정보 3,755만 건이 새고 역대 최대 벌금까지 — 이 사건, 어떻게 봐야 할까?
2025년 6월, 쿠팡을 그만둔 옛 직원이 회사에 다닐 때 받은 '디지털 열쇠'(인증 키)를 퇴사 후에도 그대로 쓸 수 있었고, 이걸로 회원 정보를 몰래 들여다봤다. 회사는 이 사실을 약 5개월이나 눈치채지 못하다가 11월에야 공개했다. 조사 결과 정보가 새어 나간 사람은 약 3,755만 명(쿠팡이 처음 밝힌 숫자는 3,370만 명). 이름·이메일·전화번호·주소·일부 주문내역이 샜고, 쿠팡은 비밀번호와 카드 같은 결제정보는 빠져나가지 않았다고 했다(일부 소비자단체는 더 많은 정보가 포함됐다고 주장하지만 아직 확인되진 않았다). 외부 해커가 뚫은 게 아니라 '내부 사람'이 저지른 일이라, 그만둔 직원의 권한을 제때 막지 못한 관리 허점이 드러났다.
대응은 빠르게 이어졌다. 2025년 12월 대표가 자리에서 물러났고, 쿠팡은 피해자 한 명당 5만 원짜리 쿠폰(전체 약 1조 6,900억 원)을 보상으로 줬다. 2026년 6월 정부 기관인 개인정보보호위원회는 '정보를 제대로 지키지 못했고, 동의 없이 이용자 활동 기록까지 모았다'며 과징금 6,246억 원을 매겼다 — 지금까지 나온 벌금 중 가장 큰 액수다. 쿠팡은 이 벌금이 너무 많다며 소송으로 다투겠다고 했고, 피해자들이 함께 제기한 집단소송도 진행 중이다.
불매운동은 2025년 12월 '나 쿠팡 탈퇴했다'는 인증이 온라인에 퍼지면서 가장 뜨거웠다. 이후 2026년 초 쿠팡을 쓰는 사람이 약 70만 명 줄고, 경쟁 쇼핑몰이 조금 이득을 봤다. 지금은 처음보다 열기가 식었지만 완전히 사라지진 않았다. 쿠팡은 '떠났던 손님이 많이 돌아왔다'고 하지만, 정말 회복됐는지는 언론마다 평가가 갈린다.
3,700만 명이 넘는 사람의 정보가 샜다는 건, 믿고 쓰던 서비스에 배신당한 셈이다. 이름·연락처·주소·주문내역만 새어 나가도 스팸 문자나 보이스피싱 같은 2차 피해로 이어질 수 있다. 5만 원 쿠폰은 피해에 비하면 적고, 그마저 쿠팡에서만 쓸 수 있게 해서 '보상'이라기보다 손님을 붙잡아 두려는 것처럼 보인다.
↳ 게다가 탈퇴하기가 너무 번거로웠다는 불만까지 겹치면서, 회사가 피해 수습보다 손님 이탈 막기에 더 신경 쓴다는 인상을 줬다.
쿠팡은 로켓배송과 수많은 일자리, 입점 사장님들이 기대는 큰 서비스다. 이번 일은 외부 해커의 정교한 공격이 아니라 직원 한 명의 잘못에 가깝고, 회사는 대표 사임과 큰 보상으로 책임을 졌다. 역대급 벌금은 지나치다고 보고 소송으로 다투겠다는 입장이다.
↳ 하지만 '직원 한 명 탓'으로 넘기는 건, 그 한 명을 5개월이나 못 잡아낸 회사 시스템의 책임을 가린다는 반박을 받는다.
그만둔 직원의 열쇠를 없애지 않았고, 정보가 새는 걸 5개월이나 몰랐다는 건 회사가 지켰어야 할 기본을 안 지킨 것이다. 게다가 이용자 동의 없이 활동 기록까지 모은 잘못도 드러났다. 역대급 벌금은 많은 개인정보를 다루는 큰 회사들에 '다시는 이러지 말라'는 경고이고, 탈퇴를 어렵게 만든 것도 고쳐야 한다.
↳ 다만 큰 벌금이 결국 가격이나 서비스 형태로 소비자에게 돌아올 수 있고, 벌만 세게 준다고 회사의 보안 문화가 저절로 바뀌는 건 아니라는 지적도 있다.
이번 사고는 '엄청난 해킹'이 아니라 기본을 안 지켜서 생긴 일이다. 직원이 나가면 권한을 바로 없애고, 열쇠를 주기적으로 바꾸고, 이상한 접근을 감시하는 기본 절차만 지켰어도 막거나 빨리 알아챌 수 있었다. 내부 사람의 배신은 어느 회사에나 생길 수 있는 위험이고, 중요한 건 그걸 미리 가정하고 대비하는 것이다.
↳ 이건 특정 회사만 유독 나쁘다기보다, 빠르게 커진 온라인 업체들이 보안 투자를 미뤄 온 공통된 문제로도 볼 수 있다.
화가 나는 건 당연하지만, 불매가 실제로 얼마나 효과가 있느냐는 다른 얘기다. 로켓배송 같은 편리함에 익숙해져서 다른 데로 갈아타기 어렵고, 실제로 떠났던 사람 상당수가 시간이 지나 다시 돌아오는 흐름이 보인다. 경쟁사가 조금 이득을 봤지만 쿠팡의 1등 자리는 그대로다.
↳ 그렇지만 '어차피 돌아온다'고 단정하면 소비자가 감시할 힘을 스스로 깎는 셈이고, 불매의 진짜 효과는 당장의 매출보다 정부와 여론을 움직여 압박을 만든 데 있다는 반론도 있다.
이번 일에서 '외부 해커의 대단한 공격이 아니라, 회사가 기본 관리를 못 해서 벌어진 사고'라는 점에는 대체로 의견이 모인다. 갈리는 건 그다음이다 — 역대급 벌금과 5만 원 쿠폰이 벌과 보상으로 적당한지, 불매운동이 실제로 무언가를 바꿨는지에 대해 소비자·기업·정부·보안 전문가의 생각이 다르다. 다만 분명한 건, 벌을 얼마나 세게 줄지 다투는 것을 넘어, 많은 개인정보를 가진 큰 서비스가 그만큼 보안에 제대로 투자하고 이용자가 '쉽게 알고·쉽게 탈퇴하고·제대로 보상받을' 권리를 보장받도록 규칙을 만드는 일이다. 이 사건이 쿠팡 한 곳의 위기로 끝날지, 온라인 서비스 전체의 개인정보 관리를 바꾸는 계기가 될지는 앞으로의 대응에 달렸다.