쿠팡 개인정보 유출사고

쿠팡 개인정보 유출사고(Coupang personal data breach)는 전자상거래 플랫폼 쿠팡에서 발생한 개인정보 유출·침해 사건들을 가리키며, 좁게는 2025년 11월 드러난 약 3,755만 명 규모의 대규모 고객 개인정보 유출 사건을 말한다.

개요

쿠팡 개인정보 유출사고는 쿠팡의 고객·배달원·판매자 시스템 이용자 정보가 권한 없는 자에게 노출되거나 유출된 사건들을 포괄한다. 특히 2025년 11월 공개된 대규모 고객정보 유출 사건은 전직 쿠팡 직원이 재직 당시 관리하던 인증 서명키와 내부 정보를 이용해 정상 로그인 절차 없이 쿠팡 이용자 계정에 접근한 사건으로 조사되었다.

개인정보보호위원회는 2026년 6월 쿠팡의 인증 서명키 관리 및 접근통제 소홀 등 기본적인 안전관리 체계 미흡으로 약 3,755만 명의 개인정보가 유출되었다고 결론 내렸다. 이에 따라 쿠팡에는 과징금 6,246억 8,100만 원과 과태료 1,680만 원, 쿠팡풀필먼트서비스(CFS)에는 별도 과징금 2억 4,800만 원이 부과되었다.

2026년 6월 15일 기준 이 사건은 행정제재가 내려진 뒤에도 집단분쟁조정, 국내 다수 원고 손해배상소송, 미국 연방 집단소송, 형사수사 및 향후 행정소송 가능성이 병행되는 진행 중인 사건이다.

주요 사건

시기	사건	규모 및 내용	처분·조치
2021년	쿠팡이츠 배달원 개인정보 유출	쿠팡이츠 배달원의 실명과 휴대전화번호가 음식점 및 주문정보 통합관리시스템을 통해 노출되었다.	2024년 11월 개인정보위가 쿠팡에 과징금 2억 7,865만 원과 과태료 1,080만 원을 부과했다.
2023년	쿠팡 판매자시스템 주문정보 유출	판매자 전용시스템 Wing의 로그인 인증 문제로 22,440명의 주문자 및 수취인 개인정보가 다른 판매자에게도 노출되었다.	2024년 11월 개인정보위가 쿠팡에 과징금 13억 1,000만 원을 부과했다.
2025년	대규모 고객 개인정보 유출	전직 직원이 인증 취약점과 서명키를 악용해 고객 계정에 접근했다. 개인정보위는 약 3,755만 명의 개인정보 유출로 판단했다.	2026년 6월 개인정보위가 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과했다.

2025년 대규모 유출사고

유출 규모와 항목

과학기술정보통신부 민관합동조사단은 쿠팡의 웹·애플리케이션 접속기록, 공격자 PC 저장장치, 현직 개발자 노트북 등을 분석해 2026년 2월 조사결과를 발표했다. 조사단은 내정보 수정 페이지에서 성명과 이메일이 포함된 이용자 정보 33,673,817건이 유출되었고, 배송지 목록 페이지는 148,056,502회 조회되어 성명, 전화번호, 배송지 주소, 특수문자로 비식별화된 공동현관 비밀번호 등이 유출되었다고 밝혔다.

배송지 목록에는 계정 소유자 본인뿐 아니라 가족, 친구 등 제3자의 성명·전화번호·배송지 주소도 포함되어 있었다. 조사단은 공동현관 비밀번호가 포함된 배송지 목록 수정페이지 50,474회 조회, 최근 주문 상품 목록 페이지 102,682회 조회도 확인했다.

개인정보보호위원회는 이후 최종 제재처분에서 회원 3,322만여 명과 비회원 최소 433만여 명 등 약 3,755만 명의 개인정보가 유출되었다고 판단했다.

