쿠팡의 2025년 유출 사고: 전 직원이 데이터 키로 3,370만 계정 노출

2025년 12월, 한국 최대 전자상거래 기업 쿠팡은 전 직원이 내부 데이터 키를 훔쳐 3,370만 고객 계정의 개인정보에 접근했다고 공시했습니다. 이는 한국 성인 인구 거의 전원에 해당합니다. 이 유출은 2025년 6월부터 탐지되기 전까지 계속되었으며, 실제로 데이터가 추출된 계정은 2,600~3,000개였습니다.

대응은 신속하고 강력했습니다. 한국 개인정보보호위원회는 쿠팡에 사상 최대인 5,600억 원(약 4억 900만 달러)의 과징금을 부과했으며, 이는 한국 역사상 최대 데이터 보호 제재였습니다. 정부는 경찰의 서울 본사 압수수색, 특별 세무조사, 경영진에 대한 국회 소환을 포함한 범정부 합동 조사를 시작했습니다. 쿠팡은 고객 보상 기금으로 1조 6,900억 원(약 11억 8,000만 달러)을 투입하기로 했습니다.

박대준 CEO는 2025년 12월 사임했습니다. 쿠팡이 한국 성인 거의 전원의 데이터를 보유하고 있었기 때문에 이 사건은 국가적 스캔들이 되었습니다. 전자상거래에서의 쿠팡의 지배력이 회사를 국가 개인정보 보안의 단일 실패점으로 만들었기 때문입니다. 이 유출은 또한 미국 관리들이 미국 상장 한국 기업에 대한 징벌적 처우로 보는 것에 대해 경고하면서 외교적 마찰을 일으켰습니다.

쿠팡의 회수되지 않은 키로 전 직원이 3,370만 계정에 접근할 수 있었고, 이로 인해 한국 최대 규모인 4억 900만 달러의 과징금과 11억 8,000만 달러의 보상이 발생했습니다.

전 직원이 회사를 떠난 후에도 내부 데이터 키에 대한 접근 권한을 보유하거나 재생성했습니다. 접근 통제 시스템이 퇴사 시 자격 증명을 회수하지 못했습니다.

쿠팡은 인구 5,100만 명의 국가에서 3,370만 명의 개인정보를 보유하고 있었습니다. 쿠팡의 지배력은 단 한 번의 유출로 성인 인구 거의 전원이 노출되었음을 의미했습니다.

이 유출은 탐지되기 전까지 2025년 6월부터 11월까지 진행되어, 회사의 내부 데이터 접근에 대한 모니터링과 이상 탐지가 취약했음을 드러냈습니다.

경찰 압수수색, 국회 소환, 외교적 긴장 등 반발의 규모는 거의 독점에 가까운 기업의 데이터 유출이 한 국가를 얼마나 깊이 흔들 수 있는지를 보여주었습니다.

한 기업이 전체 인구의 데이터를 보유할 때, 자격 증명 관리는 국가 안보입니다. 회수되지 않은 단 하나의 키가 CEO, 국회, 그 너머로 연쇄적으로 영향을 미칩니다.