의혹만 키운 독자 조사…갈수록 꼬여가는 쿠팡 사태

美 소송만 중요?

쿠팡이 3370만명의 개인정보 유출 사태 자체 조사 결과를 전격 발표해 재계가 시끌시끌하다. 정부와의 갈등이 점차 격화하며 정면충돌 양상으로 치닫는 가운데, 뒤늦게 나온 김범석 쿠팡 의장의 사과 역시 진정성이 부족하다는 평가가 나온다. 소비자 보상안을 두고서도 ‘마케팅용 쿠폰 뿌리기’라는 비난의 목소리가 크다.

쿠팡의 개인정보 유출 사태가 일파만파 확산되자 논란이 뜨겁다. 사진은 서울의 한 주차장에 쿠팡의 배달 차량들이 주차된 모습. (매경DB)

쿠팡 “3000명만 정보 유출” 기습 발표

정부 “확인 안 된 주장, 강력 항의”

쿠팡은 2025년 12월 25일 개인정보 유출 사태와 관련, ‘정보 유출자는 3300만개 계정에 접근했으나 실제 저장한 정보는 3000여개 계정의 개인정보와 2609개의 공동현관 출입 번호에 불과하고 제3자 유출 정황은 없는 등 피해가 미미하다’는 내용의 자체 조사 결과를 발표했다.

쿠팡은 보도자료를 통해 “고객 정보를 유출한 전직 직원을 특정했고, 유출자는 행위 일체를 자백하고 고객 정보에 접근한 방식을 구체적으로 진술했다”며 “고객 정보 중 제3자에게 전송된 데이터는 없는 것으로 포렌식 조사로 확인했다”고 주장했다.

쿠팡은 “범행에 사용된 PC, 노트북 등 모든 장치를 회수해 안전하게 확보했고, 글로벌 보안 업체들의 조사 결과도 진술 내용과 같았다”고 덧붙였다.

이 같은 발표 직후 과학기술정보통신부는 쿠팡에 항의와 유감을 표명했다. 과기부는 “정보 유출 종류와 규모, 경위 등은 민관합동조사단이 조사 중인 사안”이라며 “쿠팡이 발표한 내용은 조사단에 의해 확인된 바 없다”고 밝혔다.

쿠팡 측 해명을 두고 갖가지 의문의 시선도 나온다.

쿠팡이 유출자로 지목된 전직 직원을 정부, 수사기관과 협의 없이 단독 접촉해 진술과 증거를 확보한 점을 두고 “범죄 사건을 기업이 자체 조사로 처리하려 했다”는 비판이 나온다. 쿠팡은 “관련 자료를 확보한 즉시 정부에 제출했다”고 해명했지만, ‘사실상 수사 대상자끼리 접촉한 것이나 다름없다’는 지적이다.

또한 범행에 사용된 기기를 확보했다고 해서 유출된 데이터까지 모두 회수됐다고 단정할 수 없다. 클라우드 스토리지나 외부 저장 공간을 얼마든지 활용할 수 있는 데다, 추가 기기를 통해 데이터가 이전됐을 가능성이 남아 있기 때문이다. 쿠팡은 또 “단독 범행이고 제3자 전송은 없었다”고 밝혔지만, 경찰이 “협박 메일에 사용된 IP가 2개였다”고 밝힌 만큼 단독 범행 여부는 추가 확인이 필요하다는 지적이다. 유출자가 수사기관이 아닌 쿠팡과 굳이 접촉해 범죄 사실을 인정한 이유도 명확하지 않다는 설명이다.

자체 조사 결과를 두고 논란이 커지자 쿠팡 측도 재반박에 나섰다. 2025년 12월 26일 다시 자료를 내고 개인정보를 유출한 전직 쿠팡 소속 직원과의 접촉, 범행에 사용된 증거물 회수가 정부 지시에 따른 조치였다고 밝혔다.

쿠팡 안팎에서 조사를 지시한 정부기관이 국가정보원이라는 소문이 나돌자, 국정원은 “쿠팡 측에 어떠한 지시를 할 위치에 있지 않으며, 어떠한 지시를 한 바 없다”고 밝혔다. 해롤드 로저스 쿠팡 임시대표가 2025년 12월 30일 쿠팡 연석 청문회에서 “국정원의 지시를 따른 것”이라고 주장하자 국정원은 “명백한 허위”라며 국회에 위증 혐의 고발을 요청해 논란이 뜨겁다.