구분	확인된 내용
개인정보위 최종 유출 인원	약 3,755만 명
민관합동조사단 확인 계정 정보	성명·이메일 포함 이용자 정보 33,673,817건
배송지 목록 조회	148,056,502회
공동현관 비밀번호 포함 수정페이지 조회	50,474회
최근 주문 상품 목록 조회	102,682회
공격에 사용된 IP	2,313개
주요 유출 정보	성명, 이메일, 전화번호, 배송지 주소, 공동현관 비밀번호 관련 정보, 일부 주문정보

사고 원인

민관합동조사단은 공격자가 쿠팡 서버의 인증 취약점을 악용해 정상 로그인 없이 이용자 계정에 비정상 접속했다고 설명했다. 정상 이용자는 로그인 절차를 거쳐 전자 출입증을 발급받고, 쿠팡 관문서버는 그 유효성을 검증해야 하지만, 조사 결과 전자 출입증 위·변조 여부를 확인하는 절차가 부재했다.

공격자는 재직 당시 관리하던 이용자 인증시스템의 서명키를 탈취한 뒤 이를 활용해 전자 출입증을 위·변조한 것으로 조사되었다. 또한 퇴사자에 대한 서명키 갱신 절차와 키 이력 관리체계가 미비했고, 일부 개발자 노트북에 서명키가 저장되어 있던 사실도 확인되었다.

대규모 유출 단계에서는 자동화된 웹크롤링 공격 도구가 사용되었다. 조사단은 공격자 PC 저장장치 포렌식에서 정보 수집과 외부 서버 전송 기능이 포함된 공격 스크립트를 확인했으나, 실제 외부 전송 여부는 기록이 남아 있지 않아 확인할 수 없었다고 밝혔다.

법 위반 쟁점

민관합동조사단은 쿠팡이 침해사고를 인지한 뒤 24시간 이내에 신고해야 하는 정보통신망법상 신고 의무를 위반했다고 보았다. 조사단 발표에 따르면 쿠팡은 2025년 11월 17일 16시에 정보보호책임자(CISO)에게 보고했으나, 2025년 11월 19일 21시 35분에 한국인터넷진흥원에 신고했다.

또한 과학기술정보통신부는 2025년 11월 19일 자료보전 명령을 했으나, 쿠팡의 자동 로그 저장 정책이 조정되지 않아 2024년 7월부터 11월까지 약 5개월분 웹 접속기록과 2025년 5월 23일부터 6월 2일까지의 애플리케이션 접속기록이 삭제되었다고 밝혔다. 이에 대해 자료보전 명령 위반 관련 수사의뢰가 이루어졌다.

개인정보보호위원회는 2026년 6월 제재처분에서 안전조치 의무 위반 외에도 유출통지·파기 의무 위반, 개인정보 보호책임자(CPO)의 독립성 보장 위반, 조사 방해 등을 추가 확인했다고 밝혔다.

