쿠팡 3370만 건 정보유출, 5개월간 몰랐다
정보보호

쿠팡 3370만 건 정보유출, 5개월간 몰랐다

2025.12.09

아침에 온 문자 한 통

"고객님의 개인정보가 비인가로 조회된 것으로 확인되었습니다."

2025년 11월 18일, 수많은 쿠팡 이용자들이 받은 문자 메시지다. 처음에는 4,500명. 그러나 11일 후인 11월 29일, 쿠팡은 충격적인 발표를 했다.

3,370만 건.

대한민국 성인 인구의 4분의 3에 해당하는 숫자다. 쿠팡 활성 이용자 수(2,470만 명)보다 많다. 사실상 쿠팡 전체 가입자의 정보가 유출된 것이다.

더 충격적인 것은, 유출은 6월 24일부터 시작됐다는 사실이다. 5개월간 기업은 몰랐고, 해커는 계속 정보를 빼갔다.

무엇이 유출되었나

확인된 유출 정보

유출되지 않았다고 주장하는 정보

쿠팡은 "결제 정보는 안전하다"고 강조했다. 그러나 개인정보보호위원회와 경찰의 추가 조사가 진행 중이며, 결과에 따라 피해 범위가 더 확대될 가능성도 배제할 수 없다.

어떻게 유출되었나: 보안의 ABC를 무시하다

1. 인증 취약점: 열려있던 뒷문

쿠팡은 "서버의 인증 취약점을 악용하여 정상적인 로그인 없이 정보에 접근했다"고 밝혔다.

개혁신당 이준석 대표는 SNS에서 이렇게 지적했다:

"내부 서버끼리만 쓰고 닫았어야 할 API가 황당하게도 일반 인터넷에서 누구나 접근 가능한 상태로 열려 있었다."

쉽게 말하면, 회사 내부용 시스템에 누구나 접속할 수 있는 뒷문이 활짝 열려 있었다는 뜻이다.

2. 장기 유효 인증키: 만료되지 않는 마스터키

전문가들은 "장기 유효 인증키 방치가 부른 인재"라고 지적한다.

엑세스 토큰이라는 일회용 인증키가 있었다. 원래는 짧은 시간 동안만 유효해야 하는데, 쿠팡의 토큰은 장기간 유효했다. 퇴사한 직원의 접근 권한도 제대로 회수되지 않았다.

이는 보안의 기본 원칙인 "최소 권한 원칙"과 "적시 접근 통제"를 모두 위반한 것이다.

3. 내부자 위협: 중국 국적 전직 직원

쿠팡은 중국 국적의 퇴직 직원을 용의자로 지목했다. 이 직원은 6월 24일부터 11월 8일까지 해외 서버를 통해 지속적으로 정보에 접근했다.

문제는 퇴사 후에도 시스템 접근이 가능했다는 점이다.

실제 사례:

5개월간 몰랐다: 모니터링의 부재

가장 심각한 문제는 5개월간 유출을 감지하지 못했다는 점이다.

정상적인 보안 체계라면

  1. 실시간 모니터링: 비정상적인 접근 패턴 즉시 감지
  2. 이상 트래픽 탐지: 대량의 데이터 조회 알람
  3. 접근 로그 분석: 퇴사자 계정 활동 차단

쿠팡은 이 모든 것을 놓쳤다.

이재명 대통령은 12월 2일 국무회의에서 질타했다:

"피해 규모가 약 3,400만 건으로 방대하기도 하지만, 처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다. 이 정도인가 싶다."

기업의 책임: 법은 무엇을 요구하는가

개인정보보호법상 의무

정보보호 조치 의무 (제29조)

유출 통지 의무 (제34조)

손해배상 책임 (제39조)

ISMS-P 인증의 허상

쿠팡은 정보보호·개인정보보호 관리체계(ISMS-P) 인증 기업이다.

이 인증은 기업의 정보보호 수준이 일정 기준 이상임을 보증하는 제도다. 그러나 이번 사건으로 인증 제도의 실효성에 의문이 제기되고 있다.

개인정보보호위원회는 12월 6일 발표했다:

무성의한 대응: 사흘짜리 사과문

쿠팡은 11월 29일 메인 페이지에 사과문을 게재했다. 그러나 사흘 만인 12월 2일, 사과문을 내렸다.

