“2차피해 없는데 과징금은 KT 10배?” 쿠팡 형평성 논란

입력 2026-07-31 12:10:00 수정 2026-07-31 17:51:50

KT, 368명 2.4억원 무단결제 피해 확인

과징금 540억원…쿠팡 8%·SKT 40% 수준

미국선 2차 피해 확인돼야 손해 배상 가능

“과징금 산정 기준 모호…제도 개선해야”

[헤럴드경제=강승연 기자] KT가 개인정보 유출 사고로 540억원의 과징금을 부과받자 쿠팡과의 제재 형평성 논란에 불이 붙고 있다. KT는 2차 소액결제 피해자가 300명이 넘은 반면, 쿠팡은 2차 피해 여부가 입증되지 않아서다. 과징금 산정 기준이 모호하다는 지적도 나온다.

KT 과징금, 쿠팡 8.6%·SKT 40% 수준…형평성 논란

31일 업계에 따르면 개인정보보호위원회는 지난 30일 KT에 대해 과징금 539억7900만원과 시정명령·개선권고·공표명령 등을 의결했다. 초소형 기지국(팸토셀) 해킹에 따른 개인정보 유출 및 무단 소액결제 피해에 대해 KT의 안전조치 의무 위반이 있었다고 보고 제재 결정을 내렸다.

개보위에 따르면 해커는 2024년 10월부터 2025년 11월까지 KT 내부망을 오가며 알뜰폰 포함 이용자 1만6647명의 휴대폰 번호와 가입자, 단말기식별번호(IMEI)를 빼돌렸다. 결제인증코드가 포함된 ARS·SMS까지 탈취해 368명에게 2억4000만원의 무단 소액결제 피해를 입혔다. 이 과정에서 KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않는 등 관리가 소홀한 것으로 확인됐다.

해당 발표 이후 쿠팡과 SK텔레콤에 비해 제재 수위가 미온적이라며 ‘차별’ 아니냐는 지적이 나오고 있다. 온라인 커뮤니티에는 미국 행정부와 정치권에서 제기하고 있는 ‘미국 기업 차별’ 주장을 거론하며 “이러니까 미국에서 차별이란 소리가 나온다”는 글이 올라오고 있다.

기존 개인정보 유출 사고에서 KT처럼 2차 피해가 동반된 사례가 적었다. 하지만 KT의 과징금은 쿠팡(6247억원), SK텔레콤(1348억원)과 비교해 각각 8.6%, 40%에 그쳤다. 개인정보 무단수집 사건을 제외한 쿠팡의 순수 유출 과징금(4235억원)도 국내 최대 규모다.

쿠팡에선 3750만명의 개인정보(이름·이메일·주소·전화번호 등)를 중국 국적의 전 직원이 유출한 것으로 조사됐다. 그러나 민관합동조사단은 다크웹 등에서 2차 피해를 확인하지 못했고, 개보위도 2차 피해 증거를 찾지 못했다. 2324만명의 휴대전화, 유심 인증키 등이 유출된 SK텔레콤도 마찬가지다.

이에 자유기업원은 “과징금은 유출 정보의 민감도, 고의 또는 중과실 여부, 실제 피해와 2차 피해 발생 여부, 사고 인지 및 신고 시점, 사후 대응과 재발 방지 노력 등을 종합적으로 고려해야 한다”며 비례성과 형평성을 검토해 제재 수위를 정해야 한다고 논평한 바 있다.

쿠팡의 모회사인 쿠팡Inc도 “실제 피의자가 저장한 정보는 3000건에 불과하다”며 드러난 2차 피해가 없는 데도 제재가 과도하다는 취지의 입장을 펼쳐왔다. 쿠팡 측은 향후 개보위를 상대로 행정소송을 제기할 계획이다.

2차 피해 관련 국가별 대응 상이…“제도 개선 필요”

개보위는 제재 수위와 관련해 “KT는 무선통신 매출을 기준으로 산정한 뒤 위반 기간과 피해 규모, 시정조치 등을 함께 고려했다”며 “SK텔레콤은 유출된 개인정보의 유형과 2300만명이 넘는 피해 규모 등으로 ‘매우 중대한 위반행위’로 판단됐고, KT는 ‘중대한 위반행위’로 평가됐다”고 배경을 밝혔다.

이날 개보위는 KT의 이번 과징금 산정 기준은 최근 3년간 무선사업 매출(약 6조5000억원)으로, 과징금 부과 비율은 0.8% 수준이다. SKT는 규모 유심 인증키 유출 당시 무선 매출액의 약 1% 수준인 1348억원이 부과됐다. 약 30조원의 매출을 기준 삼은 쿠팡은 유출 과징금(4236억원)으로만 한정해도 약 1.4% 수준이다. 2차 피해는 3사 중 KT만 입증됐지만, 유출 규모가 작아 과징금 비율은 가장 낮았다.

업계에선 “실질적인 2차 피해 증거가 없어도 유출 규모만 크면 매출에 연동해 과징금 규모가 천문학적으로 커지는 것 아니냐”는 지적이 나온다.

미국의 경우 FCT(연방거래위원회)는 2차 피해가 없어도 벌금(한국의 과징금)을 부과할 수 있다. 다만, 행정 제재가 아닌 민사를 통한 손해배상 청구소송시에는 개인정보 유출 규모보다 2차 피해를 중요하게 따진다. 미 대법원은 판례를 통해 “실제 발생한 피해가 없으면 개인정보 유출 소송을 할 수 없다”는 원칙을 확인한 바 있다. 유출로 인한 명의도용, 금융사기 금액, 신용 복구 비용 등 구체적 손해를 입증해야, 이를 배상할 수 있다는 것이다.

또 미국과 대만은 매출에 연동한 과징금 제도가 없다. 일본은 개인정보 유출 위반시 최대 1억엔, 허위 보고와 조사방해 명목으로 최대 50만엔 등의 정액 제도를 운영하고 있는데, 오는 2028년에는 위반 행위 대가액과 연동한 과징금을 도입할 예정이다. EU(유럽연합)의 경우, 전 세계 매출액을 기반으로 과징금을 부과한다.

보안업계 관계자는 “2차 피해 여부, 범인의 정보 취득 여부를 중시하는 미국과 달리 EU와 한국은 ‘조회’를 유출 규모로도 책정하는 등 국가별로 개인정보 유출 개념이 상이하다”며 “2차 피해 여부 판단 기준에 대한 모호성, 개인정보의 가치를 매출 규모로 책정하는 현 제도에 대한 개선이 필요하다”고 지적했다.