01 · Correction
먼저 바로잡습니다
이 페이지의 종전 본문은 사건 규모를 ‘3,370만 명’으로 단정하고, 전직 직원의 국적과 구체적인 반출 경로·도피 상태를 확인된 사실처럼 서술했습니다. 또한 결제내역 유출, 2차 범죄 급증, 집단소송 규모 등 공개된 핵심 원문으로 확인하지 못한 내용을 포함했습니다.
이번 재검수에서는 해당 표현과 가상 인용문을 제거했습니다. 개인정보보호위원회의 2026년 6월 의결과 쿠팡의 2025 회계연도 SEC 공시에서 직접 확인되는 범위만 사실로 제시합니다.
정정 원칙
회사 공시는 회사의 조사 결과와 입장이고, 개인정보위 의결은 규제기관의 행정 판단이다. 둘의 숫자와 법적 성격을 합치지 않는다.
02 · Verified Record
확인된 사실: 대규모 비인가 접근과 안전조치 미흡
개인정보위는 2026년 6월 쿠팡의 인증 서명키 관리와 접근통제 등 기본적인 안전관리 체계가 미흡해 약 3,755만 명의 개인정보가 유출됐다고 판단했다. 유출 통지·파기 의무, 개인정보 보호책임자의 독립성 보장, 조사 대응과 관련한 위반도 적시하고 시정명령과 개선 권고를 의결했다.
쿠팡은 SEC에 제출한 2025 회계연도 Form 10-K에서 2025년 11월 18일 전직 직원의 고객 계정 비인가 접근 사건을 인지했다고 공시했다. 회사 설명에 따르면 약 3,300만 고객 계정과 연결된 이름·전화번호·배송지·이메일 주소, 일부 계정의 주문 이력이 접근 범위에 포함됐다.
따라서 사건 자체와 대규모 접근 범위는 양쪽 기록에서 확인된다. 다만 규제기관과 회사가 사용한 모집단과 단위가 다르므로 숫자만 단순 비교해 어느 한쪽이 거짓이라고 결론 내릴 수는 없다.
03 · Number Test
세 숫자가 가리키는 범위
‘접근’, ‘유출’, ‘별도 저장’은 기술적·법적 의미가 같지 않다. 또한 ‘명’과 ‘계정’도 같은 단위가 아니다. 피해 규모를 축소하거나 과장하지 않으려면 각 숫자의 산정 주체와 정의를 함께 표시해야 한다.
04 · Party Statement
쿠팡의 공개 설명과 그 한계
쿠팡은 SEC 공시에서 결제카드 정보, 로그인 자격증명, 정부 발행 신분증 정보는 이 사건으로 취득되거나 침해되지 않았다고 밝혔다. 또 전직 직원이 사용한 것으로 파악된 기기를 넘겼고, 약 3,000개 계정에서 별도 저장된 제한적 데이터는 제3자 공유나 공개 없이 삭제됐다는 조사 결과를 제시했다.
이는 투자자에게 제출한 회사의 공식 설명으로서 중요한 반대 근거다. 그러나 회사 공시가 규제기관의 조사 결과를 자동으로 대체하지는 않는다. 개인정보위는 더 넓은 정보주체 범위와 안전조치 의무 위반을 판단했다.
이번 재검수에서 Value Vibe는 쿠팡에 별도의 직접 반론 요청을 보내지 않았다. 향후 행정 불복 결과나 추가 공시가 나오면 이 구분을 다시 검토한다.
05 · Analysis
분석: 내부자 사건일수록 조직의 통제가 핵심이다
전직 직원이 접근을 실행했다는 회사 설명이 사실이어도, 기업의 책임이 개인 행위로 사라지는 것은 아니다. 대규모 개인정보를 다루는 플랫폼은 권한 최소화, 인증키 보호, 퇴직자 권한 회수, 이상행위 탐지와 감사 기록을 설계하고 운영할 책임이 있다.
개인정보위가 지적한 인증 서명키와 접근통제 문제는 이 사건을 개인의 일탈만으로 설명하기 어렵게 한다. 반대로 공개 자료만으로 전직 직원의 국적이나 특정 국가 정부의 개입을 보안 실패의 원인으로 연결할 근거도 없다. 국가 배후를 주장하려면 지시·통신·자금·조직 연계 같은 별도 증거가 필요하다.
가장 강한 반대 근거
쿠팡은 별도 저장과 제3자 공유 범위가 전체 접근 계정 수보다 훨씬 제한적이었다고 공시했다. 이 설명은 2차 유통 범위를 평가할 때 중요하지만, 비인가 접근과 안전관리 체계 미흡 자체를 부정하는 자료는 아니다.
06 · Falsifiability
평가를 바꿀 후속 자료
다음 자료가 나오면 즉시 재검수한다
- 개인정보위 의결에 대한 행정소송·불복 절차의 판결 또는 처분 변경
- 접근·저장·외부 전송 범위를 구분하는 수사기관의 최종 발표
- 쿠팡의 후속 SEC 공시와 시정명령 이행 결과
- 현재 공개 자료와 다른 개인정보 항목 또는 제3자 공유를 입증하는 디지털 포렌식 결과
Value Vibe의 결론: 서로 다른 숫자를 경쟁시키는 것보다, 각 숫자가 무엇을 측정했는지 밝히고 대규모 접근을 허용한 통제 실패가 어떻게 시정되는지를 추적하는 편이 소비자와 시장에 더 유용하다.
Official Record · Company Filing
핵심 근거
- 개인정보보호위원회 — 쿠팡 및 계열사 개인정보 유출·침해 제재처분 의결공식 의결자료 보기약 3,755만 명, 인증 서명키·접근통제 등 안전조치 미흡과 시정명령에 대한 규제기관 판단.
- 미국 SEC — Coupang, Inc. 2025 회계연도 Form 10-K회사 공시 원문 보기약 3,300만 고객 계정 접근, 약 3,000개 계정 별도 저장, 침해 항목과 회사 조사 결과에 대한 쿠팡의 공식 설명.