#개인정보 유출

• 과징금 6200억 및 고객 보상금 여파… 상장 이후 최대 분기 손실 기록
• 외형 성장은 지속… 2분기 매출 13조 원 돌파·활성 고객 2,470만 명 달성

국내 최대 이커머스 기업 쿠팡이 정보유출 사태의 후폭풍으로 올해 상반기에만 1조 2,000억 원이 넘는 대규모 적자를 기록했다. 이는 지난 2021년 미국 뉴욕증시 상장 이후 사상 최대 손실 규모다.

쿠팡Inc가 미국 증권거래위원회(SEC)에 제출한 실적 보고서에 따르면 2026년 2분기 영업손실은 5억 5,600만 달러(약 8,350억 원), 당기순손실은 8,560억 원을 기록했다. 1분기 고객 보상안 집행에 이어 2분기 개인정보보호위원회가 부과한 6,246억 원의 과징금이 반영된 결과다.

이로써 쿠팡의 올해 상반기 누적 영업손실은 1조 1,895억 원, 당기순손실은 1조 2,457억 원으로 집계됐다. 단 반년 만에 기록한 이번 영업손실은 지난 2024년부터 2025년까지 2년간 거둬들인 합산 영업이익(1조 2,813억 원) 전체와 맞먹는 수치다.

대규모 적자 악재 속에서도 외형 성장세는 유지됐다. 2분기 매출은 전년 동기 대비 4% 증가한 13조 3,007억 원을 기록했으며, 분기 내 1회 이상 구매한 활성 고객 수도 2,470만 명으로 전년 동기 대비 3% 늘었다. 대만 로켓배송과 파페치, 쿠팡이츠 등 신사업 부문 매출 역시 2조 1,492억 원으로 20% 늘어나는 등 핵심 사업의 이용자 기반은 단단함을 유지했다.

한편 쿠팡Inc는 주가 방어와 자본 효율화를 위해 2분기 중 4억 5,900만 달러 규모의 자사주(클래스A 보통주 2,320만 주)를 매입하는 등 적극적인 주주환원 정책을 병행하고 있다.

• 분쟁조정위, 현금·쿠팡캐시 배상 결정… 개인정보 유출 첫 책임 인정
• 3천700만명 전원 보상시 3.7조원 규모… 쿠팡, 15일 내 수락 여부 결정

대규모 고객 개인정보 유출 파문을 일으킨 쿠팡에 대해 정부 기관이 피해 고객 1인당 10만 원을 배상하라는 결정을 내렸다. 3,700만 건이 넘는 대규모 유출 사태에 대해 쿠팡의 손해배상 책임을 명확히 인정한 첫 공식 기관 판단으로, 전체 피해자로 보상이 확대될 경우 전체 배상 규모는 약 3조 7,000억 원에 달할 전망이다.

한국소비자원 소비자분쟁조정위원회는 쿠팡의 고객 개인정보 유출 사고와 관련해 피해 소비자 50명이 신청한 집단분쟁조정 사건을 심의한 결과, 쿠팡의 정신적 손해배상 책임을 인정해 1인당 10만 원의 위자료를 현금 또는 쿠팡캐시로 지급하라고 결정했다고 31일 발표했다. 이번 결정은 회원의 성명, 이메일, 주소 등 기초 정보는 물론 공동현관 비밀번호와 구매 내역 등 민감한 사생활 정보까지 유출된 점이 핵심 근거가 됐다.

조정위원회는 해커가 장기간 정보를 탈취해 일부 고객에게 직접 메일을 발송하는 등 유출 정보의 실제 악용 위험성이 매우 높았다고 판단했다. 추가 유출 가능성이 없다는 쿠팡 측 주장 역시 객관적으로 단정하기 어렵다고 보았다. 배상액 산정에는 법원의 기존 개인정보 유출 손해배상 판례 기준인 10만 원을 바탕으로, 유출 정보의 민감도와 쿠팡 측이 기존 자체 보상안의 활용 실태 자료를 제출하지 않은 점 등이 종합 고려됐다.

당사자인 쿠팡은 조정 결정서를 송달받은 날부터 15일 이내에 조정안 수락 여부를 위원회에 문서로 통보해야 한다. 기한 내에 별도의 의사표시를 하지 않을 경우 조정을 수락한 것으로 간주되며, 양측이 이를 수락하면 확정판결과 동일한 재판상 화해의 효력이 발생한다. 조정위원회는 쿠팡이 수락할 경우 신청에 참여하지 않은 전체 피해자에게도 동일한 보상이 적용되도록 보상계획서 제출 등 후속 절차를 진행할 계획이다.

