쿠팡, 한국 역대 최대 데이터 유출 벌금 4억1000만 달러 부과

한국 개인정보보호위원회가 3760만 명의 사용자 데이터 유출과 관련해 쿠팡에 4억1000만 달러의 역대 최대 벌금을 부과했다. 이는 국내에서 가장 큰 규모의 기업 개인정보 보호 제재다.

한국 개인정보보호위원회(PIPC)는 목요일 쿠팡에 대해 6246억8000만 원(약 4억100만 달러)의 벌금을 부과했다. 이는 3760만 명의 사용자 데이터가 유출된 사건과 관련된 것으로, 한국 역사상 가장 큰 규모의 기업 개인정보 보호 과태료다.

PIPC 송경희 위원장은 브리핑에서 "이번 사고는 정교한 해킹 기술이 아닌 쿠팡의 부실한 기본 보안 관리 시스템과 태만으로 인해 발생했다"고 밝혔다.

로이터 통신 계산에 따르면, 이 벌금은 쿠팡의 2025년 매출 45조 원의 1.4%에 해당한다. 전직 중국인 소프트웨어 개발자가 퇴사 후에도 인증키를 보유하고 있었고, 이로 인해 쿠팡이 2025년 11월 침해 사실을 감지할 때까지 약 1년간 무단 접근이 가능했다. 유출된 데이터는 이름, 전화번호, 주거용 건물 출입문 비밀번호 등이었으며, 신용카드나 정부 신원 확인 데이터는 포함되지 않았다고 쿠팡은 밝혔다. 또한 규제 당국은 쿠팡이 마케팅 프로그램을 통해 약 1100만 명의 고객 동의 없이 온라인 활동 데이터를 불법 수집한 사실도 적발했다.

이번 제재는 시애틀에 본사를 둔 이 e-커머스 거대 기업에 규제 압박을 가중시키는 결과다. 쿠팡은 한국 물류 시장의 약 40%를 장악하고 있으며, 이번 조치는 워싱턴과 서울 간 무역 협상이 계속되는 가운데 나왔다. 쿠팡은 이번 결정에 대해 유감을 표하며 "법적 절차를 통해 사실이 명확히 밝혀질 것"이라고 기대해 항소 가능성을 시사했다.

발표 이후 쿠팡의 주가는 뉴욕 증권거래소에서 4.97% 하락하며 재정적, 평판적 충격에 대한 투자자 우려를 반영했다. 델라웨어주에 설립되었지만 매출의 대부분을 한국에서 올리고 있는 쿠팡은 이전에 데이터 보호 시스템을 강화하겠다고 밝힌 바 있다.

PIPC는 쿠팡이 한국 법률이 요구하는 72시간 이내에 침해 사실을 감지하지 못했다고 지적했다. 송 위원장은 쿠팡의 보안 시스템으로 인해 용의자가 퇴사한 후에도 모든 고객의 개인정보에 해커가 쉽게 접근할 수 있었으며, 쿠팡은 고객 문의를 통해서야 비정상적인 데이터 트래픽을 인지하게 되었다고 밝혔다.

이번 조사는 한국 당국이 미국 상장 기업을 과도하게 규제한 것 아니냐는 우려로 미국 무역 당국의 관심을 받아왔다. 한국은 이번 조사가 무역이나 안보 문제가 아니며 진행 중인 양자 협상과는 별도로 처리되어야 한다는 입장을 유지하고 있다.

이번 벌금은 SK텔레콤과 KT 등 한국 기업에 부과된 이전 데이터 유출 제재를 크게 웃도는 수준으로, PIPC의 단속이 크게 강화되었음을 의미한다. 가장 최근의 유사 제재인 2023년 SK텔레콤에 부과된 75억 원(1900만 명 사용자 데이터 유출 관련)의 벌금은 현재 금액의 2%에도 미치지 못해 규제 당국의 강경한 입장을 여실히 보여준다.

본 문서는 정보 제공 목적으로만 작성되었으며 투자 조언을 구성하지 않습니다.