쿠팡 3370만 명 개인정보 대규모 유출 사건

조사 결과 쿠팡에서 대체 인증을 개발했던 중국 국적 전직 개발자 A씨가 6월 24일부터 시스템에 비정상적으로 접근하기 시작한 것으로 파악됐다. A씨는 재직 당시 시스템 접근 권한이 담긴 인증 서명키를 보유했는데, 사측은 퇴사 처리 과정에서 이 키를 회수하거나 폐기하지 않았다. 그는 이 키로 위조 인증토큰을 만들어 정상 로그인 없이 고객 계정 정보에 접근했다. 이 접근은 회원정보 수정·배송지 관리·주문목록 페이지 등을 통해 이뤄졌다. 첫 비인가 접근 이후 약 5개월간 유출이 이어졌다는 사실은 사건이 공개된 뒤에야 드러났다.

쿠팡은 6월부터 이어진 개인정보 접근을 자체적으로 탐지하지 못하다가 11월 18일 밤 고객 민원을 통해 비로소 침해 사실을 인지했다. 첫 비인가 접근 이후 약 5개월이나 지나서였고, 그동안 회사는 이상 징후를 걸러내지 못했다. 인증 취약점을 악용한 접근이라 정상 트래픽과 구분이 어려웠던 점이 지적됐다. 뒤늦은 탐지로 피해 규모가 크게 불어난 상황이었다. 이 시점을 계기로 쿠팡은 내부 조사에 착수했다.

쿠팡이 11월 25일 서울경찰청 사이버수사대에 고소장을 정식 제출하며 수사가 본격화됐다. 회사는 이 시점에 내부자 연루 가능성을 처음으로 공개적으로 언급했다. 경찰은 서버 접근 로그 분석과 피의자의 출국 여부 확인에 착수했다. 유출 경로가 외부 해킹이 아니라 퇴직자가 재직 중 확보한 인증키였다는 점에서 내부통제 실패 논란이 커졌다. 고소와 동시에 개인정보보호위원회·과학기술정보통신부의 조사도 병행됐다.

쿠팡은 11월 29일 후속 조사 결과 약 3370만 건의 회원 정보가 무단 유출된 것으로 확인됐다고 발표했다. 유출 항목은 고객명, 이메일, 배송지 전화번호와 주소 등으로, 사실상 전체 가입자 규모에 해당했다. 이는 이전에 밝힌 활성 고객 수(약 2470만 명)를 크게 웃도는 수치였다. 회사는 29일 저녁부터 이튿날까지 순차적으로 개별 문자를 통해 유출 사실을 통지했다. 국내 이커머스 사상 최대 규모의 개인정보 유출로 즉각 파장이 일었다.

박대준 쿠팡 대표는 11월 30일 정부서울청사에서 공개 사과하고 홈페이지에도 사과문을 게시했다. 같은 기간 국회는 과학기술정보방송통신위원회를 중심으로 여러 상임위가 참여한 연석 청문회를 열어 사태를 추궁했다. 청문회에서는 퇴사자의 인증키가 회수되지 않은 인적 관리 부실과 늑장 탐지가 집중 도마에 올랐다. 최고정보보안책임자는 해당 직원이 재직 중 맡겨진 키를 탈취했다고 진술했다. 정부와 국회는 쿠팡의 보안 관리 체계 전반을 문제 삼았다.

유출 규모가 3370만 건으로 알려지면서 12월 초부터 피해자들의 집단소송 준비가 본격화됐다. 소송 참여자를 모으는 온라인 커뮤니티와 오픈채팅방 가입자가 하루 만에 수만 명 규모로 급증했다. 이름·전화번호·주소 등 재발급이 불가능한 신상정보가 유출된 만큼 정신적 손해배상을 요구하는 목소리가 컸다. 법무법인들이 잇달아 위임 접수를 열며 대규모 손해배상 청구로 번질 조짐을 보였다. 과거 개인정보 유출 판례상 1인당 배상액을 감안하면 배상 총액이 조 단위에 이를 수 있다는 분석도 나왔다.