쿠팡 셀프 조사 의문점투성이

‘美 집단소송 염두에 둔 조치’ 관측

이처럼 논란이 큰데도 쿠팡이 정부와 협의 없이 독단적으로 조사 결과를 발표한 이유는 뭘까. 법조계에서는 국내 비판 여론을 감수하더라도 미국 주주 집단소송을 염두에 뒀기 때문이란 분석이 나온다.

법조계에 따르면, 미국 로펌 헤이건스버먼은 2025년 12월 25일 쿠팡 모회사인 쿠팡Inc 투자자를 대표해 주주 집단소송에 들어간다고 밝혔다. 앞서 12월 18일 미국 로펌인 로젠이 제기한 주주 집단소송에 이어 두 번째 쿠팡Inc 주주 집단소송이다.

집단소송 원고들의 논지는 명확하다. 쿠팡Inc가 중대한 사이버 보안 사고 사항을 뒤늦게 공시했고, 이로 인한 주가 하락으로 주주들이 피해를 봤다는 것이다. 미국 증권거래위원회(SEC)는 회사가 중대한 보안 사고라고 판단하면 이를 4영업일 내에 공시하도록 규정한다. 쿠팡은 2025년 11월 29일 대규모 유출사고 발표 이후 2주가 더 지난 12월 16일 관련 공시를 했다.

쿠팡은 매출의 90% 이상이 한국에서 발생하지만, 뉴욕증권거래소에 상장해 미국 증시를 신경 쓰지 않을 수 없다. 쿠팡Inc 경영진의 절반 이상이 미국인인 점도 논란을 키운 이유로 꼽힌다. 해럴드 로저스 쿠팡 임시대표를 비롯해 거랍 아난드 최고재무책임자(CFO), 브렛 매티스 최고정보보호책임자(CISO), 조나단 리 최고회계책임자(CAO) 등 주요 경영진이 미국인이다.

쿠팡이 미국 여론전에 힘쓰는 것도 비슷한 맥락이다. 미 상원의 로비 보고서에 따르면, 쿠팡은 2024년 12월 트럼프 대통령 취임준비위원회에 100만달러를 기부하는 등 최근 5년간 미 행정부와 의회를 대상으로 1075만달러(약 155억원)의 로비 자금을 지출했다. 김범석 의장이 이 사건을 한미 간 통상 이슈로 끌고 가려 한다는 지적이 나오는 이유다.

대관에 힘쓴 덕분인지 최근 미국 정계에서 “한국 정치권이 쿠팡을 압박한다”며 비난하는 발언이 잇따라 나왔다. 트럼프 1기 행정부 시절 국가안보보좌관을 지낸 로버트 오브라이언은 2025년 12월 24일(현지 시간) 엑스(X)에서 “도널드 트럼프 대통령이 한국과의 무역 관계 균형을 회복하기 위해 많은 노력을 기울였는데, 한국이 미국 기술 기업을 겨냥해 그의 노력을 훼손한다면 매우 유감스러운 일이 될 것”이라고 밝혔다. 트럼프 대통령 지지자로 유명한 미국 정치평론가 스티브 코르테스도 최근 엑스에서 “한국 정부는 막대한 투자를 해온 미국 기업 쿠팡을 오히려 제재하고 있다”며 ‘한국의 미국 기업 배신 행위’라는 의견을 내비쳤다.

전문가들은 쿠팡이 중대한 보안 사고가 아니라고 주장, 재판에서 유리한 고지를 선점하기 위해 한국 정부와의 갈등을 무릅쓰고 일방적으로 조사 결과를 발표한 것으로 분석한다. 어떻게든 정보 유출 규모가 작다는 점을 어필해야 하는데, 한국 정부 압박이 워낙 거세 조바심이 났다는 의미다.

법조계 관계자는 “쿠팡 측은 외부로 유출된 정보가 3000여개에 불과하다는 내용을, SEC 공시 요건인 중대성에 미치지 못한다는 근거로 활용하려 한듯 보인다”며 “포렌식 조사 과정, 잠수부를 투입한 노트북 수거 과정 등을 세세하게 공개한 점 역시 일반 시민으로 구성된 미국 배심원단을 설득하기 위한 전략 같다”고 귀띔했다.

김범석 의장 사과했지만

‘맹탕’ 소비자 보상안에 여론 ‘싸늘’

사태가 점차 확산하자 김범석 의장 책임론도 활활 타오르는 양상이다. 2010년 쿠팡을 창업한 김 의장은 쿠팡의 클래스B 보통주를 1억5780만2990주(지분율 8.8%) 보유했다. 클래스B 보통주는 주당 29배의 차등의결권을 가진 주식으로, 의결권을 기준으로 하면 김 의장의 지분율은 73.7%에 달한다. 김 의장은 2024년 11월 보유 중이던 클래스B 보통주를 클래스A 보통주 1500만주로 전환해 처분하면서 무려 4846억원을 현금화하기도 했다.

