쿠팡에서 이용자 인증 시스템 설계 및 개발을 담당했던 전직 직원이 퇴사 후 재직 당시 발급받은 서명키를 악용해 고객 정보를 대량 탈취한 사건입니다. 공격자는 인증 취약점을 통해 정상적인 로그인 절차 없이 서버에 접속했으며, 성명, 전화번호, 주소 등이 포함된 배송지 목록 페이지를 약 1억 4800만 회 조회했습니다. 특히 쿠팡이 퇴사자의 서명키를 즉시 갱신하지 않고 운영한 내부 관리 부실이 핵심 원인으로 밝혀졌습니다.
사고 대응 과정에서 쿠팡은 유출 규모를 당초 4500개 계정으로 신고했으나, 정부 합동 조사 결과 실제 유출 대상은 3379만 개 계정으로 파악되어 초기 대응의 적절성 논란이 일었습니다. 또한 개인정보보호위원회의 증거 보전 명령에도 불구하고 5개월치의 웹 접속 로그를 자의적으로 삭제하여 과학기술정보통신부로부터 경찰 형사 고발 조치를 받았습니다. 이 사태의 책임을 지고 박대준 대표이사가 2025년 12월 10일 사임했습니다.
전직 직원의 내부 권한 관리 부실로 발생한 대규모 유출 사고이며, 사후 대응 과정에서 증거 인멸 논란과 경영진 책임론이 제기되었습니다.
쿠팡에서 3,370만 명에 달하는 고객 계정 정보가 무단으로 유출되는 대규모 보안 사고가 발생했다. 유출 정보에는 이름, 이메일 주소, 전화번호, 배송 주소 및 일부 주문 정보가 포함되었다. 무단 접근은 2025년 6월 24일에 시작되었으나 쿠팡 측은 약 5개월이 지난 11월 18일에야 이 사실을 인지했다.
유출자는 쿠팡에 근무했던 중국 국적 직원으로 추정되며, 해당 인물은 이미 출국한 상태다. 개인정보보호위원회는 국내 직원의 해외 서버 우회 접속 여부와 퇴사 후 무단 접근 여부를 추가 조사하고 있다.
쿠팡의 개인정보 유출 사고와 관련하여, 기업이 최초에 신고한 규모와 정부 조사 결과로 밝혀진 실제 피해 규모 사이의 큰 격차를 둘러싼 쟁점입니다.
외부 보안업체 포렌식을 통한 자체 조사 결과, 공격자가 3300만 개 계정에 접근한 것은 맞으나 실제로 저장하여 탈취한 정보는 약 3000개 계정 수준이라고 주장했습니다.
민관 합동 조사단 현장 조사 결과, 유출 대상은 쿠팡이 처음에 신고한 약 4500개 계정이 아니라 3379만 개 계정(최종 조사 결과 3367만 3817건)인 것으로 파악했습니다.