쿠팡에 역대 최대 6,246억 8,100만 원 과징금…회원 3,322만 명 정보 유출

개인정보보호위원회는 2026년 6월 10일 전체회의에서 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과하기로 의결하고 다음 날 발표했다. 단일 기업에 부과한 과징금으로 역대 최대다. 과징금은 개인정보 유출에 4,235억 7,500만 원, 타사 온라인 활동기록 무단 수집에 2,011억 600만 원이다.

위원회는 유출된 정보가 회원 약 3,322만 명과 비회원 최소 433만 명에 관한 것이라고 밝혔다. 비회원 수는 확인 가능한 최소치이며, 앱 접속 로그 일부가 삭제돼 실제 규모는 더 클 가능성이 있다고 설명했다. 해커는 2025년 4월부터 11월까지 회원정보 수정·배송지 관리·주문목록 페이지에 접근했다. 회원정보 수정 페이지에서는 약 3,300만 명의 이름과 이메일이, 배송지 관리 페이지에서는 최소 2,230만 명의 배송지 정보가 유출됐다. 주문목록에는 약 5만 8,000명의 주문 내역이 포함됐다. 배송지 정보에는 가족·친구 등 비회원의 이름과 전화번호, 주소도 담겼다.

위원회 조사에 따르면 전직 직원이 대체 인증서명키를 이용해 위조 인증토큰을 만들었고, 쿠팡은 키 접근 통제와 이상행위 탐지에 실패했다. 유출 사실을 인지하기 전까지 이상 트래픽을 감지하지 못했으며, 조사 착수 뒤에도 접속 로그 일부가 삭제돼 피해 범위 확인이 어려워졌다. 위원회는 비회원 정보주체에게 유출 사실을 통지하지 않았고, 추가 유출이 확인된 회원 약 16만 명에 대한 통지도 늦었다고 지적했다. 쿠팡에는 키 관리 강화와 비회원 통지 등을 시정명령했다.

별도 조사에서는 쿠팡이 동의 없이 회원 1,117만 명의 타사 웹·앱 방문 기록을 수집해 회원 정보와 결합한 사실이 확인됐다. 쿠팡풀필먼트서비스에는 경찰청 출입기자 71명의 개인정보를 취업제한 목록에 등록한 일과 근로자 체중 변화 정보 처리 등을 이유로 과징금 2억 4,800만 원이 부과됐다. 쿠팡의 과징금은 2025년 8월 SK텔레콤에 부과된 종전 최대액 1,348억 원의 세 배를 넘는다.