‘유출’된 오만… 쿠팡의 뻔뻔함은 어디에서 왔을까

국회에서 열린 쿠팡 연석 청문회가 진실 공방으로 번졌다. 쿠팡은 정부 지시에 따라 자체 조사를 펼쳤다 주장하고, 정부는 쿠팡이 확인되지 않은 내용을 악의적으로 발표했다고 주장한다.

쿠팡 사태가 점입가경으로 치닫고 있다. 2025년 12월30일부터 31일까지 이틀간 펼쳐진 국회 ‘쿠팡 연석 청문회’는 사상 초유의 기업-정부 간 진실 공방으로 번졌다. 사태가 복잡해진 것은 쿠팡이 성탄절인 2025년 12월25일, 기습적으로 ‘자체 조사 결과’를 발표하면서였다. 이날 쿠팡은 개인정보 유출자를 찾아냈고, 유출자가 사용한 장비를 회수했으며, 확인 결과 유출된 개인정보는 3000여 개에 불과했다는 내용을 보도자료로 배포했다. 마치 모든 사태가 해결된 듯한 뉘앙스였다.

쿠팡의 당시 발표는 파장이 컸다. 이날 쿠팡은 “관련 장치 등 일체 자료를 확보하는 즉시 정부에 제출해왔다. 현재 진행 중인 정부기관의 관련 조사에도 성실히 협조해왔다”라고 밝혔지만, 과학기술정보통신부는 곧바로 “쿠팡이 주장하는 사항은 민관합동 조사단에 의해 확인되지 않았다”라며 반박했다. 쿠팡 측의 일방적 발표라는 것이다. 그러나 쿠팡은 다음 날인 2025년 12월26일, “쿠팡의 조사는 자체 조사가 아니었다. 정부의 지시에 따라 몇 주에 걸쳐 긴밀히 협력하며 진행한 조사였다”라고 반박했다. 당시 쿠팡은 유출자가 중국의 어느 강에 던졌다는 노트북 등을 건져 올린 사진을 공개하기도 했다. 사진 속에는 쿠팡 로고가 박힌 에코백, 그리고 그 안에 들어 있던 노트북과 벽돌 등이 포함되어 있었다.

대한민국 역사상 최대 규모 개인정보 유출 사건은 이 순간부터 다른 국면에 접어든다. 2025년 12월25일부터 전개된 쿠팡 측의 주장을 정리하면 다음과 같다. 쿠팡은 2025년 12월1일부터 정부와 ‘공조’했고, ‘정부의 지시에 따라’ 유출자의 자백을 받았으며, 마찬가지로 ‘정부의 지시에 따라’ 유출자의 장비를 자체적으로 포렌식했다. 이후에도 수사 과정의 기밀을 유지할 것을 정부로부터 ‘지시받았다’는 게 쿠팡의 주장이다. 여기서 쿠팡이 긴밀하게 협력하고 자신들에게 ‘지시’를 했다고 주장하는 정부는 국가정보원을 뜻했다.

2025년 12월26일 쿠팡이 공개한 증거물 사진. 쿠팡은 유출자의 노트북이 담긴 에코백을 중국의 한 하천에서 건져올렸다고 주장한다. ⓒ쿠팡 제공

‘하천에서 건진 에코백’을 공개한 이후 쿠팡의 후속 행보는 일사천리로 전개된다. 2025년 12월28일에는 김범석 미국 쿠팡Inc(한국 쿠팡의 모기업) 의장의 사과문을 발표했는데, 이 사과문에서 김 의장은 “쿠팡은 최근 정부와의 협력을 통해 유출된 고객 정보를 100% 모두 회수 완료했다”라며 같은 주장을 반복했다. 다음 날인 2025년 12월29일에는 쿠팡의 자체 보상안이 발표된다. 개인정보 유출 통지를 받은 3370만 계정의 고객에게 ‘1인당 5만원 상당’의 구매 쿠폰을 지급한다는 주장이었다. 그러나 이 쿠폰은 계열사별로 분할된 ‘미끼’ 할인쿠폰에 불과했다.

이 모든 조치가 연쇄적으로 이뤄진 이후 미국 현지 시각 2025년 12월29일, 미국 증권거래위원회(SEC) 전자공시시스템(EDGAR)에 쿠팡Inc의 공시 자료가 올라온다. 이 공시에서 쿠팡Inc는 쿠팡 한국 법인이 12월25일 발표한 ‘유출은 3000개 계정에 불과하다’는 발표 내용과 쿠팡 한국 법인이 쿠폰(바우처)으로 지급하겠다던 보상 내용을 그대로 압축해서 발표했다. 이 공시에서 한국 정부의 반박은 담기지 않았다. 미국 기업인 쿠팡Inc가 미국 투자자들을 위한 공시 정보로 본인들의 주장만 요약해 담은 셈이다.

