오늘도 무사히 · 국내 정보보안 사고 타임라인

유통·서비스

쿠팡인증 서명키 악용, 5개월간 몰랐던 대규모 유출

쉽게 말하면 쿠팡에서 3,370만 개 계정 정보가 5개월 가까이 새어 나갔는데 회사가 알아채지 못했습니다.

11월 18일 4,500여 개 계정 노출을 인지했다고 알렸다가 11월 29일 3,370만 계정으로 규모를 정정했습니다. 해외 서버를 통한 무단 접근은 6월 24일부터 이어졌던 것으로 추정됐고, 처분 단계에서는 비회원을 포함해 3,756만 명으로 집계됐습니다.

규모 3,370만 계정에서 3,756만 명으로현황 개인정보위 과징금 6,246억 원(역대 최대), 쿠팡은 2026-10-07 취소 소송 제기

쿠팡의 소송은 진행 중이며 처분 내용이 확정된 것이 아닙니다. 쿠팡은 쿠팡 파트너스의 활동기록 수집 판단 등에 동의하지 않는다는 입장입니다.

내가 해당되는지 확인하기

쿠팡 회원(비회원 포함 3,756만 명으로 집계)

  • 쿠팡 공식 앱·홈페이지의 안내와 개별 안내를 확인하세요.

해당되거나 불안하다면

  • 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
  • 사칭 문자·전화가 늘 수 있으니 아래 ‘사칭 문자·전화 유형’을 함께 보세요.

확인된 사실

유출 정보
이름, 이메일, 전화번호, 배송지 주소, 일부 주문 정보. 쿠팡은 결제·로그인 정보는 유출되지 않았다고 주장
개인정보위 집계
3,756만 명(회원 3,322만 명, 비회원 최소 433만 명). 배송지 관리 페이지에서 6,398만 건의 배송지 정보
추가 유출
2026년 2월 5일 16만 5,455개 계정 추가 확인(총 3,386만 5,000여 계정)
보상
1인당 5만 원 구매이용권, 총 1조 6,850억 원 규모(2026년 1월 15일부터 지급)
과징금
6,246억 8,100만 원. 유출 관련 약 4,236억 원, 온라인 활동기록 무단 수집 약 2,011억 원

경과

  1. 해외 서버를 통한 무단 접근 시작(쿠팡 추정)
  2. 쿠팡이 약 4,500개 계정 노출을 인지(19일 침해사고 신고, 20일 1차 유출 신고)
  3. 후속 조사로 3,370만 계정 노출 확인 발표. 최초 인지 규모의 약 7,500배
  4. 쿠팡 자체조사 결과 발표. ‘유출자는 3,300만 계정에 접근했으나 약 3,000개 계정 정보만 저장’
  5. 총 1조 6,850억 원 규모 보상안 발표(연석 청문회 하루 전)
  6. 개인정보위가 쿠팡에 자체조사 결과 공지를 즉각 중단하라고 요구공식 조치
  7. 배송지 목록 확인 과정에서 16만 5,455개 계정 추가 유출 신고. 자체조사의 신뢰성에 타격
  8. 개인정보위 전체회의에서 과징금 6,246억 8,100만 원 의결(11일 발표), 계열사 쿠팡풀필먼트서비스에는 2억 4,800만 원공식 조치
  9. 쿠팡이 서울행정법원에 과징금 취소 소송 접수공식 조치

원인으로 지목된 것

  • 개인정보위는 인증 서명키 관리와 접근통제 소홀 등 기본 안전조치를 미흡하게 운영했다고 판단
  • 인증 담당자에게 발급되는 서명된 액세스 토큰의 유효 인증키가 장기간 관리되지 않아 담당 직원이 퇴사한 뒤에도 악용될 수 있었다는 분석
  • 정상 로그인 없이 3,370만 개 이상 계정의 정보를 조회한 것으로 확인됨
  • 전 직원의 관여 가능성이 언론에서 제기됐으나 수사·재판 결과가 아닌 보도 내용

대응과 조치

  • 개인정보위는 안전조치 강화, 비회원 대상 유출 통지, 최고개인정보보호책임자(CPO)의 실질적 역할 보장을 시정명령으로 부과하고 쿠팡을 고발
  • 쿠팡은 추가 유출을 인지하고도 72시간 법정 시한을 넘겨 통지했고, 비회원에게는 알리지 않았다는 점이 처분에 반영됨
  • 조사 착수와 증거보전 명령 이후에도 약 5개월 분량의 웹 접속 로그를 수동으로 삭제하고 앱 로그 자동 삭제 설정을 중단하지 않았다는 지적
  • 쿠팡은 처분에 유감을 표하고 행정소송으로 다투고 있음

점검해 볼 지점 (편집 의견)

  • 서명키처럼 ‘모든 계정의 출입증을 만들 수 있는’ 키는 수명, 폐기, 퇴사자 회수 절차가 핵심 통제입니다.
  • 5개월간의 이상 조회를 탐지하지 못했습니다. 정상 로그인 없는 대량 조회를 잡는 이상 행위 탐지가 필요합니다.
  • 로그 삭제는 조사 방해로 처분을 가중했습니다. 사고가 의심되는 순간 로그 보전 명령과 자동 삭제 중지가 즉시 작동해야 합니다.

관련 ISMS-P 인증기준 (편집 의견)

탐지·인지 지연2.9.5 로그 및 접속기록 점검2.11.1 사고 예방 및 대응체계 구축2.11.3 이상행위 분석 및 모니터링

계정·인증 약점2.5.1 사용자 계정 관리2.5.3 사용자 인증2.5.4 비밀번호 관리

공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.

용어: 서명키

출처

‘오늘도 무사히’는 민간 기업 Sprout Security가 운영하는 정보 제공 사이트이며 정부 기관이 아닙니다.