이번 결정에 앞서 개인정보보호위원회는 지난 6월 쿠팡의 법적 근거 없는 정보 수집 및 관리 소홀 책임을 물어 국내 법 위반 사례 중 역대 최대 규모인 6,246억 8,100만 원의 과징금과 1,680만 원의 과태료를 부과한 바 있다. 쿠팡은 지난 1월 피해 고객 3,370만 명을 대상으로 1인당 5만 원 상당의 구매이용권을 지급한 바 있으나, 이번 조정안 수락 여부에 대해서는 공식 결정서를 전달받은 후 면밀히 검토하겠다는 신중한 입장을 밝혔다.

1/6. 무슨 일이 있었나?

티빙 개인정보 유출 사고의 피해 범위가 티빙 자체 가입자에 그치지 않고 KT·네이버·카카오 등 제휴 채널을 통해 가입한 이용자에게까지 확산된 것으로 14일 확인됐다. 국회 과학기술정보방송통신위원회 소속 더불어민주당 이정헌 의원실은 이날 과학기술정보통신부와 개인정보보호위원회로부터 제출받은 자료를 근거로 이 같은 사실을 공개했다. 자료에 따르면 티빙과 제휴를 맺은 플랫폼과 통신사를 거쳐 가입하거나 서비스를 이용한 고객들도 이번 유출 피해에 포함된 것으로 파악됐다.

2/6. 네이버·카카오 간편로그인 이용자는 어떻게 됐나?

네이버와 카카오의 간편로그인을 이용해 티빙에 연동 가입한 회원들의 개인정보 유출도 확인됐다. 간편로그인으로 계정을 연동하는 과정에서 이용자의 이름, 이메일, 휴대전화번호 등 본인인증 정보가 티빙 서버에 전송·저장돼 있었고, 이번 해킹으로 SNS 계정 정보와 함께 유출된 것으로 나타났다. 다만 업계 관계자는 간편로그인 연동 시 넘어가는 정보 수준이 티빙 회원가입 시 필수로 입력하는 정보와 동일해, 간편로그인을 이용했다는 사실만으로 추가 정보가 더 유출된 것은 아니라고 설명했다.

3/6. KT 이용권 고객은 왜 유출 대상에 포함됐나?

KT를 통해 티빙 서비스를 이용한 고객들도 이번 사고를 피하지 못했다. KT는 올해 초 발생한 자사 개인정보 유출 사고의 보상 차원으로 고객들에게 티빙 이용권을 지급한 바 있는데, 이용권을 받은 58만6천여명 가운데 실제로 서비스를 이용한 41만6천여명의 개인정보가 이번 유출 대상에 함께 포함된 것으로 확인됐다.

4/6. 이에 대한 KT의 입장은?

KT 측은 이번 유출 사고가 CJ ENM이 운영하는 티빙 자체 데이터베이스에 대한 외부 침입으로 발생한 것으로, 자사 시스템과는 무관하다는 입장을 밝혔다. KT는 티빙의 개인정보 처리시스템을 운영하거나 접근할 권한이 없으며, 이용권을 제공하는 과정에서 고객 개인정보를 티빙 측에 넘기거나 위탁한 사실도 없다고 강조했다. 고객에게 제공한 것은 개인정보가 아닌 무작위로 발급된 이용권 코드였을 뿐이며, 제휴 서비스의 특성상 제휴사에서 발생한 보안 사고를 사전에 통제하는 데는 한계가 있었다는 설명도 덧붙였다.

5/6. 다른 제휴 채널 이용자도 위험할 수 있나?

티빙은 이들 기업 외에도 SK텔레콤, LG유플러스 등 통신사 결합상품과 SSG닷컴, 디즈니플러스 등 다양한 제휴 채널을 통해 가입한 회원들의 본인인증 정보를 보유하고 있는 것으로 알려졌다. 이 때문에 정부 민관합동조사단의 조사가 정밀해질수록 제휴 서비스를 거친 피해 고객 규모가 추가로 늘어날 가능성이 있다는 관측도 나온다.

6/6. 전체 피해 규모와 소송 현황은?

