데일리 TOP10
1위
쿠팡 3370만명 정보 유출, 내부자 소행 의혹
뉴스보이
2025.11.30. 19:16
뉴스보이
2025.11.30. 19:16
쿠팡 3370만명 정보 유출, 전말은?
1
쿠팡에서 3370만개 고객 계정의 이름, 전화번호, 이메일, 배송지 등 개인정보가 유출됨.
2
유출 용의자는 중국 국적의 쿠팡 전 직원으로 파악되며, 해외 서버를 통해 정보가 유출된 것으로 추정됨.
3
쿠팡은 지난 6월부터 시작된 유출 사실을 5개월간 인지하지 못했으며, 초기 유출 규모도 4500여 건으로 오판함.
4
정부는 과학기술정보통신부와 개인정보보호위원회 주재로 민관합동조사단을 가동하여 원인 규명 및 피해 확산 방지에 나섬.
5
유출된 민감 정보로 인해 보이스피싱, 스미싱 등 2차 피해 우려가 커지며, 고객들은 단체 소송을 준비 중임.
쿠팡 정보 유출, 왜 반복될까?
쿠팡의 반복되는 개인정보 유출 사고는?
쿠팡의 정보보호 투자 현황은?
ISMS P 인증, 무엇이며 한계는?
국내 개인정보 보호 제도의 문제점은?
쿠팡의 반복되는 개인정보 유출 사고는?
•
쿠팡은 이번 대규모 유출 사고 이전에도 여러 차례 개인정보 노출 및 유출 사고를 겪었습니다. 2021년에는 앱 업데이트 오류로 14명의 고객 정보가 노출되었고, 같은 해 쿠팡이츠 배달원 13만 5천여 명의 정보가 음식점에 전송되는 사고가 있었습니다. 지난해에는 판매자 전용 시스템 '윙'에서 2만 2천여 건의 주문자·수취인 정보가 다른 판매자에게 잘못 노출되기도 했습니다.
•
이러한 세 건의 사고로 쿠팡에 부과된 과징금 및 과태료는 총 16억 원 수준이었습니다. 전문가들은 이러한 '솜방망이 처벌'이 기업의 정보보호 의식을 높이는 데 한계가 있었다고 지적하며, 사고 재발의 원인 중 하나로 보고 있습니다.
쿠팡의 정보보호 투자 현황은?
•
쿠팡은 지난해 연매출 41조 원을 돌파하며 가파르게 성장했지만, 정보보호 예산 투자는 그에 미치지 못했다는 지적이 있습니다. 한국인터넷진흥원(KISA)에 따르면 쿠팡이 올해 정보보호 목적으로 투자한 금액은 약 890억 원으로, IT 투자 총액 대비 4.6%에 불과합니다. 이는 2022년 7.1%, 2023년 6.9%, 지난해 5.6%에 비해 계속 줄어든 수치입니다.
•
지난해 쿠팡의 매출 대비 정보보호 부문 투자액은 0.2%로, 카카오·SK텔레콤(약 0.7%), 네이버·KT(0.4%) 등 다른 주요 국내 기업보다 낮은 수준입니다. 정보보호 전문가들은 정보 보안 분야는 사고가 터졌을 때 반짝 투자에 그쳐서는 안 되며, 꾸준한 예산 집행이 필요하다고 강조하고 있습니다.
ISMS P 인증, 무엇이며 한계는?
•
쿠팡은 2021년과 2024년 두 차례에 걸쳐 국가 인증 제도인 'ISMS P(정보 보호 및 개인정보 보호 관리 체계)'를 통과한 기업입니다. 이 인증은 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 국내 유일의 정보 보호 및 개인정보 보호 관리 체계 인증 제도로, 조직 관리, 기술적 보호 조치 등 101개 항목을 충족해야 합니다. ISMS P(정보 보호 및 개인정보 보호 관리 체계)'는 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 국내 유일의 정보 보호 및 개인정보 보호 관리 체계 인증 제도입니다.
•
그러나 ISMS P 인증 취득에도 불구하고 쿠팡에서만 인증 이후 4번의 개인정보 유출 사고가 발생했습니다. 개인정보위가 장관급 기구로 격상된 2020년 이후 인증을 받은 27개 기업에서 총 34건의 유출 사고가 발생하여, 인증 제도가 사고 예방보다는 '서류 기반 적합성 심사'에 치우쳐 있다는 비판이 제기되고 있습니다.
국내 개인정보 보호 제도의 문제점은?
•
한국의 개인정보 보호 체계는 예방보다는 '사고 후 조사·제재' 중심이라는 구조적 한계를 드러내고 있습니다. 2011년 네이트·싸이월드 3500만 명, 2014년 카드 3사 1억 건 등 대규모 유출 사고가 반복되어 왔습니다. 사후 관리 측면에서도 주요 선진국과 비교해 제재 수위가 낮아 기업의 예방 유인이 상대적으로 떨어진다는 의견이 많습니다.