“악의적 의도가 있다”

쿠팡으로부터 ‘지시의 주체’로 지목된 국정원은 쿠팡의 이 같은 주장을 공개 반박하고 있다. 2025년 12월30일 국정원은 입장문을 통해 “자료 요청 외에는 쿠팡사에 어떠한 지시·명령·허가를 한 사실이 없으며, 그럴 위치에 있지도 않다”라고 주장했다. 특히 해럴드 로저스 쿠팡 임시 대표이사가 이날 국회에서 “정부기관이 저희에게 지시했고, 우리는 그 지시를 따랐다. 한국 국민들도 이를 알아야 한다”라고 말했는데, 국정원은 이 같은 주장이 ‘허위 발언’이라며 국회에 로저스 대표를 위증죄로 고발해달라고 요청하기도 했다.

쿠팡이 ‘유출 정보가 3000건에 불과하다’고 발표한 점도 정부가 강하게 반발하는 대목이다. ‘쿠팡 사태 범정부 TF’ 팀장인 배경훈 부총리 겸 과학기술정보통신부 장관은 국회 청문회 첫날 “쿠팡의 개인정보 유출 범위는 3300만 건 이상이다”라고 못 박으며 “쿠팡 측이 합의되지 않은 결과를 사전에 발표했다”라고 말했다. 쿠팡은 유출자가 3300만 개 정보에 ‘접근’한 것은 사실이지만, 유출자가 저장하고 있던 계정 정보는 약 3000개에 불과했다고 주장한다. 그러나 이는 어디까지나 쿠팡의 주장일뿐더러, 유출 정보를 클라우드 등에 백업한 기록이 있는지는 확인되지 않는다. 배경훈 부총리는 청문회 둘째 날에도 “쿠팡은 용의자가 진술한 내용을 그대로 인용하고 있다”라며 쿠팡의 발표 내용을 신뢰할 수 없다고 밝혔다.

2025년 12월30일, 국회에서 열린 쿠팡 연석 청문회에 참석해 선서하는 해럴드 로저스 쿠팡 대표(왼쪽). ⓒ시사IN 조남진

쿠팡의 독단적인 행동이 불거지면서, 오히려 정부가 아직 공개하지 않은 쿠팡의 위법행위가 청문회에서 폭로되는 상황까지 이어졌다. 청문회 둘째 날, 배경훈 부총리는 쿠팡 홈페이지의 접속 기록이 삭제된 사실을 공개하며 이렇게 말했다. “과학기술정보통신부가 (2025년) 11월19일에 자료 보존 명령을 했다. 그러나 쿠팡은 이후 접속 로그(기록)가 삭제되도록 방치했고, 5개월 분량의 홈페이지 접속 기록이 삭제되었다는 것을 11월27일에 확인했다. 이는 법 위반 사항이다. 합동조사단에서 160여 건의 자료를 요청했지만 여태껏 받은 것은 50건에 그친다. 무엇이 두려워서 먼저 (자체 조사 결과를) 발표해버렸나? 여기에 악의적 의도가 있다고 생각한다.”

당초 국회 쿠팡 연석 청문회는 개인정보 유출, 불공정 거래, 노동환경 실태 관련 의혹 규명을 목표로 삼았다. 그런데 청문회 직전 닷새 동안 쿠팡은 개인정보 유출 사태를 ‘정부 지시대로 이미 해결한 문제’로 규정하며 선제적으로(?) 보상안까지 발표했다. 이재걸 쿠팡 부사장(법무 담당) 역시 국회 청문회에서 “(국정원이) ‘국가안보에 대한 사안이기 때문에 (유출자와 접촉을) 요청하고, 쿠팡은 따를 법적 의무가 있다’고 했다” “국정원은 항상 말을 애매하게 준다”라며 정보기관 개입설을 전면에 부각했다. 이에 따라 양일간 펼쳐진 쿠팡 청문회는 당초 목표했던 의혹 규명은커녕, 기업과 정부 간 진실 공방만 화젯거리로 남긴 채 마무리했다. 법률가 출신으로 구성된 쿠팡 한국 법인 경영진들은 청문회 직전 미국 본사(쿠팡Inc)가 ‘공시한 내용’에서 한 발짝도 어긋나지 않은 말들만 앵무새처럼 되풀이했다.

