쿠팡에서 발생한 3,370만 건의 개인정보 유출 사고의 핵심 원인으로 액세스 토큰 서명키의 장기 방치가 지목되었다. 로그인에 필요한 일회용 출입증 격인 '토큰'은 즉시 폐기되는 구조였으나, 이 토큰을 생성하는 '도장' 역할을 하는 서명키의 유효기간이 5~10년에 달해 퇴사한 직원조차 이를 계속 사용할 수 있는 보안 구멍이 발생했다.
최민희 국회 과학기술정보방송통신위원장은 쿠팡이 제출한 자료를 근거로, 담당 직원이 퇴사한 후에도 서명 정보를 삭제하거나 갱신하지 않은 점을 강하게 비판했다. 특히 이러한 사례가 과거 KT 펨토셀 인증키 유효기간 10년 방치 사건과 유사한 양상이라는 점을 들어, 단순한 개인의 일탈이 아닌 기업의 낮은 보안 책임 의식과 거버넌스의 총체적 부실이 낳은 인재라고 분석했다.
기본적인 보안 절차인 서명키 갱신과 퇴직자 권한 회수 체계가 작동하지 않은 구조적 취약점이 3,370만 건의 대규모 정보 유출을 초래했다.
쿠팡 전직 직원이 해외 서버를 경유하여 고객 계정에 비정상적으로 접속하고 개인정보를 무단 조회하기 시작했다. 이번 사고는 2025년 6월 24일부터 시작되어 약 5개월간 지속되었으며, 이름과 전화번호, 주소 등 3,370만 건의 대규모 정보가 유출된 것으로 추정된다. 특히 퇴사한 인원이 여전히 접근 권한을 가진 인증키를 사용할 수 있도록 방치한 보안 관리 부실이 주요 원인으로 지목된다. 쿠팡은 유출 사실을 뒤늦게 인지하고 대응에 나섰으나, 초기 공지 과정에서 유출 규모를 축소 발표해 소비자 기만 논란이 일었다.
한국인터넷진흥원이 쿠팡의 대규모 개인정보 유출 사고에 대해 액세스 토큰을 악용한 인증 우회 가능성을 분석해 보고했다. 분석 결과, 로그인 사용자가 재인증 없이 서비스를 이용할 수 있게 하는 디지털 인증키인 액세스 토큰의 서명 정보가 제대로 관리되지 않은 점이 원인으로 지목되었다. 특히 퇴사한 직원이 삭제되거나 갱신되지 않은 유효 인증키를 이용해 내부 시스템에 무단 접속한 것으로 파악된다. 이에 대해 쿠팡은 키 종류에 따라 유효 기간을 5~10년으로 설정하는 사례가 많다는 입장을 보였다.
최민희 과학기술정보방송통신위원회 위원장이 2025년 12월 2일 국회에서 쿠팡의 개인정보 유출 사고에 관한 현안질의를 주재했다. 이번 질의에서는 3,370만 건의 대규모 정보 유출이 발생한 배경과 쿠팡의 보안 거버넌스 부실 문제가 집중적으로 다뤄졌다. 특히 퇴사한 직원이 사용할 수 있도록 인증키를 장기간 방치한 점이 핵심 원인으로 지목되었다. 박대준 쿠팡 대표가 출석해 사과와 함께 사태 수습 의지를 밝혔으며, 개인정보보호위원회는 매출액의 최대 3%에 달하는 과징금 부과 가능성을 시사했다.