법인에 75만 대만달러, 법인 대표에게도 75만 대만달러가 부과됐다.

합계 150만 대만달러다. 원화로 환산하면 약 6,500만원 수준이다.

과징금만 부과된 것은 아니다. 개인정보 관리 문제를 개선하도록 시정명령도 함께 내려졌다.

대만의 개인정보 관련 법령은 사업자가 개인정보 파일에 대해 적절한 보안조치를 취하도록 요구하고 있다.

디지털 경제 관련 사업자는 개인정보의 수집·처리·이용 과정에서 발생할 수 있는 위험을 평가하고 필요한 보안조치를 마련해야 하며, 개인정보 보안 계획이 제대로 작동하는지 정기적으로 확인하고 문제가 발견되면 개선해야 한다.

이번 사건에서 당국이 확인한 퇴사자 권한과 백업 키 관리 문제도 결국 이런 개인정보 안전관리 체계와 연결된다.

최대 1,500만 대만달러 ‘중대 사안’ 조항은 적용 안 돼

실제 부과된 150만 대만달러만 보면 20만명이 넘는 이용자가 영향을 받은 사고에 비해 금액이 크지 않다고 느낄 수 있다.

대만 당국은 이번 사건에 최대 1,500만 대만달러까지 부과할 수 있는 ‘중대 사안’ 관련 조항은 적용하지 않았다.

1,500만 대만달러는 한화로 약 6억5,000만원 수준이다.

보도된 처분 내용을 보면 유출된 정보가 민감정보에 해당하지 않았고 실제 2차 금전 피해가 확인되지 않은 점, 회사 측의 보상 및 시정 조치 등이 고려된 것으로 알려졌다.

쿠팡 대만 측은 당국의 판단을 존중한다는 입장을 밝히고 제재금 납부와 개선 조치를 진행했다.

한국에서는 쿠팡에 6,246억원대 과징금

같은 개인정보 유출 사건을 둘러싼 한국의 제재 규모와 비교하면 차이는 상당하다.

한국 개인정보보호위원회는 지난 6월 쿠팡의 개인정보보호법 위반에 대해 6,246억8,100만원의 과징금과 1,680만원의 과태료를 부과하기로 의결했다.

쿠팡풀필먼트서비스(CFS)에도 별도로 2억4,800만원의 과징금이 부과됐다.

물론 대만의 약 6,500만원과 한국의 6,246억원을 금액만 놓고 단순 비교하는 것은 적절하지 않다.

영향을 받은 이용자 수부터 다르고 양국의 개인정보 관련 법률과 과징금 산정 방식에도 차이가 있기 때문이다.

그럼에도 하나의 보안 사고가 여러 국가에서 별도의 규제 비용으로 이어질 수 있다는 점은 분명하다.

쿠팡의 대만 사업에서 개인정보 문제가 중요한 이유

쿠팡은 한국에서 확보한 전자상거래와 물류 운영 경험을 기반으로 대만 사업을 확대해왔다.

이런 플랫폼 사업에서 개인정보 보안은 단순한 전산 문제가 아니다.

고객이 주문할 때마다 주소와 전화번호, 결제 및 주문 관련 데이터가 축적되고 물류 시스템과 고객 서비스에도 정보가 활용된다.

사업 규모가 커질수록 보호해야 할 데이터도 늘어난다.

특히 여러 국가에서 서비스를 운영하면 현지 개인정보 규제에 각각 대응해야 한다. 한 국가에서 발생한 보안 문제가 다른 지역 이용자에게까지 영향을 미칠 경우 조사와 보상, 시스템 개선, 행정 제재 등이 동시에 발생할 수 있다.

이는 직접적인 과징금뿐 아니라 보안 시스템 개선 비용과 고객 보상, 법률 대응 등 추가 비용으로 연결될 가능성이 있다.

기업 입장에서는 해외 시장 확장 속도만큼 국가별 개인정보 관리 체계를 분리하고 접근 권한과 인증 시스템을 관리하는 작업이 중요해진 셈이다.

20만명 개인정보 유출이 남긴 문제

대만 당국이 확인한 내용에서 가장 눈에 띄는 것은 해킹 기술의 복잡성보다 내부 보안 관리다.

퇴사자의 권한 관리와 인증에 사용되는 키 관리가 제대로 이뤄졌다면 피해 범위를 줄일 여지가 있었다.

온라인 유통기업은 고객의 구매 과정에서 자연스럽게 방대한 개인정보를 확보한다.

이 데이터는 빠른 배송과 개인화 서비스의 기반이지만 동시에 기업이 관리해야 할 비용과 책임이기도 하다.

이번 쿠팡 대만 사건은 플랫폼이 해외로 확장할 때 물류센터나 상품 경쟁력만 현지화해서는 충분하지 않다는 사실을 보여준다.

개인정보 보호와 내부 접근 통제 역시 해외 사업 인프라의 일부로 봐야 한다.

대만에서 부과된 금액 자체는 약 6,500만원이다. 쿠팡 전체 사업 규모와 비교하면 재무적으로 큰 금액이라고 보기는 어렵다.

더 중요한 부분은 한국에서 발생한 보안 문제가 대만 이용자에게까지 이어졌고, 결과적으로 해외 규제기관의 행정처분까지 받게 됐다는 점이다.

글로벌 플랫폼 기업에 개인정보 보호가 단순한 보안 부서의 업무를 넘어 사업 확장 과정에서 관리해야 할 핵심 리스크로 자리 잡고 있다는 것을 보여주는 사례다.