몽클레르코리아 랜섬웨어 개인정보 유출 사건

해커가 몽클레르코리아 관리자 권한을 가진 직원의 계정을 탈취한 뒤 회사 서버에 랜섬웨어를 유포해 개인정보를 빼내고 데이터를 암호화했다. 이 공격으로 성명, 이메일 주소, 카드번호 등 약 23만 명분의 고객 구매 관련 정보가 유출됐다. 개인정보보호위원회 조사 결과 몽클레르코리아는 2019년 6월부터 웹사이트를 운영하면서 아이디·비밀번호 외에 별도의 안전한 인증수단을 추가로 적용하지 않은 것으로 드러났다. 이런 허술한 보안 체계가 대규모 유출의 근본 원인으로 지목됐다. 해외 럭셔리 브랜드의 한국 법인이 보안 투자에 소홀했다는 비판이 뒤따랐다.

몽클레르코리아는 해킹이 발생한 지 한 달가량 지난 2022년 1월 17일에야 개인정보 유출 사실을 파악했다. 회사 내부 보안 모니터링 체계가 실시간 침해 탐지에 취약했다는 점이 드러나는 대목이다. 이는 이후 개인정보보호위원회 조사에서 지연 신고 문제로 이어지는 핵심 근거가 됐다. 인지 시점과 실제 해킹 발생 시점 사이의 긴 공백은 피해 확산을 막지 못한 원인으로 지적됐다. 다국적 브랜드의 국내 법인이 본사 차원의 보안 체계를 제대로 이식하지 못했다는 평가도 나왔다.

몽클레르코리아는 유출 사실을 인지한 지 닷새가 지난 2022년 1월 22일에야 개인정보보호위원회에 신고했다. 개인정보보호법은 유출 인지 후 24시간 이내 신고를 원칙으로 하는데, 이 법정 기한을 크게 초과한 것이다. 이용자들에게도 유출 사실을 정당한 사유 없이 지연 통지한 것으로 확인됐다. 이는 이후 처분 심의에서 관리자 보안 미흡과 함께 핵심 위반 사항으로 다뤄졌다. 지연 신고는 피해자들이 신속한 대응 조치를 취할 기회를 놓치게 만든 문제로 지적됐다.

개인정보보호위원회는 제20회 전체회의에서 몽클레르코리아에 과징금 8101만원과 과태료 720만원을 부과하기로 의결했다. 처분 사유는 관리자 계정에 추가 인증수단을 적용하지 않은 보안 미흡과, 법정 기한을 넘긴 지연 신고·통지 두 가지였다. 위원회는 다음 날인 9월 11일 위반 사실을 공표하며 사건을 공식 마무리했다. 사건 발생부터 처분까지 3년 9개월이라는 긴 시간이 걸려 국내 개인정보 침해 사건 처리 속도에 대한 비판도 제기됐다. 보안뉴스 등 전문 매체는 이를 해외 브랜드 국내 법인의 보안 관리 소홀 사례로 소개했다.

뉴시스는 몽클레르 사건을 포함해 개인정보 유출 기업에 매출액을 기준으로 과징금을 매기는 현행 산정 방식에 대한 법학계의 비판을 보도했다. 국립창원대 김태오 교수는 외부 해킹으로 인한 유출은 담합처럼 기업이 직접 이익을 얻는 위반과 성격이 다른데도 같은 계산식을 적용하는 것은 부당하다고 지적했다. 경희대 배기철 교수는 현행 방식이 사실상 입증 책임을 기업에 전가하는 구조라고 비판했다. 기사는 법원행정처, SK텔레콤, 쿠팡 등 공공·민간 기관별 과징금 격차 사례도 함께 제시하며 제도 개선 필요성을 제기했다. 몽클레르 사건은 이런 산정 방식 논쟁을 촉발한 대표 사례 중 하나로 거론됐다.