쇼핑몰 개인정보 보안 점검: 디올 122억 과징금의 접속기록·72시간 통지 리스크

한 줄 결론

명품 브랜드 사례라서 남의 일처럼 보일 수 있지만, 실무 포인트는 중소 쇼핑몰에도 그대로 적용됩니다. 외부 SaaS를 쓰더라도 IP 제한, 안전한 인증수단, 대량 다운로드 제한, 접속기록 점검 책임은 사업자에게 남아 있다는 점이 이번 처분의 핵심입니다.

누가 먼저 봐야 하나

• 외부 CRM, 고객센터 SaaS, 마케팅 자동화툴로 고객정보를 처리하는 쇼핑몰·브랜드 운영자가 먼저 봐야 합니다.
• 대량 다운로드, 해외 IP 접속, 관리자 권한 공유가 가능한 시스템은 중소 쇼핑몰도 같은 리스크를 가집니다.
• 개발팀뿐 아니라 CS, 마케팅, 위탁 운영사가 고객정보에 접근한다면 접속기록과 승인 이력을 남겨야 합니다.

공식 자료로 확인된 내용

• 개인정보위는 2026년 2월 11일 제3회 전체회의에서 루이비통코리아, 크리스챤디올꾸뛰르코리아, 티파니코리아에 총 360억 3,300만 원의 과징금과 1,080만 원의 과태료를 부과했습니다.
• 디올은 고객센터 직원이 보이스피싱에 속아 SaaS 접근권한을 해커에게 넘겨 약 195만 명의 개인정보가 유출됐습니다.
• 개인정보위는 디올이 IP 제한을 하지 않았고, 대량 다운로드 지원 도구를 제한하지 않았으며, 개인정보 다운로드 여부 등 접속기록을 월 1회 이상 점검하지 않아 3개월 이상 유출 사실을 확인하지 못했다고 적시했습니다.
• 또한 2025년 5월 7일 유출을 인지하고도 2025년 5월 12일 통지해 72시간 경과 후 유출 통지를 한 점도 문제로 확인됐습니다.

실무 체크리스트

• 고객관리·마케팅·CS에 쓰는 SaaS는 반드시 IP 제한, MFA 또는 OTP, 관리자 권한 분리를 먼저 적용하세요.
• 대량 다운로드 기능이 있는 서비스는 기본 비활성화하고, 예외적으로 쓰는 경우 승인 이력과 사유를 남기세요.
• 월 1회가 최소선입니다. 다운로드 로그, 관리자 로그인 실패 로그, 해외 IP 접속 로그는 주간 단위로 보는 편이 안전합니다.

실무자가 오해하기 쉬운 부분

• 공식 자료 기준으로 이 글에서는 과징금 액수, 유출 경위, 접속기록 점검 누락, 72시간 통지 지연을 공식 문구 기준으로 다시 정리했습니다.

공식 출처

• 개인정보위, 개인정보 유출 명품브랜드사에 과징금 360억여 원 부과

개인정보·보안 증적 메모

개인정보 관련 글은 “문구를 고쳤다”보다 “운영 화면과 기록이 바뀌었다”는 증적이 중요합니다. 관리자 권한표, 위탁사 목록, 접속기록 확인일, 고객 안내 문구, 삭제·파기 로그를 같은 폴더에 묶어두면 이후 문의나 점검에서 설명이 쉬워집니다. 담당자가 바뀌어도 같은 기준으로 처리할 수 있도록 월 1회 확인 항목을 짧게 고정해 두는 편이 안전합니다.