한국 정부, 쿠팡 이용자 기록 3,367만 건 유출 확인…미국의 법적·외교적 압박 촉발

유출 규모

한국 과학기술정보통신부는 화요일, 국내 최대 전자상거래 플랫폼이자 나스닥 상장사인 쿠팡에서 발생한 대규모 데이터 유출로 이용자 기록 3,367만 건이 침해됐다고 확인했다. 이는 한국 인구 5,100만 명의 약 3분의 2에 해당하는 규모로, 국내 역사상 최대 규모의 소비자 데이터 유출 사건 가운데 하나이며 디지털 서비스를 활발히 이용하는 인구 상당수가 영향을 받았다.

조사 결과, 전직 직원이 인증 취약점을 악용해 수백만 이용자의 이름과 이메일 주소에 접근한 것으로 드러났다. 공격자는 초기 계정 정보 외에도 배송지 목록 페이지에 1억 4,800만 회 접속해 이름, 전화번호, 실제 주소, 심지어 익명 처리된 아파트 공동현관 비밀번호까지 노출했을 가능성이 있다. 쿠팡은 계정당 배송지를 최대 20개까지 저장할 수 있도록 허용하기 때문에, 유출된 위치 정보의 실제 규모는 기본 계정 수를 훨씬 넘어 주 계정 보유자의 가족과 지인에게까지 영향을 미쳤을 수 있다.

과기정통부 사이버보안·네트워크정책실장 최우혁은 서울에서 열린 정부 브리핑에서 조사 결과를 발표했다. 이번 확인은 쿠팡이 2025년 11월 17일 침입을 처음 탐지한 지 거의 3개월 만에 이뤄졌으며, 회사의 초기 발표보다 사태가 크게 확대됐음을 보여준다. 공식 발표가 늦어지면서 미국의 통상 압박과 한국 정부가 미국 기업을 차별한다는 미국 정치인들의 주장에 대한 우려로 발표가 미뤄진 것 아니냐는 추측이 제기됐지만, 조사팀은 해당 의혹을 단호히 부인했다.

조사팀은 법적 원칙에서 벗어난 적이 없고 어떤 기업도 차별하지 않았으며, 결과가 나오는 대로 신속하고 투명하게 공개하는 기준을 따랐다고 강조했다. 이는 규제 요건보다 외교적 고려가 사건 처리에 영향을 미쳤을 수 있다는 우려가 커지는 가운데 나온 입장이다.

공격 경로

이번 유출은 조직 내부에서 시작됐다. 조사관들은 공격자를 쿠팡에서 근무하며 이용자 인증 소프트웨어를 개발한 전직 직원으로 지목했다. 정부 분석에 따르면 이 인물은 인증 시스템의 서명 키를 탈취하고, 2025년 1월 5일부터 1월 20일 사이 예비 공격 테스트를 진행한 뒤 웹 크롤링 도구를 배포해 데이터를 체계적으로 추출했다.

공격은 2025년 4월 14일부터 11월 8일까지 이어져 범인이 거의 7개월 동안 탐지되지 않은 채 활동할 수 있었다. 전직 직원은 탈취한 서명 키를 이용해 당국이 ‘전자 출입증’이라고 설명한 것을 위조하고 표준 로그인 절차를 완전히 우회했다. 이 수법으로 퇴사 후에도 쿠팡 서비스에 계속 접근할 수 있었다.

한국인터넷진흥원 디지털위협대응본부장 이동근은 현직 쿠팡 개발자들이 내부 규정상 관리 시스템에 보관해야 하는 서명 키를 개인 노트북에 저장한 사실을 조사관들이 확인했다고 밝혔다. 이 관행이 유출을 가능하게 한 취약점을 만들었다.

공격자는 ‘내 정보 수정’ 페이지에 접근해 이름과 이메일 주소가 담긴 기록 33,673,817건을 수집했다. 배송지 목록 페이지에는 1억 4,805만 회 접속했고, 주문 목록 페이지에서도 약 10만 건의 무단 조회가 발생했다. 조사관들은 공격자가 해외 클라우드 서버로 데이터를 전송할 수 있는 시스템을 보유한 사실을 확인했으나, 실제 전송 여부는 확인하지 못했다.

정부 조사 결과

한국 당국은 쿠팡의 보안 대응을 강하게 비판했다. 최우혁 실장은 이번 사건이 정교한 외부 공격이 아니라 명백한 관리 실패라고 규정했다. 조사팀은 인증 시스템 관리와 서명 키 통제에서 중대한 미비점을 확인했다.

