루이비통·디올·티파니 코리아 SaaS 해킹 개인정보 유출·과징금 360억 사건

크리스챤디올꾸뛰르코리아는 2025년 5월 7일 외부의 권한 없는 제3자가 고객의 일부 데이터에 접근한 사실을 발견했다고 홈페이지 공지를 통해 밝혔다. 영향을 받은 데이터에는 고객의 연락처 정보와 함께 구매 이력, 브랜드 선호도 등 민감한 소비 패턴 정보가 포함됐다. 디올은 비용 절감과 편의를 위해 자체 서버 대신 클라우드 기반 서비스형 소프트웨어(SaaS)로 고객 관리를 운영해왔는데, 이 SaaS 시스템의 보안 관리가 허술해 해킹을 막지 못한 것으로 드러났다. 이 사건은 이후 루이비통, 티파니 등 같은 LVMH 계열 명품 브랜드로 유사 피해가 확산되는 발단이 됐다. 명품업계가 매출은 국내에서 올리면서 정작 고객 정보 보호에는 소홀하다는 비판이 처음 제기된 시점이기도 하다.

국회 과학기술정보방송통신위원회 소속 국민의힘 최수진 의원은 2025년 5월 14일 디올이 해킹 사고를 개인정보보호위원회에는 신고했지만 정작 신고 대상 기관인 한국인터넷진흥원(KISA)에는 아무런 조치를 하지 않았다고 지적했다. 현행법상 국내 이용자 피해가 발생한 해킹 사고는 정보통신망법에 따라 KISA 신고 대상이며, 미신고 시 3000만원 이하 과태료 처분이 가능하다. 최 의원은 앞서 SK텔레콤도 해킹 발생 이틀 만에야 늦장 신고를 한 전례를 들며 외국계 기업이 한국 신고 체계를 가볍게 여기고 있다고 비판했다. 이 지적으로 명품 브랜드들의 개인정보 보호 의식 부재 문제가 국정감사 이슈로 부상했다. KISA는 이후 해외 업체 대상 신고 의무 홍보를 강화하겠다고 밝혔다.

디올 사태 이후 아디다스코리아 등 다른 해외 브랜드에서도 유사한 고객정보 유출 사실이 잇따라 확인되며 파장이 확산됐다. 일간스포츠 등 언론은 '아디다스·디올, 돈은 돈대로 벌고 정작 한국 고객 정보 소홀'이라는 제목으로 해외 브랜드들이 국내 매출은 적극적으로 올리면서 개인정보 보호 인프라 투자에는 인색하다고 비판했다. 국민일보도 '디올·아디다스·테무서 한국 소비자 개인정보 줄줄 샜다'며 외국계 이커머스·명품 업체들의 공통된 보안 부실 문제를 짚었다. 이들 기업 다수가 국내에 별도 법인이나 전담 보안 조직 없이 해외 본사 시스템에 의존하는 구조여서 사고 대응이 늦고 불투명하다는 지적이 이어졌다. 소비자단체들은 정부에 해외 기업에 대한 실효적 제재 수단 마련을 요구했다.

개인정보보호위원회는 2026년 2월 11일 전체회의를 열어 루이비통코리아, 크리스챤디올꾸뛰르코리아, 티파니코리아 등 명품 3사에 개인정보보호법 위반으로 과징금 총 360억 3300만원과 과태료 1080만원을 부과하기로 의결했다. 업체별 과징금은 루이비통코리아 213억 8500만원, 크리스챤디올꾸뛰르코리아 122억 3600만원, 티파니코리아 24억 1200만원으로, 이는 개인정보위 출범 이후 손꼽히는 대형 제재로 기록됐다. 조사 결과 세 회사 모두 SaaS 시스템에 접근권한 관리, 접속기록 보관 등 기본적인 안전조치 의무를 소홀히 한 것으로 확인됐다. 유출 규모는 세 회사를 합쳐 555만 명에 달하는 것으로 파악됐으며, 해커에게 사실상 시스템 접근 권한까지 넘어간 것으로 드러나 파장이 컸다. 개인정보위는 이번 제재를 계기로 해외 SaaS 의존 기업에 대한 점검을 강화하겠다고 밝혔다.

ZDNet Korea 등 IT 전문매체는 2026년 2월 12일 이번 사건을 'SaaS 해킹 주의보'로 조명하며 클라우드 기반 고객관리 서비스를 도입한 기업들에 대한 전반적인 보안 점검 필요성을 제기했다. 명품 3사가 비용 절감을 이유로 자체 서버 대신 외부 SaaS 업체에 고객 데이터 관리를 맡겼다가 정작 그 SaaS 업체의 보안 취약점을 통해 해커에게 뚫린 구조적 문제가 재조명됐다. 세이프타임즈 등도 '명품 3사 과징금 360억 철퇴'라는 제목으로 보도하며 국내 유통·서비스 업계 전반에 유사 사례가 잠재해 있을 수 있다고 경고했다. 개인정보위는 SaaS를 활용하는 다른 기업들에 대해서도 순차적으로 안전조치 이행 여부를 점검하겠다고 예고했다. 이 사건은 이후 국내 대기업들의 클라우드 보안 투자 확대 계기로 거론된다.