개인정보위, 3,755만명 개인정보 유출 쿠팡에 역대 최대 과징금 6,247억원 부과

무슨 일인가

개인정보보호위원회(개인정보위)가 쿠팡(Coupang)에 과징금 6,246억 8,100만원과 과태료 1,680만원을 부과하고 시정명령과 공표명령을 의결했다.¹ 의결은 6월 10일 제11회 전체회의에서 이뤄졌고 발표는 11일에 나왔다.² 개인정보위는 인증 서명키 관리와 접근통제 부실로 약 3,755만명의 개인정보가 유출됐다고 결론지었다.¹ 물류 자회사 쿠팡풀필먼트서비스(CFS)에도 개인정보 수집·이용 및 민감정보 처리 제한 위반으로 과징금 2억 4,800만원이 부과됐다.¹

과징금은 유출 사고에 따른 안전조치 의무 위반분 약 4,236억원과 타사 온라인 활동기록 무단 수집분 약 2,011억원으로 나뉜다.³ 종전 최대였던 SK텔레콤의 1,348억원을 크게 웃도는 역대 최대 규모다.⁴ 개인정보위의 지난해 과징금 총액 1,677억원의 약 4배이기도 하다.²

유출 경위: 전직 직원의 서명키 탈취

과학기술정보통신부 주도 민관합동조사단은 2월 10일 조사 결과를 발표했다.⁵ 공격자는 재직 중 쿠팡의 이용자 인증시스템 설계·개발을 맡았던 전직 직원이다.⁶ 그는 재직 중 관리하던 인증시스템의 서명키를 탈취한 뒤 이를 이용해 전자 출입증(인증 토큰)을 위·변조했고, 쿠팡 관문서버가 위·변조 여부를 검증하지 않아 정상 로그인 없이 타인 계정에 접속할 수 있었다.⁶ 본격 공격은 2025년 4월 14일부터 11월 8일까지 이어졌으며 2,313개 IP와 자동화된 웹크롤링 도구가 동원됐다.⁶

조사단은 서명키가 개발자 노트북에도 저장돼 있었고, 퇴사 시 키를 갱신하는 절차가 없었으며, 키 발급·사용 이력도 관리되지 않았다고 지적했다.⁶ 최우혁 과기정통부 정보보호네트워크정책실장은 고도화된 지능형 공격이라기보다 "인증 체계 관리 부실과 키 관리 체계의 공백"에서 비롯된 "명백한 관리 실패"라고 강조했다.⁵

유출 규모와 추가 위반

개인정보위와 한국인터넷진흥원(KISA)의 집중조사 TF는 회원 3,322만 2,472명과 회원이 아닌 정보주체 최소 433만 8,368명의 개인정보가 유출됐다고 집계했다.² 회원정보 수정 페이지에서 3,305만여명의 이름과 이메일이, 배송지 관리 페이지에서 최소 2,237만여명의 배송지 정보 6,398만여건이 유출됐으며 배송지에는 가족·친구 등 제3자 정보도 다수 포함됐다.²

개인정보위는 안전조치 의무 위반 외에 유출통지 의무 위반, 개인정보보호책임자(CPO)의 독립적 업무 수행 방해, 파기 의무 위반, 자료 폐기 등 조사 방해를 추가로 확인했다.² 사고 관련 접속기록을 삭제해 조사를 방해한 행위는 경찰에 고발했다.⁷ 쿠팡은 정보보호 책임자가 2025년 11월 17일 사고를 인지했으나 신고는 19일 밤에 해 정보통신망법상 24시간 이내 신고 의무도 어겼다.⁶

별도로 쿠팡은 2024년 12월부터 2026년 2월까지 타사 웹·앱을 방문한 이용자 1,117만여명의 온라인 활동기록을 법적 근거 없이 수집해 저장했다.² 쿠팡파트너스 광고 매체에서 클릭하지 않아도 쿠팡 앱으로 강제 전환되는 '납치 광고'를 방치했다는 점도 지적됐다.²

쿠팡의 반응과 불복 소송

쿠팡은 11일 입장문에서 고객과 국민에게 사과하면서도 "2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 개인정보위원회의 결정에 충분히 반영되지 못한 점은 유감스럽게 생각한다"고 밝혔다.⁸ 쿠팡파트너스에 대해서는 "다른 글로벌 기업들과 동일한 제휴 모델을 사용해 고객 데이터를 보호하고 적법하게 운영하고 있다"고 반박했다.⁸

