2025년 11월 말, 국내 최대 이커머스 플랫폼 쿠팡이 약 3,370만 고객 계정의 개인정보가 무단 열람됐다고 공식 인정했다. 한국 이커머스 역사상 최대 규모의 개인정보 유출 사건이다. 왜 발생했는지, 무엇이 유출됐는지, 그리고 지금 당장 해야 할 것이 무엇인지를 정리한다.

사건 경위

쿠팡은 2025년 11월 18일 비인가 접근을 처음 확인했다고 발표했다. 이후 조사에서 실제 유출 시점은 2025년 6월 24일경부터 시작됐을 가능성이 높다고 밝혔다. 즉, 내부에서 5개월 가까이 이상 접근이 반복됐는데도 탐지가 늦어진 것이다.

단순한 외부 해킹이 아니라 내부 데이터 접근 통제와 보안 감시 체계의 허점이 복합적으로 작용한 사건이라는 분석이 나온다. 고객 정보를 내부에서 언제든 열람할 수 있었던 구조적 취약점이 핵심 문제라는 것이다.

무엇이 유출됐나

쿠팡이 공식 인정한 유출 항목은 다음과 같다.

• 이름
• 이메일 주소
• 전화번호
• 배송지 주소
• 일부 고객의 최근 주문 내역

비밀번호와 금융 정보(카드번호, 계좌번호 등)는 유출되지 않았다고 밝혔다. 그러나 이름·전화번호·주소 조합만으로도 스미싱, 보이스피싱, 배송 사기 등 2차 피해에 충분히 활용될 수 있다.

개인정보 유출, 왜 이렇게 자주 발생하나

대형 플랫폼의 개인정보 유출은 쿠팡만의 문제가 아니다. 사용자 데이터를 대규모로 처리하는 플랫폼이라면 어디든 잠재적 위험이 있다. 문제는 보안 투자 대비 데이터 가치가 커지면서 내부자 유출, 외부 공격 모두 증가하고 있다는 점이다. 특히 내부 접근 권한 관리가 허술하면 외부 해킹보다 탐지가 더 어렵다.

지금 당장 해야 할 것

1. 쿠팡 비밀번호 즉시 변경 — 비밀번호가 유출되지 않았더라도, 예방 차원에서 변경하는 것이 낫다. 특히 같은 비밀번호를 여러 사이트에 쓴다면 전부 바꾸자.
2. 스미싱·보이스피싱 주의 — 유출된 이름·전화번호를 이용해 “쿠팡 택배 배송 알림”, “환불 처리 안내” 등을 사칭하는 문자가 올 수 있다. 출처 불명 링크는 클릭하지 말자.
3. 금융 계좌 이상거래 모니터링 — 직접적인 금융정보 유출은 없다고 하지만, 2차 피해 가능성에 대비해 카드사·은행 이상거래 알림을 켜두자.
4. 개인정보 침해 신고 — 피해가 실제로 발생했다면 개인정보보호위원회(privacy.go.kr) 또는 한국인터넷진흥원(KISA)에 신고할 수 있다.

쿠팡의 책임과 앞으로

개인정보보호법상 기업은 정보 유출 사실을 인지한 즉시 이용자에게 통지하고, 관계 당국에 신고해야 한다. 5개월간 탐지 못한 점에서 쿠팡은 상당한 법적 책임을 피하기 어려울 것으로 보인다. 과징금, 집단소송 가능성도 거론된다.

이번 사건은 단순히 쿠팡 이용자만의 문제가 아니다. 내 개인정보가 어느 플랫폼에 얼마나 저장돼 있는지를 한 번쯤 점검해볼 계기로 삼는 게 좋겠다.