이는 정교한 공격이 아니라 쿠팡의 명백한 관리 실패입니다. 조사팀은 인증 시스템과 서명 키 관리에서 미비점을 확인했습니다.

조사 과정에서 여러 규정 위반도 드러났다. 쿠팡은 의무화된 24시간 이내에 유출 사실을 신고하지 않고, 11월 18일까지 해야 할 신고를 11월 19일에 했다. 더욱 심각하게는 회사가 11월 19일 내려진 증거 보존 명령을 위반한 것으로 알려졌다. 증거를 보존하라는 지시에도 쿠팡은 자동 로그 저장 정책을 조정하지 않았고, 그 결과 2024년 7월부터 11월까지의 웹 접속 로그와 2025년 5월 23일부터 6월 2일까지의 앱 접속 로그가 삭제됐다.

과기정통부는 신고 지연 위반에 대해 최대 3,000만 원의 과태료를 부과할 계획이라고 밝혔다. 당국은 증거 인멸과 관련한 업무방해 가능성을 수사해 달라고 수사기관에 요청했다. 쿠팡은 이달 말까지 재발 방지 대책을 과기정통부에 제출해야 하며, 대책은 3월부터 5월까지 시행한 뒤 6월과 7월 정부 점검을 받을 예정이다.

쿠팡의 해명과 실제 상황

조사 내내 쿠팡은 계정 3,370만 개가 기술적으로 영향을 받았지만 실제 피해는 제한적이라고 주장했다. 회사는 공격자의 진술을 근거로 범인의 하드 드라이브에 저장됐다가 삭제된 기록은 약 3,000건에 불과하다고 밝혔다. 규제 당국과 개인정보 보호 활동가들은 이를 규제상·평판상 피해를 축소하려는 시도라며 강하게 비판했다.

최우혁 실장은 브리핑에서 이 해석에 직접 반박했다. 한국의 개인정보 보호 기준에 따르면 개인정보 페이지에 무단으로 접근한 것은 데이터가 로컬에 저장됐는지 다른 곳으로 전송됐는지와 관계없이 개인정보 유출에 해당한다고 강조했다.

접근이라고 부른다고 해서 책임이 줄어드는 것은 아닙니다. 기록 3,000건이라는 수치는 회사 측 주장일 뿐이며 참고 자료에 불과합니다. 조사팀은 모든 자료를 독립적으로 확인했습니다. 외부 공격자가 얼마나 많은 데이터에 접근했고 얼마나 유출했는지 파악하기 위해 쿠팡 서버를 조사했습니다.

쿠팡 관계자는 정부 조사 결과에 대해 배송지 목록 페이지에 대한 1억 4,800만 회의 접속이 유출된 정보의 규모를 뜻하지는 않는다고 밝혔다. 대변인은 이를 서로 다른 1억 4,800만 건의 데이터 유출 증거가 아니라, 3,370만 계정에 연결된 개별 개인정보를 수집하려는 시도로 봐야 한다고 설명했다. 그러나 정부 당국자들은 접속 요청의 규모 자체가 공격자가 이용자 프로필을 광범위하게 수집할 능력이 있었음을 보여준다고 반박했다.

이 차이는 기업과 규제 당국이 데이터 유출을 정의하는 방식에 근본적인 견해 차이가 있음을 보여준다. 쿠팡은 공격자가 실제로 데이터를 저장했는지에 초점을 맞추지만, 당국은 개인정보를 무단으로 열람한 행위 자체를 유출로 본다. 특히 해외 데이터 전송용으로 설계된 시스템의 존재를 뒷받침하는 증거가 있는 경우에는 더욱 그렇다.

지정학적 파장과 미국의 법적 압박

이번 유출은 국내 사이버보안 사고를 넘어 한국과 미국 간의 주요 양자 현안으로 번졌다. 미국 상장사이자 미국 투자자들의 상당한 지분 참여를 받은 쿠팡에 대해, 한국 당국의 강경한 규제 대응이 미국 기업을 겨냥한 차별일 수 있다고 보는 미국 의원들이 주목하고 있다.

임시 최고경영자 해럴드 로저스는 여러 방면에서 법적 압박을 받고 있다. 한국 경찰은 유출 관련 증언에서 위증했다는 의혹과 관련해 로저스를 약 12시간 동안 조사했다. 동시에 미국 하원 법사위원회는 사건과 관련해 2026년 2월 23일 증언하도록 로저스에게 소환장을 발부했다. 미 의회 조사는 한국 규제 당국이 미국 상장 기업에 부당한 부담을 지우고 있는지 살펴본다.