지난달 22일 기준으로 집계된 티빙 개인정보 유출 사고의 피해 규모는 1천953만명으로, 국내 개인정보 유출 사고 중 쿠팡(약 3천756만명), 싸이월드·네이트(약 3천500만명), SK텔레콤(약 2천324만명)에 이어 역대 네 번째로 큰 규모로 집계됐다. 유출 항목에는 아이디, 이름, 생년월일, 비밀번호, 환불 계좌번호는 물론 ‘온라인 주민등록번호’로 불리는 연계정보(CI)와 중복가입확인정보(DI)까지 포함돼 명의 도용 등 2차 피해 우려도 함께 제기돼 왔다. 이런 가운데 피해자들을 대리한 손해배상 청구 소송 참여 신청자는 지난달 중순 기준 7만명을 넘어섰으며, 소송을 대리하는 법무법인은 향후 참여 인원이 최대 10만명 수준까지 늘어날 것으로 내다보고 있다.

쿠팡 개인정보 유출 사태와 관련한 집단분쟁조정 신청 규모가 14만6천여 명에 달하며 국내 역대 최대 기록을 세웠다.

개인정보분쟁조정위원회(이하 분쟁조정위)는 29일 이번 집단분쟁조정 추가 신청 기간에 14만3천 명이 참가를 신청했다고 밝혔다.

기존 집단분쟁조정 사건 2건의 신청인 1천676명, 개인분쟁조정 신청인 977명을 합산하면 전체 신청 규모는 14만6천여 명에 이른다. 이는 분쟁조정위가 그간 접수한 사건 가운데 가장 큰 규모다.

이번 신청 급증의 직접적 계기는 개인정보보호위원회(이하 개인정보위)의 쿠팡 제재 절차 마무리다. 개인정보위는 지난 10일 쿠팡이 3천756만 명의 개인정보를 유출하고, 타사 웹·앱 접속 회원 약 1천117만 명의 온라인 활동 기록을 법적 근거 없이 수집한 행위에 대해 6천246억8천100만 원의 과징금 부과를 의결했다.

분쟁조정위는 이 의결을 계기로 지난 12일 집단분쟁조정 절차를 재개하고, 같은 달 26일까지 15일간 추가 참가 신청을 받았다.

이번 신청 규모는 직전 대형 개인정보 유출 사건과 비교하면 그 차이가 뚜렷하다. 2천324만 명의 유심(USIM) 정보가 유출된 SK텔레콤(SKT) 사고 당시에는 집단분쟁조정 3건(3천267명)과 개인분쟁조정(731명)을 합쳐 총 3천998명이 신청에 그쳤다. 쿠팡 사건의 신청 규모는 SK텔레콤 사고 당시의 36배를 웃도는 수치다.

분쟁조정위는 이번 집단분쟁조정 사건과 개인분쟁조정 신청 사건을 병합 처리할 방침이다. 추가 신청인의 자격 여부를 확인한 뒤 인정 여부를 통지하고, 접수 마감일로부터 60일 이내에 조정안을 마련해 당사자들에게 통지할 예정이다.

조정안은 당사자 모두가 수락해야 효력이 발생하며, 성립될 경우 재판상 화해와 동일한 법적 효력을 갖는다. 다만 어느 한 쪽이라도 수락을 거부하면 조정은 성립되지 않으며, 이 경우 신청인들은 민사소송을 통해 권리 구제를 추진할 수 있다.

개인정보보호위원회(이하 개인정보위)가 3,750여만 명의 개인정보를 유출하고 1,000만 명이 넘는 회원의 온라인 활동기록을 무단 수집한 쿠팡에 역대 최대 규모인 총 6,246억8,100만원의 과징금을 부과했다.

개인정보위는 11일 전날(10일) 정부서울청사에서 전체회의를 열어 쿠팡의 개인정보 안전조치 의무 위반 제재안을 심의·의결했다고 밝혔다. 부과된 과징금은 개인정보 유출사고에 따른 4,235억7,500만원과 온라인 활동기록 무단 수집에 따른 2,011억660만원을 합산한 수치다.

단일 개인정보 유출사고 기준 역대 최대이자, 한 기업의 복수 위반행위에 부과된 과징금 중에서도 최고 기록이다. 개인정보위는 과태료 1,680만원도 함께 처분했다.