쿠팡 사과문

쿠팡이 11월 29일 올린 사과문. 사흘 만에 삭제됐다.

사과문이 사라진 자리에는 "오늘 밤 12시까지 주문해도 로켓배송은 내일 도착!" 광고와 연말 세일 광고가 자리를 차지했다.

3,370만 명의 개인정보가 유출된 사건에 대한 사과보다, 상품 판매가 더 중요했던 것일까?

후폭풍: 법적 책임은 어디까지

1. 형사 책임

서울경찰청 강제 수사

국회 청문회

2. 행정 제재

과징금

영업정지 가능성

3. 민사 책임

미국 집단소송

국내 집단소송

4. 주가 폭락

2차 피해: 당신은 안전한가

확인된 2차 피해 징후

비정상 로그인 시도

스미싱·피싱 급증

신용카드 해외 결제 시도

지금 당장 해야 할 3가지

1. 비밀번호 즉시 변경

2. 2단계 인증 설정

3. 개인통관고유부호 재발급

추가 조치:

탈퇴는 왜 이렇게 어려운가

사건 이후 '탈팡(탈쿠팡)' 움직임이 거세다. 그런데 문제가 있다.

쿠팡 탈퇴 절차의 현실:

  1. 앱에서는 탈퇴 버튼을 찾기 어려움
  2. PC 웹에서 여러 단계를 거쳐야 탈퇴 가능
  3. "정말 탈퇴하시겠습니까?" 재확인 반복
  4. 쿠폰, 적립금 소멸 경고 팝업

방송미디어통신위원회 조사 착수

이는 다크 패턴(사용자를 속이거나 조작하는 UI 디자인)에 해당할 가능성이 있다.

교훈: 기업은 무엇을 배워야 하는가

1. 보안은 비용이 아니라 생존의 문제

쿠팡의 시가총액은 약 50조원이다. 그런데 5개월간 해킹을 감지하지 못할 정도로 보안 시스템이 허술했다.

글로벌 보안기업 라드웨어는 2025년 4월 이미 경고했다:

"모바일 기반 e커머스 플랫폼을 겨냥한 공격이 급증하고 있다. 계정 탈취가 발생하면 브랜드 평판 훼손과 고객 이탈이 심각해진다."

SK텔레콤 사례의 반복

국내 대기업들은 왜 같은 실수를 반복하는가?

2. 내부자 위협 관리

전체 보안 사고의 약 60%는 내부자에 의한 것이다. 특히:

퇴사자 계정 관리 실패

최소 권한 원칙

3. 사고 대응 프로토콜

쿠팡의 실패:

바람직한 대응:

  1. 즉각 감지: 이상 징후 실시간 알림
  2. 신속한 차단: 침해 경로 즉시 폐쇄
  3. 투명한 공개: 피해 규모 솔직하게 통지
  4. 적극적 보상: 2차 피해 방지 조치 + 손해배상

마치며: 개인정보는 새로운 석유다

"데이터는 21세기의 석유다."

그러나 석유와 달리, 개인정보는 한번 유출되면 회수 불가능하다.

쿠팡 사태는 단순한 한 기업의 보안 사고가 아니다. 우리 사회가 얼마나 취약한 디지털 인프라 위에 서 있는지를 보여주는 경고다.

3,370만 명의 이름, 주소, 전화번호가 어딘가에 있다. 지금 이 순간에도 누군가는 그 정보로 스미싱 문자를 보내고 있을지 모른다.

편리함의 대가가 이렇게 클 수는 없다.

기업은 고객의 정보를 맡은 것이지 소유한 것이 아니다. 그 책임을 다하지 못한다면, 시장에서 퇴출되어야 마땅하다.

우리에게 선택권은 있다. 탈퇴 버튼이 아무리 숨겨져 있어도, 찾을 수 있다.

존중받지 못한다면, 떠나면 된다.

참고자료 및 대응 채널

#개인정보보호 #쿠팡 #정보유출 #컴플라이언스

더 많은 실무 가이드가 필요하신가요?

Clean Work Lab에서 컴플라이언스 관련 최신 분석과 체크리스트를 확인하세요.

아티클 더 보기