쿠팡 개인정보 3,370만 건 유출

사고 phase — 7개월 무단 접속과 53시간 지연 신고

전직 직원 7개월 무단 접속 phase는 2024년 11월 쿠팡을 퇴사한 인증시스템 개발자(중국 국적, 43세)가 재직 중 탈취한 서명키로 ‘전자 출입증’을 위·변조해 정상 로그인을 우회한 사고다. 정부 민관합동조사단은 2025년 1월 5~20일 사전 공격 테스트 접속을 확인했고, 4월 14일부터 11월 8일까지 자동화 웹 크롤링 도구로 ‘내 정보 수정’ 페이지에서 3,367만 3,817건이 빠져나갔다고 밝혔다.

4500개 인지·53시간 지연·3370만 첫 공개 phase 에서 쿠팡은 11월 18일 약 4,500개 계정 무단 접근 사실을 내부 인지했지만 — 보도 기준 전직 직원의 익명 협박 메일이 발단으로 알려졌다 — 11월 19일 21시 35분에야 한국 당국에 침해사고를 신고했다. 인지 시점부터 약 53시간 경과로 정보통신망법상 24시간 신고 의무 초과 논란이 일었고, 11월 29일에야 약 3,370만 명분 유출을 처음 대외 공개했다. 쿠팡이 이를 ‘노출(exposure)’로 표기하자 12월 3일 개인정보보호위원회는 “‘유출(leak)’이 정확한 표현”이라며 이용자 통지 정정을 명령했다.

정부 대응 — 민관합동조사단·대통령 천명·경찰 입건

민관합동조사단 가동·대통령 천명 단계에서 11월 30일 과학기술정보통신부·개인정보보호위원회·KISA·경찰이 참여하는 민관합동조사단이 본격 가동됐고, 개보위는 접근통제·접근권한 관리·암호화 등 안전조치 의무 위반 여부를 집중 조사한다고 밝혔다. 12월 2일 이재명 대통령은 국무회의에서 “기업 개인정보 부주의에 대한 더 강력한 처벌”을 천명했고, 쿠팡 CISO 브렛 매티스는 같은 날 국회 증언에서 “비밀 암호키 접근 권한자의 가담 가능성”을 진술했다.

경찰 중국 국적 전직 직원 입건·송파 본사 압수수색은 12월 9일 단행됐다. 서울경찰청 사이버수사과는 중국 국적 전직 쿠팡 직원 ㄱ씨를 정보통신망 침입·비밀누설 혐의 피의자로 입건했고, 같은 날 오전 송파구 쿠팡 본사를 압수수색했다. 영장에는 두 가지 혐의가 적시됐으며, IP 추적 결과 ㄱ씨는 현재 국외에 있는 것으로 추정된다. 2026년 2월 단독 보도로 ㄱ씨가 상해 황푸강에 노트북을 투기한 정황도 거론됐으나 추가 검증이 필요한 단계다.

정부 최종 조사결과 3367만 건·관리 부실은 2026년 2월 10일 발표됐다. 과기정통부는 ‘내 정보 수정’ 페이지에서 3,367만 3,817건 유출, ‘배송지 목록’ 페이지는 약 1억 4,800만 회 조회, 결제정보 유출 없음으로 결론지었다. 정부는 사고를 “정교한 사이버 공격이라기보다 관리 부실(management problem)”로 규정했고, 정확한 항목별 유출 건수는 개인정보보호위원회가 추가 확정하기로 했다. ‘1억 4,800만 회 조회’는 ‘1억 4,800만 건 유출’이 아닌 페이지뷰 카운트라는 점이 강조됐다.

보상안과 거버넌스 위기 — 1.7조 원 vs 청문회 불출석

1.7조 보상안과 5천원 꼼수 비판 phase 에서 쿠팡은 2025년 12월 29일 와우·일반·탈퇴 회원 약 3,370만 명에게 1인당 5만 원 구매이용권(쿠팡 5,000원 + 쿠팡이츠 5,000원 + 쿠팡 트래블 2만 원 + 알럭스 2만 원)을 지급하는 1조 6,850억 원 보상안을 발표했다. 다음 날 연석청문회에서 김현정 더불어민주당 의원 등은 “일반 상품 한도가 5,000원에 불과한 끼워팔기성 꼼수”라고 비판했지만, 임시대표 해롤드 로저스는 “1조 7,000억 원에 달하는 전례 없는 보상”이라며 추가안 제시 의사가 없음을 시사했다.

김범(Bom Kim) 청문회 불출석과 박대준 사임 단계는 거버넌스 위기를 키웠다. 12월 10일 박대준 전 쿠팡 대표가 “사태 책임을 통감해 사임”했고, 14일 김범(Bom Kim) 쿠팡Inc 의장은 “170여 개국에서 영업하는 글로벌 기업 CEO로서 공식 비즈니스 일정”을 들어 17일 국회 과방위 청문회 불출석 사유서를 냈다. 강한승 전 대표도 함께 빠졌고, 최민희 과방위원장은 “합당한 책임을 묻겠다”며 고발·강제 구인 가능성을 시사했다. 김 의장의 미국 시민권자 지위가 일부 매체에서 강조됐지만 본 사건의 법적 책임 면제와 직접 연결되는 것은 아니다.