이처럼 실질적인 오너 경영인이지만 국회 출석 요구가 있을 때마다 해외 체류 등을 이유로 참석을 피해왔다. 쿠팡이 매출 대부분을 한국에서 거두고 국내 소비자를 기반으로 성장한 기업인데도 미 증시 상장사라는 이유로 국내 경영 책임을 외면하고 있다는 지적이다.

쿠팡Inc의 2025년 3분기 매출은 13조원에 달한다. 연매출은 2024년 처음으로 40조원을 넘었고 2025년 50조원 돌파를 눈앞에 뒀다. 대만 사업과 명품 플랫폼 파페치 실적을 제외하면 매출의 90%가량이 한국에서 나오는 것으로 추산된다.

김 의장은 쿠팡을 실질적으로 지배하면서도 미국 국적이라는 이유로 공정거래위원회의 ‘동일인(총수) 지정’을 피해 사익편취 금지와 친·인척 자료 제출 등 각종 의무에서 벗어난 상태다.

논란이 커지자 김범석 의장은 뒤늦게 공식 사과문을 발표했다. 김 의장은 “쿠팡 창업자이자 이사회 의장으로 전체 임직원을 대표해 진심으로 사과드린다”며 “사고 초기부터 명확하고 직접적으로 소통하지 못한 점으로 인해 큰 좌절감과 실망을 안겨 드렸다”고 밝혔다.

하지만 사과문의 상당 부분은 쿠팡이 12월 25일과 26일 두 차례에 걸쳐 발표한 기존 입장을 되풀이했다. 김 의장은 “쿠팡은 최근 정부와의 협력을 통해 유출된 고객 정보 100%를 모두 회수 완료했다”며 “유출자 컴퓨터에 저장된 고객 정보는 3000건으로 제한됐고, 이 또한 외부 유포나 판매는 없었다”고 밝혔다.

다만 사과 시점이 너무 늦은 데다 내용도 해명 위주의 ‘맹탕’이라는 평가가 많다. 김 의장은 2025년 12월 30, 31일 국회에서 열린 연석 청문회에도 불참해 쿠팡을 향한 여론은 더욱 악화되는 분위기다. 김현정 더불어민주당 원내대변인은 “정부와 국회는 추후 국정조사 실시는 물론 집단소송제, 징벌적 손해배상제 등을 도입해 끝까지 책임을 묻겠다”고 했다.

쿠팡이 부랴부랴 대규모 피해 보상안을 내놓았음에도 여론은 싸늘하기만 하다.

쿠팡은 개인정보가 유출된 고객(3370만명) 1인당 5만원씩 총 1조6850억원 상당의 구매 이용권을 새해 1월 15일부터 고객들에게 지급할 방침이다. 개인정보가 유출된 회원이라면 와우회원·일반회원·탈퇴회원 상관없이 모두 똑같이 지급한다.

다만 쿠팡은 구매 이용권을 로켓배송·로켓직구·판매자로켓·마켓플레이스 쿠팡 전 상품(5000원), 쿠팡이츠(5000원), 쿠팡트래블 상품(2만원), 명품샵 알럭스 상품(2만원) 등 4가지 구매 이용권으로 쪼개 지급하기로 했다.

쿠팡 주력 서비스인 쿠팡과 쿠팡이츠 보상 금액은 1만원에 불과하다. 쿠폰은 현금 교환도 불가능하다. 정일영 더불어민주당 의원은 “국민 염장 지르는 식의 무능력·무공감 대책”이라고 지적했다. 이커머스 업계 관계자는 “보상안이란 타이틀을 내걸었지만 실상은 쿠팡트래블과 알럭스 프로모션 쿠폰 격”이라며 “사과의 진정성이 느껴지지 않고 오히려 이참에 쿠팡트래블과 알럭스를 홍보하려는 듯싶다”고 꼬집었다.

쿠팡은 2025년에만 정부·국회 출신 18명을 영입하며 대관에 공을 들여왔지만, 이번 개인 정보 유출 사태로 자칫 생존 위기에 내몰릴 수 있다는 우려가 나온다. 1조원대로 예상되는 과징금과 집단소송에 따른 손해배상, 회원 탈퇴 러시 등으로 실적이 급감할 가능성을 배제할 수 없다.

[김경민 기자 kim.kyungmin@mk.co.kr]

[본 기사는 매경이코노미 제2342호 (2026.01.07~01.13일자) 기사입니다]

[Copyright (c) 매경AX. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지]