안전관리 허술…3,750만명 정보 줄줄 샜다

개인정보위 조사 결과, 쿠팡은 인증 서명키 관리와 접근 통제 등 기본적인 안전관리 체계를 소홀히 해 약 3,750여만 명의 고객 개인정보를 유출한 것으로 결론 내려졌다. 조사 과정에서는 개인정보 유출 통지 및 파기 의무 위반, 개인정보보호책임자(CPO)의 독립성 보장 위반, 조사 방해 행위 등 추가 위반사항도 확인됐다.

개인정보위는 이에 따라 유사 사고 재발 방지를 위한 안전조치 강화, 회원이 아닌 정보주체에 대한 유출 통지, CPO의 실질적 역할 보장 등을 시정명령했다. 탈퇴 회원의 개인정보 처리체계에 대해서는 개선을 권고하고, 3개월 이내 이행 여부를 확인하기로 했다.

앞서 지난해 11월 불거진 쿠팡 개인정보 유출 사고와 관련해, 올해 2월 과학기술정보통신부 민관합동조사단은 쿠팡의 ‘내 정보 수정 페이지’ 취약점을 통해 성명·이메일·주소 등이 포함된 고객 정보 3,367만3,817건이 유출된 사실을 확인한 바 있다.

1,117만명 활동기록 무단 수집…과징금 2,011억 별도 부과

개인정보위는 쿠팡이 타사 웹·앱에 접속한 회원 약 1,117만명의 온라인 활동기록을 법적 근거 없이 수집한 위반행위도 확인했다. 수집된 정보에는 타사 웹·앱 방문 기록(URL·앱 이름 등), 접속 일시, 접속 IP 등이 포함됐으며, 이용자 개인을 식별한 상태로 데이터베이스에 저장된 것으로 파악됐다. 이에 대해 과징금 2,011억660만원이 별도 부과됐다.

또 이른바 ‘납치광고’로 불리는 부정광고를 게재한 광고 파트너를 쿠팡이 적절히 관리·감독하지 않아, 이용자 의사에 반한 서비스 이용기록이 수집된 사실도 확인됐다. 개인정보위는 쿠팡에 개인정보 처리의 투명성 제고, 맞춤형 광고에 대한 정보주체의 실질적 선택권 보장, 부정광고 방지를 위한 관리·감독 강화 등의 시정명령을 내렸다.

경찰청 기자단 블랙리스트 등재·근로자 체중 정보 소송 제출도 위반

이번 조사에서는 쿠팡 자회사인 쿠팡풀필먼트서비스(CFS)가 자사 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 명단을 수집해 취업제한 목록에 등록·관리한 행위도 개인정보 수집·이용 규정 위반으로 적시됐다.

아울러 ‘임직원 건강관리’ 목적으로 보유하던 근로자의 체중 정보를 산업재해 소송 과정에서 법원에 제출한 행위는 민감정보 처리 위반으로 판단돼, 별도 과징금 2억4,800만원이 부과됐다.

업계에서는 이번 처분이 향후 개인정보 유출 사고에 대한 정부의 주요 판단 기준이 될 것으로 보고 있다. 최근 티빙과 편의점 CU의 개인정보 유출 사고가 연이어 발생한 가운데, 이번 쿠팡 제재가 기업들의 개인정보 관리 수준을 가늠하는 사실상의 기준선으로 작용할 것이라는 전망이 나온다.

개인정보보호위원회가 10일 정부서울청사에서 전체회의를 열고 3천300만건을 넘는 개인정보가 유출된 쿠팡에 대한 제재안을 심의한다.

지난 11월 쿠팡의 개인정보 유출이 알려진 지 약 7개월 만으로, 역대 최대 규모의 과징금 부과 여부에 관심이 집중되고 있다.

과학기술정보통신부 민관합동조사단은 올해 2월 조사 결과를 발표했다. 쿠팡 ‘내 정보 수정 페이지’의 취약점을 통해 이용자 성명과 이메일 주소 등이 포함된 개인정보 3천367만건이 유출됐다고 확인했다. 범인이 들여다본 배송지 주소 등의 정보는 1억5천만건에 달하는 것으로 파악됐다.

개인정보위는 지난 4월 쿠팡에 개인정보보호법 위반 사항과 예정 처분 내용 등을 담은 사전통지서를 발송했다. 쿠팡은 의견 제출 기한 연장을 요청한 뒤 소명 의견을 제출했으나, 개인정보위의 판단에 대부분 동의하기 어렵다는 취지의 의견을 낸 것으로 알려졌다.

