'3755만명 개인정보 유출' 쿠팡 해킹사건 - 오프로더 니키 (이윤훈)

Post Views: 0

사건 규모: 총 3,755만 명의 개인정보가 유출되었습니다. 이는 대한민국 국민 4명 중 3명꼴에 해당하는 수치이며, 쿠팡 회원이 아닌 사람(배송 수취인 등) 430만 명도 포함되어 있습니다.
원인: 외부 해커의 고도화된 해킹이 아닌, 쿠팡의 내부 보안 관리 소홀이 직접적인 원인으로 밝혀졌습니다. 퇴사한 중국 국적의 전 직원이 퇴사 후에도 내부 시스템에 접근할 수 있는 ‘서명 키(Authentication Key)’를 탈취하여 정보를 대량으로 수집한 것으로 조사되었습니다.
사건 은폐 및 방해: 쿠팡은 침해 사고 발생 후 신고를 지연했으며, 조사 과정에서 압수수색에 대비해 6개월치 접속 로그를 고의로 삭제하는 등 조사를 방해한 사실이 개인정보보호위원회에 의해 적발되었습니다.
정부 제재: 개인정보보호위원회는 쿠팡에 6,247억 원이라는 역대 최대 규모의 과징금을 부과했습니다. 이는 단순 개인정보 유출뿐만 아니라, 이용자 활동 기록 무단 수집, 직원 건강 정보의 불법 활용, 언론인 블랙리스트 운영 등 쿠팡의 총체적인 보안 및 관리 부실에 대한 복합적 제재입니다.

상세 내용은 아래의 공신력 있는 언론 보도를 통해 확인하실 수 있습니다.

개인정보 유출로 인한 2차 피해를 막기 위해 다음과 같은 조치를 권장합니다.

쿠팡 계정 확인: 앱 내 ‘설정 > 보안 및 로그인’에서 알 수 없는 기기나 해외 IP 접속 기록이 있는지 확인하고 로그아웃하세요.
비밀번호 변경: 타 사이트와 동일한 비밀번호를 사용 중이라면 쿠팡 및 관련 계정의 비밀번호를 즉시 변경하세요.
개인통관고유부호 재발급: 유출된 배송 정보를 통한 악용 사례가 있을 수 있으므로, 관세청 유니패스에서 통관부호를 새로 발급받는 것이 안전합니다.
털린 내 정보 찾기 서비스 이용: 개인정보포털에서 본인의 계정 정보가 불법 유통되고 있는지 조회할 수 있습니다.

핵심 원인: 퇴사한 중국 국적의 전 직원이 재직 시절 담당했던 인증 시스템의 ‘JWT 서명 키(Authentication Key)’를 탈취하여, 5개월간 쿠팡 내부 시스템에 정상적인 로그인 절차 없이 무단으로 접근하였습니다.
피해 규모: 총 3,755만 명의 개인정보가 유출되었습니다.
유출 정보: 이름, 이메일, 전화번호, 배송지 주소, 일부 주문 내역 및 공동현관 비밀번호 등이 포함되었습니다.
제재 결과: 개인정보보호위원회는 쿠팡의 안전조치 의무 위반 및 개인정보 보호 관리 부실 등을 이유로 역대 최대 규모인 6,247억 원의 과징금을 부과했습니다.

일자	주요 내용
2025. 06. 24.	공격자가 탈취한 인증 키를 활용해 쿠팡 서버에 최초로 무단 접근
2025. 06. ~ 11.	5개월간 고객 개인정보 및 배송지 목록(약 1억 4천만 건) 무제한 조회 및 수집
2025. 11. 16.	공격자가 일부 고객에게 협박성 이메일(“비밀번호를 알고 있다”) 발송 시작
2025. 11. 18.	고객 민원 및 이상 트래픽 징후 발생, 쿠팡 보안팀이 침해 사실 인지
2025. 11. 19.	쿠팡이 경찰청 사이버수사대에 침해 사실 신고
2025. 11. 30.	민관합동조사단 구성 및 본격적인 현장 조사 착수
2026. 02. 10.	정부 조사 결과 발표 (3,367만~3,755만 건 유출 확인)
2026. 06. 11.	개인정보보호위원회, 쿠팡에 과징금 6,247억 원 부과 결정

내부자 위협의 전형: 외부 해커가 아닌, 보안 권한이 회수되지 않은 퇴사자에 의해 발생한 사고로, 기업 내 ‘최소 권한 원칙’과 ‘퇴사자 계정 및 인증 키 관리’의 중요성이 크게 부각되었습니다.
기업 책임 강화: 유출 사실의 지연 신고, 조사 과정에서의 로그 삭제 등 사후 대응 과정에서의 부실함이 과징금 산정에 중대한 영향을 미쳤으며, 현재 이와 관련한 소비자들의 집단 손해배상 소송이 진행 중입니다.

‘3755만명 개인정보 유출’ 쿠팡 해킹사건