지난해 11월, 쿠팡 회원 3322만 명과 비회원 433만 명, 합쳐서 3755만 명의 개인정보가 새어 나간 사실이 뒤늦게 드러났다. 대한민국 경제활동인구 대부분이 털린 셈이다. 원인은 허무할 정도로 단순했다. 2024년 말 퇴사한 직원 한 명의 인증키를 회수하지 않은 것이다. 그 열쇠 하나로 지난해 6월 24일부터 11월 8일까지 외부에서 회사 서버에 자유롭게 접근할 수 있었다. 회사가 이 사실을 알아챈 건 회원들에게 "비밀번호를 안다"는 협박 메일이 도착하고 나서였다. 다섯 달 가까이 아무도 몰랐다.

조사 과정에서는 더 황당한 사실도 드러났다. 정부가 자료 보존을 요청했는데도, 쿠팡은 5개월치 홈페이지 접속 로그가 삭제되도록 방치했다. 정확히 얼마나 더 새어 나갔는지조차 끝까지 확인하지 못했다는 뜻이다. 사고를 막지 못한 것도 모자라, 사고의 크기조차 스스로 지워버린 셈이다.

지난 6월 11일, 개인정보보호위원회는 쿠팡에 과징금 6249억원을 부과하기로 의결했다. 이 중 유출 사고와 직접 관련된 금액이 4235억원, 로그 삭제 등 나머지 위반 행위에 물린 금액이 2014억원이다. 2324만 명이 피해를 봤던 SK텔레콤 유심 유출 사고의 과징금이 1348억원이었으니, 피해 규모는 1.6배인데 과징금은 네 배 넘게 뛴 셈이다. 역대 최대 기록이다.

이 과징금이 어느 정도 크기인지는 쿠팡 자체 실적과 비교하면 더 분명해진다. 쿠팡의 지난해(2025년) 연간 영업이익은 6790억원이었다. 과징금 6249억원은 그 92%에 해당한다. 1년 번 돈을 거의 다 과징금으로 날린 셈이다. 실제로 사고를 인지한 지난해 4분기 영업이익은 115억원까지 주저앉았다. 1년 전 같은 분기(4353억원)보다 97% 급감한 수치다.

쿠팡은 영세한 중소기업이 아니다. 2021년 뉴욕증권거래소(NYSE)에 상장한 대한민국 최대 온라인쇼핑몰이며, 시가총액 기준으로도 손꼽히는 대기업이다. 그런 회사가 퇴사자 인증키 하나를 회수하지 못해 3755만 명의 정보를 내줬다는 사실 자체가, 몸집과 보안 수준이 반드시 비례하지는 않는다는 걸 보여준다.

만약 이번 사고가 유통업이 아니라 방위산업이나 국가 안보와 관련된 분야에서 벌어졌다면 어땠을까. 피해 규모를 돈으로 환산하는 것조차 무의미했을 거라는 게 필자의 생각이다. 그만큼 이번 사고는 업종을 가리지 않는 보안 불감증의 위험성을 새삼 일깨운다. 모르긴 몰라도 이런 기업들이 수 십, 수 백 개는 될 것이다.

공교롭게도 개인정보위 의결일(6월 11일)에서 정확히 석 달 뒤인 오는 9월 11일부터 개정 개인정보보호법이 시행된다. 1000만 명 이상의 대규모 유출이나 반복된 위반에는 과징금 상한이 매출액의 3%에서 10%로 오른다. 업계는 이번 과징금이 쿠팡의 관련 매출(27조1000억원)의 약 1.56%를 적용해 산정된 것으로 추정한다. 옛 상한(3%)의 절반 수준이다. 이 절반이라는 비율을 그대로 새 상한(10%)에 대입하면 부과율은 5.2%가 되고, 금액으로는 1조4000억원대까지 뛴다는 계산이 나온다. 매출의 10%를 곧바로 곱한 이론상 최댓값(약 2조7000억원)보다는 낮지만, 지금보다는 훨씬 큰 액수다.

인증키를 제때 회수하는 것도, 로그를 지우지 않고 남겨두는 것도 돈이 드는 일이 아니었다. 그 절차를 건너뛴 대가로 회사는 1년 치 이익 대부분을 과징금으로 날렸다. 앞으로 이런 사고가 나면, 그 대가는 지금보다 훨씬 커질 것이다.

시간이 지나면서 이 사고를 잊은 사람도 많을 것이다. 그러나 후폭풍은 가라앉기는커녕 갈수록 커지고 있다. 사고가 알려진 지 열 달이 다 돼가는 지금도, 이 사건은 국내 규제와 한미 통상을 넘나들며 여전히 현재진행형이다.

칼럼니스트 Soo Kay

이수경 작가의 책 보러 가기

<차라리 혼자 살 걸 그랬어>

<이럴 거면 나랑 왜 결혼했어>

자기 인생의 각본을 써라 - YES24