경과

일자	경과
2025년 1월	민관합동조사단은 공격자가 본격 공격 전 2025년 1월경 공격 흔적을 남긴 사실을 확인했다.
2025년 4월 14일	조사단은 공격자가 이 시점부터 2025년 11월 8일까지 자동화 웹크롤링 공격 도구로 대규모 개인정보를 유출한 것으로 파악했다.
2025년 11월 8일	조사단이 파악한 본격 공격 기간의 마지막 시점이다.
2025년 11월 16일	쿠팡은 고객으로부터 개인정보 유출 의심 이메일을 받았다는 고객의 소리(VOC)를 접수했다.
2025년 11월 17일	쿠팡 내부에서 정보보호책임자에게 사고가 보고된 시점으로 조사되었다.
2025년 11월 19일	쿠팡은 4,536개 계정의 고객명과 이메일 주소 등이 유출되었다는 내용으로 한국인터넷진흥원에 침해사고를 신고했다. 과학기술정보통신부는 같은 날 자료보전 명령을 했다.
2025년 11월 20일	개인정보보호위원회가 쿠팡으로부터 1차 유출 신고를 접수했다.
2025년 11월 21일	개인정보보호위원회가 쿠팡 개인정보 유출 조사에 착수했다.
2025년 11월 25~26일	공격자는 자신이 유출했다고 주장하는 정보 일부를 이메일 본문에 기재해 쿠팡 측에 두 차례 보냈고, 조사단은 이 이메일에 성명·이메일·배송지·주문정보 등이 포함된 사실을 확인했다.
2025년 11월 29일	쿠팡은 피해 규모를 3천만 개 이상 계정으로 확대해 2차 신고·공지를 진행했고, 개인정보위와 과기정통부는 사안의 중대성을 고려해 민관합동조사단 구성 방침을 밝혔다.
2025년 11월 30일	과학기술정보통신부는 민관합동조사단을 구성하고 사고 원인과 피해 규모 조사에 들어갔다.
2025년 12월 2일	법무법인 지향은 피해자들을 대리해 개인정보분쟁조정위원회에 집단분쟁조정을 신청했고, 별도 손해배상 청구소송 원고 모집도 진행했다.
2025년 12월 10일	한국인터넷진흥원과 과학기술정보통신부는 쿠팡 개인정보 유출 사고를 악용한 “피해보상” 사칭 피싱·스미싱 주의를 당부했다.
2025년 12월 10일	참여연대, 민주사회를 위한 변호사모임 민생경제위원회, 한국소비자연맹은 시민 618명의 집단분쟁조정 신청을 발표했다.
2025년 12월 11일	법무법인 지향은 12월 8일 기준 10,330명 원고의 소장을 접수했고, 12월 9일까지 약 32,000명 이상이 소송을 의뢰했다고 공지했다.
2025년 12월 11일·23일	개인정보분쟁조정위원회 집단분쟁조정 사건은 고○○ 등 50인 신청 사건과 김○○ 등 1,626인 신청 사건으로 접수되었다.
2026년 2월 6일	법무법인 대륜의 미국 협력 로펌 SJKP LLP가 미국 뉴욕 동부연방지방법원에 쿠팡 Inc.와 김범석 의장을 상대로 집단소송을 제기한 것으로 보도되었다.
2026년 2월 9일	개인정보분쟁조정위원회는 쿠팡 관련 집단분쟁조정 2건의 개시를 의결했으나, 개인정보위 조사·처분이 끝날 때까지 조정을 일시정지했다.
2026년 2월 10~11일	민관합동조사단은 성명·이메일 33,673,817건 유출, 배송지 목록 148,056,502회 조회 등 조사결과를 발표했다.
2026년 2월 23일	쿠팡이 미국 집단소송 대응을 위해 커클랜드앤엘리스(Kirkland & Ellis)를 법률 대리인으로 선임한 것으로 보도되었다.
2026년 3월 13일	서울중앙지법에서 법무법인 지향이 대리한 원고 1,997명의 손해배상 소송 첫 변론이 열렸고, 원고 측은 신속 진행을, 쿠팡 측은 개인정보위 조사 결과를 기다릴 필요가 있다고 주장한 것으로 보도되었다.
2026년 4월 8일	법무법인 지향은 쿠팡 집단소송이 법원에 접수되어 여러 재판부로 나뉘어 배당되었다고 공지했다.
2026년 6월 10~11일	개인정보위는 쿠팡 및 계열사 제재처분을 의결·발표했다. 쿠팡에는 과징금 6,246억 8,100만 원과 과태료 1,680만 원이 부과되었다.
2026년 6월 11일	법무법인 LKB평산은 공개 진행상황에서 총 원고 6,458명, 총 소가 32억 2,900만 원, 5건 접수 완료 상태라고 공지했다.
2026년 6월 12일	개인정보분쟁조정위원회는 일시정지했던 집단분쟁조정 절차를 재개하고 2026년 6월 26일까지 추가 참가 신청을 받는다고 밝혔다.
2026년 6월	법무법인 대륜·SJKP는 미국 로펌 나폴리 슈콜닉(Napoli Shkolnik)과 공동 대응 체계를 구축했고, 보도 기준 약 7,800명이 미국 소송에 참여 중이라고 밝혔다.