뉴욕 연방법원에는 쿠팡의 개인정보 보호가 미흡했고 유출 범위에 대해 오해를 불러일으키는 공시를 했다며 징벌적 손해배상을 청구하는 집단소송이 제기됐다. 이 소송은 보안 실패와 회사의 후속 축소 발표로 손실을 봤다고 주장하는 투자자와 이용자를 대리한다.

서울에서 사업을 하는 일부 다국적 기업은 정부 부처 9곳과 수백 명의 공무원이 관여한 이번 대응이 국내 기업에 대한 처리와 비교해 전례가 없다고 비공개적으로 경고했다. 이들은 2,700만 건의 기록이 영향을 받은 2025년 SK텔레콤 유출 사고에는 비슷한 조사가 뒤따르지 않았다는 점을 차별적 대응의 근거로 들었다. 그러나 과기정통부는 법적 원칙에서 벗어난 일이 없다고 단호히 부인하며, 비슷한 위반을 저지른 기업이라면 어디든 쿠팡과 동일하게 처리했을 것이라고 밝혔다.

이재명 대통령은 한국을 세계 최고의 투자처로 만들겠다고 공개적으로 약속해 왔다. 이에 따라 강력한 개인정보 보호 집행을 보여주는 일과 외국 자본에 우호적인 여건을 유지하는 일 사이에 긴장이 생겼다. 쿠팡 사건은 이제 서울이 소비자 개인정보 보호와 국제 무역 관계 사이에서 어떤 균형을 잡을지 가늠하는 시험대가 됐다.

규제상 결과와 사업 위험

신고 지연에 따른 즉각적인 과태료를 넘어 쿠팡은 심각한 규제 위험에 직면해 있다. 공정거래위원회는 사업 정지 가능성을 경고했다. 사업 정지는 회사 운영을 전면 중단시키는 강력한 조치다. 공정위는 세무조사도 진행 중이며 창업자 김범과 전직 임원들을 상대로 한 국회 진정도 접수했다.

이번 유출과 별도로 2026년 2월 5일 이용자 기록 16만 5,000건이 추가로 침해된 사실이 공개됐다. 이 후속 발표로 여론의 분노가 커졌고, 회사의 초기 피해 추산이 실제 피해 규모를 축소했다는 인식도 강화됐다.

업계 분석가들은 이번 사건이 한국 소비자 플랫폼의 새로운 규정 준수 기준을 세운다고 지적한다. 구체적인 접속 횟수와 일정 분석을 포함해 공격 과정을 상세히 재구성한 것은 대량의 개인정보를 처리하는 다른 기업에도 적용할 구체적인 통제 요건을 마련하려는 정부의 의지를 보여준다.

쿠팡 이용자에게 유출된 정보는 현실적인 안전 위험을 초래한다. 배송지 주소, 전화번호, 건물 공동현관 비밀번호가 노출되면 스토킹과 표적 사기, 물리적 보안 위협에 노출될 수 있다. 금융기관이 카드 취소와 모니터링으로 피해를 줄일 수 있는 결제 카드 유출과 달리, 주소와 연락처 정보는 민감한 상태가 계속 유지된다. 이용자 계정에 저장된 가족이나 친구의 주소 등 제3자의 정보까지 포함돼 직접적인 쿠팡 고객을 넘어 피해 범위가 확대된다.

핵심 내용

• 쿠팡 이용자 계정 3,367만 개의 정보 유출이 확인됐으며, 한국 인구의 약 3분의 2가 영향을 받았다
• 전직 직원이 인증 서명 키를 탈취해 2025년 4월부터 11월까지 무단으로 시스템에 접근했다
• 공격자는 배송지 목록 페이지에 1억 4,800만 회 접속해 주소, 전화번호, 건물 공동현관 비밀번호를 노출했을 가능성이 있다
• 과학기술정보통신부는 이번 사건을 명백한 관리 실패로 규정하고 신고 지연과 증거 인멸을 이유로 쿠팡에 책임을 물었다
• 임시 최고경영자 해럴드 로저스는 한국 경찰 조사를 받았으며, 2026년 2월 23일 미국 의회 소환에도 직면해 있다
• 미국 뉴욕 연방법원에는 징벌적 손해배상을 청구하는 집단소송이 제기됐다
• 공정거래위원회는 사업 정지 가능성을 경고하고 세무조사를 진행하고 있다
• 주요 유출 사건과 별개로 2026년 2월 5일 기록 16만 5,000건의 추가 유출이 공개됐다
• 쿠팡은 이달 말까지 재발 방지 대책을 제출해야 하며, 정부 점검은 6월과 7월로 예정돼 있다