임시대표 위증 고발과 NIS 부인은 12월 30일 연석청문회 직후 의결됐다. 로저스가 “쿠팡 내부 조사가 NIS(국가정보원) 지시에 따라 수행됐고, NIS가 쿠팡에 사고 책임이 있는 전직 직원에게 연락하라고 요청했다”고 증언했으나, NIS는 두 주장 모두 부인하며 국회에 위증 고발을 직접 요청했다. 이후 1월 30일과 2월 6일 임시대표에 대한 경찰 조사가 진행됐다.

美 통상 트랙 — Section 301·ISDS·하원 법사위 소환장

美 투자자 5사 ISDS 의향 통보·USTR Section 301 단계에서 2026년 1월 22일 美 투자기관 Greenoaks Capital Partners와 Altimeter Capital Management가 USTR에 Section 301 청원을 접수하고, 한국 정부에 한미 FTA 투자 챕터에 따른 ISDS 의향 통보를 발송했다. 양사는 “이재명 행정부가 한반도에서 미국 경쟁력을 약화시키려 한다”는 취지의 주장을 폈고, 쿠팡은 1월 23일 “해당 청원과 무관하다”는 입장을 냈다. 같은 날 김민석 국무총리는 미국 의원들에게 “쿠팡에 대한 차별은 절대 없다”며 “일상적 법 집행”이라는 프레이밍을 유지했다. 2월 12일에는 Abrams Capital·Durable Capital Partners·Foxhaven 3사가 추가 의향 통보를 접수해 참여 투자자가 총 5개로 늘었다. ‘의향 통보(notice of intent)’는 절차 개시 전 단계로 “소송 제기”와는 구분된다.

美 하원 법사위 쿠팡 소환장과 비공개 청문회는 1월 13일 세입세출위 무역소위 청문회에서 Adrian Smith 위원장이 쿠팡을 “한국 규제 당국의 차별적 표적” 사례로 지목한 데서 출발했다. 1월 27일 트럼프 미 대통령이 한국산 일부 수입품 관세 인상을 예고하면서 압박이 가중됐고, 2월 5일 美 하원 법사위는 쿠팡에 소환장을 발부해 한국 정부와의 컴플라이언스 통신 자료 제출과 임시대표 출석을 요구했다. 2월 24일에는 행정국가·규제개혁·반독점 소위 주최 비공개 청문회에 임시대표 해롤드 로저스가 약 7시간 출석했고, 쿠팡은 이를 “초당파 위원들과의 협조”로 표현했다.

쿠팡 반박·창업자 사과·집단소송

정부 발표 부분 반박과 2,609 계정 주장은 12월 25일과 2월 12일 두 시점에 걸쳐 진행됐다. 12월 25일 쿠팡은 “전직 직원이 약 3,300만 계정에 접근했지만 실제 저장은 약 3,000명분에 불과하고 제3자 전송 흔적은 없다”는 입장을 냈다. 이 발언은 이후 집단소송에서 “사고 축소·은폐 정황”의 핵심 근거로 인용됐다. 2월 12일에는 정부 발표 중 “공동현관 코드 페이지 약 5만 회 조회” 부분에 대해 “실제 해당 코드가 입력된 계정은 2,609개에 불과하다”며 부분 반박했고, 다크웹 등에서 2차 피해는 확인되지 않았다고 밝혔다.

김범(Bom Kim) 투자자 컨퍼런스콜 사과는 2월 27일 이뤄졌다. 쿠팡 창업자 겸 CEO 김범(Bom Kim)은 “데이터 사고로 우려를 끼친 점에 대해 사과한다”며 “회사의 우선순위는 고객 신뢰 회복”이라고 말했다. 12월 17일 국회 청문회 불출석 이후 첫 공식 사과로 평가됐고, 같은 자리에서 임시대표 로저스는 사건을 “전직 직원의 표적 행위(targeted act)”로 프레이밍하며 한국 수사 협조 지속 의사를 밝혔다.

1900명 1차 집단소송 첫 재판은 2026년 3월 13일 열렸다. 이용자 1,900여 명이 1인당 30만 원 배상을 청구했고, 이은우 변호사(법무법인 지향)는 “‘노출’ 표현과 ‘3,000건만 유출’ 발언으로 쿠팡이 사고를 축소·은폐한 정황”을 2차 불법 행위(기망 행위)로 추가했으며 징벌적 손해배상으로 청구취지 변경도 검토 중이라고 밝혔다. 노바 등 다른 법무법인이 추가 집단소송 참여자 모집 페이지를 운영 중이다.

시민사회·재무 영향

참여연대, 쿠팡 매출 10% 최대 과징금 촉구는 4월 15일 개인정보보호위원회 앞에서 기자회견 형태로 이뤄졌다. 시민단체는 “안전조치의무 위반의 경우 매출액 최대 10%까지 과징금 부과가 가능하도록 개정된 개인정보보호법에 따라 쿠팡 전 국민 단위 유출에는 선처의 여지가 없다”고 강조했다. 본 followup 적재 시점(2026-05-10)까지 개보위 최종 과징금 액수는 발표되지 않았다.

쿠팡 데이터 사고 영업손실·이용자 70만 명 이탈은 5월 6일 MBC 보도로 가시화됐다. 쿠팡은 사태 이후 분기 역대급 영업손실을 기록했고 활성 이용자 약 70만 명이 이탈한 것으로 전해졌다. 보상 비용·신뢰 회복 비용·법률 비용·과징금 가능성이 동시에 누적되는 구조가 재무 영향의 핵심으로 지목됐다.