집단분쟁조정과 집단소송

이 사건에서 사용되는 “집단소송”이라는 표현은 크게 세 가지 절차를 가리킨다. 첫째, 개인정보분쟁조정위원회 또는 소비자분쟁조정위원회가 진행하는 집단분쟁조정이다. 둘째, 한국 법원에 다수 원고가 공동으로 제기하는 손해배상 청구소송이다. 셋째, 미국 법원에서 진행되는 미국식 집단소송(Class Action)이다. 한국에서는 개인정보 유출 피해에 대해 일반적인 미국식 옵트아웃 집단소송 제도가 전면적으로 도입된 상태가 아니므로, 국내에서 “집단소송”이라고 부르는 사건 상당수는 다수 피해자가 위임계약을 체결해 공동 원고로 참여하는 손해배상소송에 가깝다.

개인정보분쟁조정

개인정보분쟁조정위원회는 2026년 2월 9일 쿠팡을 상대로 한 집단분쟁조정 2건의 개시를 의결했다. 다만 개인정보위의 조사·처분이 진행 중이라는 이유로 조정을 일시정지했고, 개인정보위가 2026년 6월 10일 제재처분을 의결한 뒤 조정절차를 재개했다.

2026년 6월 12일 발표된 재개 공지에 따르면, 쿠팡으로부터 유출통지를 받은 이용자는 2026년 6월 26일까지 추가 참가를 신청할 수 있다. 분쟁조정위는 추가 참가 신청인의 자격 여부를 확인해 10일 이내 통지하고, 접수 마감 후 60일 이내 조정안을 마련할 계획이라고 밝혔다.

참여연대, 민주사회를 위한 변호사모임 민생경제위원회, 한국소비자연맹은 2025년 12월 시민 618명을 대리해 집단분쟁조정을 신청했다. 이들은 와우멤버십 회원 피해자에게 1인당 50만 원, 일반회원 또는 탈퇴회원 피해자에게 1인당 30만 원 지급과 재발방지 대책 마련을 요구했다.

국내 손해배상소송

국내에서는 여러 로펌이 피해자를 모집해 다수 원고 방식의 손해배상소송을 진행하거나 준비했다. 인베스트조선은 2026년 1월 기준 쿠팡 개인정보유출 사태 피해자를 모집해 소송을 제기했거나 준비 중인 법무법인·법률사무소가 20여 곳으로 파악된다고 보도했다.

주체	공개된 진행 내용
법무법인 지향	2025년 12월 1일 손해배상소송 참여 안내를 내고 개인정보 유출로 인한 정신적 고통 등에 대해 위자료 30만 원을 청구한다고 밝혔다. 소송비용은 1만 원, 성공보수는 판결금액의 10%로 안내했다. 2025년 12월 8일 기준 10,330명 원고의 소장을 접수했고, 2026년 4월에는 사건이 여러 재판부에 배당되었다고 공지했다.
법무법인 LKB평산	2026년 6월 11일 공지 기준 총 원고 6,458명, 총 소가 32억 2,900만 원, 5건 접수 완료 상태라고 밝혔다. 1차 소송은 서울중앙지법 2025가합15506, 2차 소송은 2025가합15677 등으로 안내되었다.
법무법인 진심	부산참여연대 등 시민사회단체와 함께 소송을 진행한다고 안내했다. 공개 사이트는 피해자 규모를 약 3,370만 명으로 제시하고, 이름·이메일·전화번호·주소·주문정보가 노출된 사건에 대해 손해배상소송을 진행한다고 설명했다. 모집은 2026년 6월 확인 기준 마감 상태로 표시되어 있다.
법무법인 대륜	2025년 12월 2일부터 2026년 1월 16일까지 1차 접수 기간을 두고 국내·미국 집단소송 참여자를 모집한다고 공지했다. 대륜은 복제폰 개통, 보이스피싱 등 2차 피해 우려를 이유로 손해배상과 관계자 처벌을 위한 법적 대응을 안내했다.
법무법인 노바	공개 모집 페이지에서 주문정보·주소·연락처가 결합된 개인정보 유출 사안에 대해 피해 사실을 정리하고 손해배상 청구 가능성을 검토한다고 안내했다.
법무법인 청	보도에 따르면 법무법인 청은 공동대응방을 통해 피해자 집단 손해배상소송 참여자를 모집하고, 신청서·위임장·신분증 사본 등을 제출받는 방식으로 소송을 준비했다.
법무법인 더 에이치 황해	집단소송 플랫폼에서 쿠팡 개인정보 유출 집단소송을 안내했으며, 2026년 6월 확인 기준 “2차 소장접수 완료” 상태로 표시했다.

