프랑스 명품 브랜드 루이비통이 일부 가방 제품 가격을 3%가량 인상했다. 지난 1월에 이어 올해만 두 번째 가격 인상이다. 사진은 16일 서울 시내 한 루이비통 매장의 모습. 2025.4.16/뉴스1

고객 개인정보가 유출된 루이비통·크리스챤디올·티파니 등 해외 럭셔리 브랜드 한국 판매법인 3곳에 360억원의 과징금이 부과됐다. 3곳 법인의 유출 규모는 555만명이 넘는다.

개인정보보호위원회는 지난 11일 전체회의를 열고 개인정보보호법을 위반한 루이비통코리아와 크리스챤디올꾸뛰르코리아, 티파니코리아 등 3개 사업자에 총 360억3300만원의 과징금과 총 1080만원의 과태료 부과처분을 결정했다고 12일 밝혔다. 또 이런 처분 사실을 자사 홈페이지를 통해 알리도록 명령했다.

이들 사업자는 모두 서비스형 소프트웨어(SaaS·Software as a Service) 기반 고객관리 시스템을 이용하는 과정에서 해킹 등으로 개인정보 유출 사고가 터졌다. 해당 시스템은 고객 관리 소프트웨어를 자사 서버가 아닌 인터넷상의 ‘클라우드’를 통해 운용하는 방식이다. 해커가 SaaS 관리의 ‘빈틈’을 노린 것으로 조사됐다.

루이비통코리아의 경우 직원 기기가 악성코드에 감염되면서 SaaS 계정 정보가 해커에게 탈취됐다. 이후 지난해 6월 360만명 고객의 이름과 주소, 전화번호, 이메일 등 개인정보가 3차례에 걸쳐 털렸다. 루이비통코리아는 2013년부터 SaaS를 도입해 운영해왔는데 접근 권한을 IP(인터넷프로토콜) 주소 등으로 제한하지 않고, 외부 접속 시 일회용 비밀번호 같은 안전 인증 수단도 적용하지 않았던 것으로 드러났다. 개인정보위 이런 점을 문제로 지적하며 과징금 213억8500만원을 부과했다.

12일 개인정보보호위원회 윤여진 조사1과장이 정부 서울청사에서 전날 열렸던 제3회 전체회의 안건 관련 브리핑을 진행하고 있다. 사진 개인정보위

디올코리아는 고객센터 직원이 ‘보이스피싱’에 속아 해커에게 시스템 접근 권한을 부여하면서 약 195만 명의 개인정보가 유출됐다. 해커는 자신을 IT부서 직원이라고 속이는 식으로 SaaS에 접근할 수 있는 계정 정보를 요구했다고 한다. 디올코리아도 IP 주소 등으로 SaaS 접근 권한을 묶어두지 않았다. 또 대량의 데이터 다운로드로 제한하지 않아 단시간 내 대량 유출이 가능했던 것으로 파악됐다. 접속 기록도 점검하지 않아 유출 사실을 3개월 이상 알지 못했다. 더욱이 디올 측은 나중에 유출 사실을 인지하고도 72시간을 넘겨 개인정보위에 알렸다. 이에 과징금 122억3600만원 외에 과태료 360만원도 부과됐다.

티파니코리아 역시 해커가 디올과 유사한 보이스피싱으 방식으로 접근해 권한을 확보하면서 4600명의 개인정보가 외부로 새 나갔다. 접근 통제와 다운로드 제한 조치를 하지 않은 점, 유출 통지 지연이 확인돼 과징금 24억1200만원과 과태료 720만원 부과 처분을 받았다.

개인정보위는 이번 처분을 통해 클라우드 기반 SaaS 도입 기업도 개인정보 보호책임이 면제되지 않는다는 점을 강조했다. 기업은 접근 권한을 최소한으로 차등 부여하고 IP 제한, 일회용 비밀번호 등 안전한 인증 수단을 적용해야 하며, 접속 기록을 정기 점검하는 등 기본적인 안전 조치를 준수해야 한다고 밝혔다. 개인정보위 윤여진 조사1과장은 “서비스형 소프트웨어를 도입하더라도 개인정보 보호책임은 개인정보처리자에게 있다”며 “제공되는 보호 기능을 충분히 적용해 유출 사고를 예방해야 한다”고 말했다.

한편 개인정보위는 개인정보 보호법을 위반한 버거킹과 메가MGC커피 등 10개 사업자에 대해서도 모두 15억6600만원의 과징금과 1억1130만원의 과태료를 부과했다. 버거킹의 경우 법정대리인 동의 없이 만 14세 미만 아동의 개인 수집·이용했으며 메가MGC커피는 회원가입 시 마케팅 활용에 동의하지 않아도 자동으로 동의 처리가 되도록 설정해 마케팅 메시지(앱 푸시)를 발송한 것으로 조사됐다.