과징금 산정 과정에서 쿠팡은 직매입 매출에 순액법을 적용하고 위반 정도를 '약한 위반'으로 봐야 한다고 주장했으나, 개인정보위는 16개 IP에서 배송지 관리 페이지에 약 1억 4,800만회 접근이 있었는데도 6개월 이상 인지하지 못한 점을 들어 '중대한 위반'으로 판단했다.⁹ 쿠팡은 10월 7일 서울행정법원에 개인정보위를 상대로 과징금 부과처분 취소 소송 2건을 내고 집행정지도 함께 신청했다.³ 과징금은 쿠팡의 지난해 매출 45조 5,000억원의 약 1.3% 수준으로, 법정 상한은 매출의 최대 3%다.³

공정위와의 별도 공방

쿠팡은 공정거래위원회와도 법정 다툼을 벌이고 있다. 서울고법 행정6-2부는 9월 23일 쿠팡이 공정위 현장조사 결정에 대해 낸 집행정지 신청을 기각했다.¹⁰ 쿠팡은 할인쿠폰 비용을 납품업체에 떠넘겼다는 대규모유통업법 위반 의혹과 관련한 현장조사에 사전 통지가 없었다며 응하지 않았었다.⁹ 법원은 현장조사 결정으로 쿠팡에 발생할 불이익보다 효력 정지가 공공복리에 미칠 영향이 더 크다고 판단했고, 공정위는 조사 방해 과태료 부과 절차에 들어갔다.¹⁰

남은 물음

송경희 개인정보위원장은 "이번 처분이 국민 생활과 밀접한 온라인 플랫폼 전반의 보안 투자 확대와 내부 통제 강화를 유도하는 계기가 되기를 바란다"고 말했다.² 역대 최대 과징금이 법원에서 유지될지, 그리고 공격자가 확보한 정보의 외부 유출 여부가 수사에서 밝혀질지가 남은 쟁점이다. 조사단은 공격 스크립트에 외부 클라우드 전송 기능이 있었으나 실제 전송 여부는 기록이 없어 확인하지 못했다고 밝혔다.⁶

참고한 곳

1. 개인정보보호위원회, 개인정보위, 쿠팡 및 계열사의 개인정보 유출 및 침해 제재처분 의결 - https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12171 ↩ ↩² ↩³

2. ZDNet Korea, 개인정보위, 쿠팡 6247억 '철퇴'…작년 과징금 총액 4배 - https://zdnet.co.kr/view/?no=20260611104544 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

3. 한국일보, 쿠팡, 개인정보 유출 '6000억 원대 과징금' 불복 소송... 집행 정지 신청도 함께 - https://www.hankookilbo.com/news/article/A2026100816370001024 ↩ ↩² ↩³

4. The Korea Herald, Coupang fined record W624.7b over massive data breach, unauthorized data collection - https://www.koreaherald.com/article/10769351 ↩

5. 이데일리, 퇴사자, 서명키 빼돌려 무단접속…"쿠팡, 명백한 인증관리 실패" - https://www.edaily.co.kr/News/Read?mediaCodeNo=257&newsId=04956086645349208 ↩ ↩²

6. 대한민국 정책브리핑, 쿠팡 침해사고 민관합동조사단 조사결과 - https://www.korea.kr/briefing/policyBriefingView.do?newsId=156744092 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

7. 전자신문, 쿠팡 과징금 '6247억'…개인정보유출 최고액 - https://www.etnews.com/20260611000118 ↩

8. 디지털데일리, 쿠팡 "2차 피해 방지 노력 반영 안돼 유감"…법적 절차 예고 - https://www.ddaily.co.kr/page/view/2026061111413139716 ↩ ↩²

9. 메트로신문, 6247억 과징금 이어 공정위와 법정공방…쿠팡 '산 넘어 산' - https://www.metroseoul.co.kr/article/20260927500138 ↩ ↩²

10. 파이낸셜뉴스, 법원, 쿠팡 '현장조사 집행정지' 신청 기각...공정위 "과태료 부과" - https://www.fnnews.com/news/202609231803152595 ↩ ↩²