현행 개인정보보호법은 개인정보 유출 사고 발생 시 매출의 최대 3% 범위에서 과징금을 부과할 수 있도록 규정하고 있다.

쿠팡이 전자공시시스템에 공시한 지난해 매출 45조5천억원을 단순 적용하면 법정 최대 과징금 규모는 약 1조3천637억원 수준이다. 다만 실제 과징금은 위반 행위와 관련된 매출 범위와 감경·가중 사유 등을 반영해 결정된다.

현재까지 개인정보위가 부과한 최대 과징금은 지난해 SK텔레콤 유심 정보 유출 사고에 내린 1천348억원이다. 업계에서는 유출 규모 등을 고려할 때 쿠팡에 역대 최대 수준의 과징금이 부과될 수 있다고 전망하고 있다.

고의 또는 중대한 과실로 대규모 개인정보 유출이 발생한 경우 매출의 최대 10%까지 과징금을 부과하는 ‘징벌적 과징금’ 조항을 담은 개인정보보호법 개정안이 국회를 통과했으나, 오는 9월 시행 예정이어서 이번 사건에는 적용되지 않는다.

• 유출 사고 시 감점 최대 20점 상향 및 사후대응 미흡 페널티 신설… 1,464개 기관 정밀 점검
• 전문가 심층평가 비중 50%로 대폭 확대… 9월부터 서면·현장 검증 거쳐 결과 공식 발표

공공기관의 잇따른 개인정보 유출 사고를 막기 위해 정부가 평가 기준을 대폭 강화하고 사고 발생 시 부여하는 페널티를 두 배로 늘린다.

개인정보보호위원회(이하 개인정보위)는 지난 8일 전체회의를 열고, 전국 1,464개 공공기관을 대상으로 하는 ‘2026년 공공기관 개인정보 보호수준 평가 추진계획’을 최종 확정했다. 이번 계획은 단순한 법적 의무 이행 확인을 넘어 실질적인 사고 예방과 대응 역량을 검증하는 데 초점이 맞춰졌다.

가장 눈에 띄는 변화는 사고 발생 기관에 대한 엄중한 문책이다. 개인정보 유출 사고 발생 시 적용되는 감점 최대치를 기존 10점에서 20점으로 대폭 상향했으며, 사고 발생 이후 사후 조치가 미흡하다고 판단될 경우 최대 5점의 추가 감점을 부여하는 조항을 신설했다. 이는 사고 예방뿐만 아니라 사고 발생 직후의 신속한 대처까지 기관의 책임 범위를 넓히겠다는 의지로 풀이된다.

내부 직원에 의한 고의적 유출이나 관리 소홀을 차단하기 위한 예방 지표도 강화된다. 개인정보위는 올해의 핵심 테마로 ‘내부자 보안’을 선정하고, 모의 해킹과 취약점 점검 실적을 정성적으로 평가하는 ‘사고 예방 및 대응 노력’ 지표를 새롭게 도입했다. 특히 기관장의 보호 노력을 평가하는 배점을 높여 조직 차원의 선제적 보안 체계 마련을 강력히 독려할 방침이다.

평가의 변별력을 확보하기 위한 등급 체계 정비와 사후 관리도 엄격해진다. 자체평가를 수행하는 소속기관과 교육지원청에 대해 3등급(보통·일부 미흡·미흡) 체계를 적용하고, 최하위 등급인 ‘미흡’을 받은 기관의 명단을 대중에 공개하기로 했다. 성적이 저조한 기관은 보완 조치서 제출이 의무화되며, 전문가가 직접 참여하는 심층평가 비중이 전체의 절반인 50%까지 확대되어 형식적인 평가를 방지한다.

이번 평가는 중앙행정기관부터 지방자치단체, 공공기관, 시도교육청 등 총 1,464개 기관을 대상으로 진행된다. 올해 9월부터 본격적인 서면 평가와 현장 검증에 착수하며, 전문가 평가단의 최종 검증을 거쳐 2027년 4월 결과가 공식 발표될 예정이다. 결과에 따라 우수 기관에는 포상을 실시하는 한편, 미흡 기관에는 개선 권고와 이행 점검, 그리고 1대1 맞춤형 컨설팅을 통해 실질적인 보안 수준 향상을 지원할 계획이다.