해외직구에 쓰이는 개인통관고유번호가 유출됐을 수 있다는 우려에 번호를 바꾸려는 이용자가 폭주했다. 12월 2일 하루에만 약 42만 명이 통관고유번호를 변경해 평소의 약 1000배에 달했다. 신청이 몰리면서 관세청 전자통관시스템 유니패스에 접속 장애가 발생해 한동안 서비스가 마비됐다. 통관번호가 도용되면 명의를 이용한 밀수·부정 통관에 악용될 수 있어 불안이 확산됐다. 관세청은 긴급 증설과 함께 도용 모니터링 강화 방침을 밝혔다.

유출 직후 중국 타오바오 등 해외 온라인 장터에서 한국 쿠팡 계정 정보가 거래되는 정황이 포착됐다. 유출된 이름·연락처·주소가 보이스피싱과 스미싱, 계정 도용의 재료로 쓰일 수 있다는 우려가 현실이 된 셈이다. 실제로 사건 이후 쿠팡을 사칭한 문자와 결제 유도 피싱 시도가 늘었다는 신고가 이어졌다. 보안 전문가들은 유출 정보가 다크웹과 해외 장터를 통해 2차·3차로 유통될 위험을 경고했다. 이용자에게는 비밀번호 변경과 2단계 인증, 통관번호 교체 등 자구책이 권고됐다.

개인정보보호위원회와 과학기술정보통신부는 사건 직후 조사에 착수해 유출 경위를 파헤쳤다. 정부는 퇴사자가 탈취한 인증키로 접근 토큰을 생성해 고객을 사칭한 방식이 핵심 원인이라고 밝혔다. 6월 24일 첫 접근부터 11월 18일까지 장기간 비정상 접근이 이뤄진 정황도 확인됐다. 정부는 영업 정지 등 강도 높은 제재 가능성까지 거론하며 책임 규명에 나섰다. 이 조사 결과는 이후 대규모 과징금 처분의 근거가 됐다.

개인정보보호위원회는 쿠팡에 총 6246억여 원의 과징금을 부과하며 국내 개인정보 관련 최대 규모의 제재를 내렸다. 과징금은 유출 관련 안전조치 위반 4235억여 원, 타사 온라인 활동기록 무단 수집 2011억여 원, 계열사 관련 처분 등으로 구성됐다. 조사 과정에서 유출 규모는 약 3755만 명으로 재확인돼 초기 발표보다 늘었다. 피해자들의 집단소송이 잇따라 접수되며 원고 규모가 수만 명대로 불어났고, 개인정보위는 집단분쟁조정 절차도 다시 진행했다. 사건은 과징금 처분 이후에도 소송과 조정이 이어지며 현재 진행형으로 남아 있다.

쿠팡 모회사 쿠팡Inc를 상대로 미국 뉴욕 연방법원에 제기된 개인정보 유출 관련 집단소송이 2026년 7월 본격 심리 단계에 들어갔다. 사건은 보안 분야에 정통한 판사에게 배당됐고, 피고 측 답변서 제출 기한이 7월 6일로 지정되면서 재판이 본궤도에 올랐다. 미국 소송은 국내와 달리 징벌적 손해배상 청구가 가능해 인용될 경우 쿠팡이 지는 배상 부담이 국내 소송을 크게 웃돌 수 있다는 관측이 나온다. 국내에서도 2025년 12월 첫 소장 접수 이후 원고 규모가 수만 명대에서 수십만 명대로 불어나며 집단소송이 전국으로 확산됐다. 개인정보보호위원회의 역대 최대 6246억원 과징금에 이어 국내외 법적 공방이 동시다발적으로 전개되면서 사건은 장기 소송 국면으로 접어들었다.