미국 집단소송

미국에서는 법무법인 대륜의 미국 협력 로펌 SJKP LLP가 2026년 2월 6일 미국 뉴욕 동부연방지방법원에 쿠팡 Inc.와 김범석 의장을 상대로 집단소송을 제기한 것으로 보도되었다. 보도에 따르면 소송은 쿠팡의 개인정보 유출이 단순 해킹이 아니라 구조적 관리 실패에서 비롯되었다는 점을 핵심 주장으로 삼았고, 미국 내 피해자뿐 아니라 한국 거주 피해자도 하위 집단(Subclass)에 포함하는 구조를 제시했다.

쿠팡은 미국 소송 대응을 위해 커클랜드앤엘리스(Kirkland & Ellis)를 법률 대리인으로 선임한 것으로 보도되었다. 연합뉴스TV는 커클랜드앤엘리스가 쿠팡의 미국 집단소송 방어를 맡았고, 미국의 집단소송제와 징벌적 손해배상 제도를 고려한 적극 대응으로 해석된다고 보도했다.

2026년 6월 보도에 따르면 SJKP는 미국 로펌 나폴리 슈콜닉과 공동 대응 체계를 구축했고, 나폴리 슈콜닉은 미국 현지 소송 수행과 디스커버리 절차를 담당하는 구조로 설명되었다. 같은 보도는 미국 소송 참여자가 약 7,800명이라고 전했다.

보상과 피해구제

쿠팡은 2025년 12월 개인정보 유출 통지를 받은 약 3,370만 계정 고객을 대상으로 총 1조 6,850억 원 규모의 구매이용권 보상안을 발표했다. 보상안은 고객 1인당 5만 원 상당의 쿠팡 전상품, 쿠팡이츠, 쿠팡트래블, 알럭스 구매이용권 지급 방식이었다.

그러나 시민단체와 일부 소송 대리인들은 해당 보상안이 개인정보 유출로 인한 정신적 손해, 가족·지인 배송지 정보 노출, 공동현관 비밀번호 노출, 스미싱·보이스피싱 등 2차 피해 위험을 충분히 반영하지 못한다고 주장했다. 참여연대·민변·한국소비자연맹의 집단분쟁조정 신청은 와우멤버십 회원 50만 원, 일반·탈퇴회원 30만 원을 요구했다.

집단분쟁조정은 당사자들이 조정안을 수락하면 재판상 화해와 같은 효력을 가질 수 있으나, 어느 한쪽이 수락하지 않으면 조정은 성립하지 않는다. 따라서 2026년 6월 15일 기준 실제 피해자 보상 수준은 집단분쟁조정 결과, 민사소송 판결 또는 합의, 미국 소송 진행 상황에 따라 달라질 수 있다.

2차 피해와 피싱 위험

한국인터넷진흥원과 과학기술정보통신부는 2025년 12월 쿠팡 개인정보 유출 사고를 악용한 “피해보상”, “피해환급” 사칭 피싱·스미싱 주의를 당부했다. 공지에 따르면 공격자들은 쿠팡 개인정보 유출 피해사례를 언급하고, 검찰·금융감독원·소비자보호원 등 정부기관의 행정조치에 근거한 것처럼 위장해 개인정보 탈취나 악성앱 설치를 유도하는 방식으로 접근했다.

KISA는 개인정보 유출 피해에 따른 보상 안내가 개인을 대상으로 텔레그램 등 메신저를 통해 시행되지 않으며, “개인정보 유출 피해 보상”, “텔레그램으로 신청/접수” 등의 문구가 포함된 경우 스미싱으로 보고 신고·삭제해야 한다고 안내했다.