•
미국은 FTC의 강력한 집행력으로 페이스북에 50억 달러 과징금을 부과하는 등 민사 소송 위험이 커 기업들이 내부 접근 권한을 엄격히 적용합니다. 유럽연합(EU)의 GDPR은 글로벌 매출의 최대 4%까지 과징금을 부과하며, 일본은 내부자 통제를 엄격히 하고 해외 이전 시 '옵트인' 원칙을 적용하는 등 국내보다 강력한 규제와 예방 조치를 시행하고 있습니다.
쿠팡의 반복되는 개인정보 유출 사고는?
•
쿠팡은 이번 대규모 유출 사고 이전에도 여러 차례 개인정보 노출 및 유출 사고를 겪었습니다. 2021년에는 앱 업데이트 오류로 14명의 고객 정보가 노출되었고, 같은 해 쿠팡이츠 배달원 13만 5천여 명의 정보가 음식점에 전송되는 사고가 있었습니다. 지난해에는 판매자 전용 시스템 '윙'에서 2만 2천여 건의 주문자·수취인 정보가 다른 판매자에게 잘못 노출되기도 했습니다.
•
이러한 세 건의 사고로 쿠팡에 부과된 과징금 및 과태료는 총 16억 원 수준이었습니다. 전문가들은 이러한 '솜방망이 처벌'이 기업의 정보보호 의식을 높이는 데 한계가 있었다고 지적하며, 사고 재발의 원인 중 하나로 보고 있습니다.
쿠팡의 정보보호 투자 현황은?
•
쿠팡은 지난해 연매출 41조 원을 돌파하며 가파르게 성장했지만, 정보보호 예산 투자는 그에 미치지 못했다는 지적이 있습니다. 한국인터넷진흥원(KISA)에 따르면 쿠팡이 올해 정보보호 목적으로 투자한 금액은 약 890억 원으로, IT 투자 총액 대비 4.6%에 불과합니다. 이는 2022년 7.1%, 2023년 6.9%, 지난해 5.6%에 비해 계속 줄어든 수치입니다.
•
지난해 쿠팡의 매출 대비 정보보호 부문 투자액은 0.2%로, 카카오·SK텔레콤(약 0.7%), 네이버·KT(0.4%) 등 다른 주요 국내 기업보다 낮은 수준입니다. 정보보호 전문가들은 정보 보안 분야는 사고가 터졌을 때 반짝 투자에 그쳐서는 안 되며, 꾸준한 예산 집행이 필요하다고 강조하고 있습니다.
ISMS P 인증, 무엇이며 한계는?
•
쿠팡은 2021년과 2024년 두 차례에 걸쳐 국가 인증 제도인 'ISMS P(정보 보호 및 개인정보 보호 관리 체계)'를 통과한 기업입니다. 이 인증은 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 국내 유일의 정보 보호 및 개인정보 보호 관리 체계 인증 제도로, 조직 관리, 기술적 보호 조치 등 101개 항목을 충족해야 합니다. ISMS P(정보 보호 및 개인정보 보호 관리 체계)'는 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 국내 유일의 정보 보호 및 개인정보 보호 관리 체계 인증 제도입니다.
•
그러나 ISMS P 인증 취득에도 불구하고 쿠팡에서만 인증 이후 4번의 개인정보 유출 사고가 발생했습니다. 개인정보위가 장관급 기구로 격상된 2020년 이후 인증을 받은 27개 기업에서 총 34건의 유출 사고가 발생하여, 인증 제도가 사고 예방보다는 '서류 기반 적합성 심사'에 치우쳐 있다는 비판이 제기되고 있습니다.
국내 개인정보 보호 제도의 문제점은?
•
한국의 개인정보 보호 체계는 예방보다는 '사고 후 조사·제재' 중심이라는 구조적 한계를 드러내고 있습니다. 2011년 네이트·싸이월드 3500만 명, 2014년 카드 3사 1억 건 등 대규모 유출 사고가 반복되어 왔습니다. 사후 관리 측면에서도 주요 선진국과 비교해 제재 수위가 낮아 기업의 예방 유인이 상대적으로 떨어진다는 의견이 많습니다.
•
미국은 FTC의 강력한 집행력으로 페이스북에 50억 달러 과징금을 부과하는 등 민사 소송 위험이 커 기업들이 내부 접근 권한을 엄격히 적용합니다. 유럽연합(EU)의 GDPR은 글로벌 매출의 최대 4%까지 과징금을 부과하며, 일본은 내부자 통제를 엄격히 하고 해외 이전 시 '옵트인' 원칙을 적용하는 등 국내보다 강력한 규제와 예방 조치를 시행하고 있습니다.
#쿠팡
#개인정보
#정보 유출
#과학기술정보통신부