부총리급 인사가 면전에서 반박하고, 국가 정보기관이 ‘지시’ 사실을 부인하는 상황에서 개별 기업에 불과한 쿠팡의 이 같은 ‘미움받을 용기’는 어디서 나오는 것일까. 우선 이 정도 소란을 벌이더라도 ‘망하지 않는다’는 확신이 필요하다. ‘하천에서 건진 에코백’을 대중이 믿든 안 믿든, 이용자들이 쿠팡 서비스를 벗어날 수 없다면 지금의 위기는 돌파가 가능한 소나기에 그친다. 쿠팡의 개인정보 유출이 당장의 매출에 영향을 미치는 것은 사실이다. 2025년 12월29일 모바일 빅데이터 분석 회사 모바일인덱스가 발표한 리포트에 따르면, 쿠팡의 일간 사용자 수(DAU, 추정 데이터)는 2025년 12월 동안(1~27일) 17.7% 감소한 것으로 나타난다.

2025년 12월29일, 쿠팡 규탄 기자회견 참가자들이 쿠팡 본사에 항의 메시지를 붙이고 있다. ⓒ연합뉴스

그런데 이 리포트는 현재 쿠팡 이용자의 결제 패턴이 ‘건당 1만원 미만’인 경우가 30.2%로 가장 많고, 20~30대 비중이 높다는 점이 특징이라고 설명한다. 즉, 사용자들이 상대적으로 저렴한 물건을 자주 시키는 패턴에 익숙해진 상태라면, 개인정보 유출에도 불구하고 쿠팡 서비스의 록인 효과(이용자를 특정 서비스에 가두는 효과)가 상당할 것이라 기대할 수 있다. 쿠팡이 믿는 구석이다.

미국 투자자들의 소송도 이어져

한국 정부를 자극하는 한이 있더라도 쿠팡이 당장 미국 투자자들로부터 제기되는 소송에 대응하기 위해 저런다는 해석도 뒤따른다. 한국 세무 당국의 조사, 공정위의 각종 처분, 경찰 수사 등은 김범석 의장의 지배구조에 당장 영향을 미치진 않는다. 게다가 김범석 의장은 차등의결권 제도를 통해 미국 쿠팡Inc의 70%가 넘는 의결권을 보유하고 있어서 경영권 방어가 화두가 되지도 못한다.

그러나 미국 뉴욕 증권거래소에 상장한 쿠팡Inc는 최근 미국 투자자들의 소송에 직면한 상황이다. 미국에서 집단소송으로 유명한 로펌 ‘하겐스 버만(Hagens Berman)’은 2025년 12월23일, 쿠팡Inc를 상대로 투자자 소송을 전개하겠다는 보도자료를 발표하며 소송에 참여할 투자자를 모집하기 시작했다. 이 로펌은 미국 쿠팡Inc가 한국 쿠팡의 개인정보 유출 사고를 2025년 11월18일에 인지했지만, 2025년 12월16일이 되어서야 이 사실에 대한 공식 보고서(8-K)를 공시했다는 점을 문제 삼고 있다.

맹탕 청문회라는 비판에 직면한 대한민국 국회는 당장 국정조사를 추진하는 모습이다. 청문회가 끝나기도 전인 2025년 12월31일, 더불어민주당은 국정조사 요구서를 국회에 공식 접수했다. 이날 제출한 요구서에는 대규모 개인정보 유출 사고를 비롯해 각종 노동문제와 독점경영 문제도 포함된 것으로 전해졌다.

우리 정부와 사회가 쓸 수 있는, 쿠팡에 대한 압박 카드에 어떤 것들이 더 있을지에도 관심이 모인다. 국회 청문회에 출석한 주병기 공정거래위원장은 2025년 12월30일 쿠팡을 ‘시장지배적 사업자’로 지정하는 방안을 검토 중이라고 밝혔다. 시장지배적 사업자로 지정되면 시장지배력 남용 시 부과되는 과징금의 액수가 커진다. 주병기 위원장은 또한 정보 유출 상황에 대한 정부 조사 결과에 따라 “필요하다면 영업정지 조치까지 처분할 순 있다”라고 언급했다. ‘쿠팡 사태 범정부 TF’를 이끄는 배경훈 부총리 역시 청문회에서 “처음 용의자(유출자)는 배송지 정보 1억2000만 건, 주문 내역 5억6000만 건을 유출했다고 주장했다. 끝까지 밝힐 거다. 최초 용의자의 협박 메일 수준의 유출이 있을 것으로 보고 있다”라고 말했다. 2025년 발생한 ‘쿠팡 사태’는 해를 넘긴 2026년에도 한동안 뜨겁게 굴러갈 전망이다.

김동인 기자 astoria@sisain.co.kr