개인정보위 제재처분

개인정보위는 2026년 6월 쿠팡에 대해 세 가지 축의 제재·시정명령을 발표했다.

• 개인정보 유출 관련: 인증 서명키 관리 및 접근통제 소홀 등 안전관리 체계 미흡으로 약 3,755만 명의 개인정보가 유출되었다고 판단했다. 유출통지·파기 의무, CPO 독립성 보장 위반, 조사 방해도 추가 확인했다.
• 정보주체 권리 침해 관련: 쿠팡이 타사 웹·앱에 접속한 회원 약 1,117만 명의 온라인 활동기록을 무단 수집해 DB에 저장한 사실을 확인했다. 해당 활동기록에는 쿠팡 광고가 게재된 타사 웹·앱 방문기록, URL 또는 앱 이름, 접속일시, 접속 IP 등이 포함되었다.
• 쿠팡풀필먼트서비스 관련: 물류센터 근무 이력이 없는 경찰청 출입기자단 명단 71명을 취업제한 목록에 등록·관리한 행위와 임직원 체중정보를 산업재해 관련 소송 과정에서 법원에 제출한 행위가 개인정보 수집·이용 및 민감정보 처리 제한 위반으로 판단되었다.

개인정보위는 쿠팡에 안전조치 강화, 회원이 아닌 정보주체 대상 유출 통지, CPO의 실질적 역할 보장, 맞춤형 광고에 대한 정보주체의 선택권 보장, 부정광고 방지를 위한 관리·감독 강화 등을 시정명령했다. 또한 탈퇴회원 개인정보 처리 체계에 대해서는 개선을 권고하고 3개월 내 이행 및 조치 결과를 확인할 예정이라고 밝혔다.

쿠팡의 입장과 법적 대응

쿠팡은 개인정보위 제재처분 직후 개인정보위 결정에 유감을 표하고, 법적 절차를 통해 사실관계가 명확하게 규명되기를 기대한다고 밝혔다고 보도되었다.

쿠팡 Inc.는 미국 증권거래위원회 공시를 통해 개인정보위의 규제 처분과 과징금이 재판 대상이며 서울행정법원에서 법적 구제 절차를 밟겠다는 취지의 입장을 밝힌 것으로 보도되었다. 보도에 따르면 쿠팡은 약 4억 1,000만 달러로 추산되는 행정 과징금을 2026년 2분기 판매비와 관리비 항목에 인식할 예정이라고 설명했다.

의의

쿠팡 개인정보 유출사고는 대규모 전자상거래 플랫폼에서 인증키 관리, 접근통제, 로그 보존, 비정상 접근 탐지, 퇴사자 권한 관리가 실패할 경우 개인정보 유출이 얼마나 큰 규모로 확산될 수 있는지를 보여준 사례이다. 특히 계정 소유자뿐 아니라 배송지 목록에 포함된 가족·친구 등 비회원 정보까지 영향을 받을 수 있다는 점에서 전자상거래 서비스의 개인정보 처리 범위와 책임 문제가 부각되었다.

또한 이 사건은 ISMS-P 인증과 같은 관리체계가 존재하더라도 실제 운영 단계에서 키 관리, 직무 분리, 로그 보존, 모의해킹 결과의 근본 개선, 자료보전 명령 준수가 작동하지 않으면 대규모 침해사고를 막기 어렵다는 점을 드러냈다. 2026년 6월 기준으로는 행정제재, 국내 손해배상소송, 집단분쟁조정, 미국 집단소송이 동시에 진행되고 있어, 향후 플랫폼 기업의 개인정보보호 책임과 집단적 피해구제 제도 논의에 중요한 사례가 될 가능성이 크다.

같이 보기

• 개인정보 유출
• 개인정보 유출 통지
• 개인정보 보호법 제34조
• 정보보호 및 개인정보보호관리체계 인증
• ISMS-P 인증 기준