제3장: 신뢰가 무너진 날

데이터를 가져간 사람은 해커가 아니었다. 이 사실부터 짚고 가야 한다. 한국 사회를 더 깊은 충격으로 몰아넣은 본질이기 때문이다.

2025년 가을, 한국 국민이 매일 새벽 현관 앞에 상자가 놓이는 것을 당연하게 여기도록 만든 일등 공신이자 국가대표 이커머스 기업인 쿠팡은 자사 시스템 내부에서 3,000만 명이 넘는 고객 정보가 무단으로 조회·유출되었다는 사실을 확인했다. 최초 발표 당시 3,370만이던 이 숫자는 이후 당국 조사에서 약 3,750만 명으로 늘어났다. 활성 고객의 일부 정도로 정리할 수 있는 규모가 아니다. 인구 약 5,100만 명의 나라에서 온라인 쇼핑을 조금이라도 이용해 본 성인이라면, 자신의 계정이 유출 목록에 포함되어 있다고 가정하는 편이 합리적인 수준이다. 한국에서 휴대폰으로 물건을 사 본 적이 있다면, 그 그늘 아래 있었을 가능성이 높다.

게다가 시스템을 뚫고 들어온 공격자는 외부의 적이 아니었다. 회사가 스스로 가장 신뢰해 핵심 권한을 부여한 인물이었다. 유출 경로는 쿠팡 핵심 데이터베이스에 정당한 마스터 키를 쥔 내부 고위 설계 개발자의 권한 남용으로 드러났다. 방화벽은 뚫리지 않았다. 그 개발자는 이미 성벽 안쪽에 있었기 때문이다. 비밀번호를 해킹할 필요도 없었다. 비밀번호가 필요 없는 절대 권한을 가지고 있었기 때문이다. 한국에서 가장 견고하고 신뢰받던 물류 요새가, 외부 침입자가 아니라 가장 깊이 신뢰받던 내부자의 손에서 무너진 순간이었다.

유출된 항목이 정확히 무엇인지 차분히 짚어 둘 필요가 있다. 공포를 걷어내고 사실을 마주하는 것이 신뢰 붕괴의 본질을 이해하는 지름길이기 때문이다. 쿠팡의 공식 발표에 따르면 유출 데이터에는 비밀번호나 신용카드 번호, 은행 계좌 정보 같은 직접적인 금융 거래 자격증명은 포함되지 않았다. 주민등록번호 등 한국에서 가장 민감한 식별자도 보호되었다고 밝혔다. 직접적인 금융 범죄로 곧장 이어질 수 있는 정보는 빠져나가지 않았다는 뜻이다.

그러나 유출된 나머지 항목을 보면, 그것이 어떤 면에서는 금융 정보보다 더 은밀하고 위험하다는 점을 알게 된다. 유출된 정보는 이름, 전화번호, 이메일, 실제 거주지 주소, 그리고 **‘과거 주문 배송 내역’**이었다.

신용카드는 유출되더라도 즉시 정지하고 다음 날 재발급받으면 그만이다. 그러나 365일 거주하는 집 주소는 재발급받을 수 없다. 송파의 작은 원룸에 혼자 살며 새벽 4시에 새벽배송 기사가 현관 앞까지 들어오도록 공동현관 출입 번호를 흔쾌히 알려주었던 한 직장인 여성의 입장을 떠올려 보자. 유출 파일에 적혀 있는 것은 단순한 텍스트가 아니다. 그녀의 이름, 혼자 살고 있는 집의 정확한 위치, 연락처, 그리고 지난 수년간 주문한 물품의 일자별 기록이다. 누군가 마음만 먹으면 그녀가 언제 집에 머물고 언제 출장을 가는지, 생필품이 언제 떨어지는지, 어떤 생활 패턴을 가지고 있는지를 시계열로 복원해 낼 수 있다는 의미다. 이 사건은 그녀의 은행 잔고를 빼앗아 가지 않았다. 대신 정체 모를 스팸 문자나 카드 도용과는 비교가 안 될 만큼 가장 취약한 사생활의 속살을 낯선 누군가의 손에 쥐여 주었다.

이것이 한국 이커머스를 강타한 세 가지 충격 중 두 번째인 ‘신뢰 충격’이다. 첫 번째 가격 침공이 “저 낯선 외국 플랫폼을 어디까지 믿을 수 있는가”라는 질문을 던졌다면, 이번 충격은 침실 머리맡까지 들어와 공기처럼 의존하던 토종 거인을 향해 “우리가 가장 안전하다고 믿었던 이 기계 장치가 정말 믿을 만한가”라는 본질적인 질문을 폭발시켰다.

이 사고의 제도적 청구서는 이 책이 인쇄에 들어가기 직전에 도착했다. 2026년 6월 10일 개인정보보호위원회는 전체회의를 열어 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과하기로 의결했다. 개인정보 보호 법제가 생긴 이래 가장 큰 과징금으로, 종전 최대였던 통신사 유심 정보 유출 사건 과징금의 네 배를 훌쩍 넘고, 쿠팡의 한 해 영업이익과 맞먹는 규모다. 조사 결과가 드러낸 사실들은 사고의 성격을 더 무겁게 만들었다. 공격자는 쿠팡에서 대체 인증 체계를 직접 개발했던 전직 직원이었고, 회사는 그가 퇴사한 뒤에도 인증 서명키를 갱신하거나 폐기하지 않았으며, 공격 기간 중 비정상 접속이 이어졌는데도 해커의 협박 메일을 받은 고객 민원이 들어오기 전까지 이상 행위를 알아차리지 못했다. 유출 통지와 파기 의무 위반, 개인정보보호책임자의 독립성 미보장, 조사 방해까지 제재 사유에 더해졌고, 이와 별도로 이용자 1,117만 명의 타사 온라인 활동기록을 법적 근거 없이 수집해 온 사실도 확인되었다. 쿠팡은 법적 절차를 통해 사실관계가 규명되기를 기대한다는 입장을 밝혀 불복 소송을 예고했으므로, 이 처분의 최종 운명은 법정에서 정해질 것이다. 다만 액수의 확정 여부와 무관하게, 이 의결이 한국 시장에 남긴 선언은 분명하다. 고객의 정보를 맡아 두는 일의 무게가, 처음으로 조 단위에 가까운 숫자로 환산되었다는 것이다. 그리고 이 사고는 타이밍 면에서 최악의 순간에 일어났다. 자율 쇼핑 에이전트라는 기계들이 한국 소비자에게 정확히 같은 가치를 요구하려던 바로 그 시점이었기 때문이다. “더 똑똑하게 쇼핑하게 해 드릴 테니, 주소와 카드 번호, 주문 내역, 즉 지갑 열쇠를 기계인 우리에게 맡겨 주십시오.”

그 실패의 대가는 두 가지 화폐로 청구되었고, 둘 중 훨씬 만만한 쪽이 실물 화폐, 즉 돈이었다.

유출 사고가 터진 회계 분기에 쿠팡은 보안 인프라 전면 개편, 규제 대응 비용, 그리고 수천만 피해 고객을 대상으로 한 배상금 충당금 명목으로 약 1조 6,850억 원(약 11억 7,000만 달러)을 일시에 장부에 반영했다. 7분기 연속 흑자로 향하던 거인이 단 한 번의 신뢰 파탄으로 분기 영업적자로 돌아섰다. 자본 시장은 즉시 이 숫자의 무게를 인지했다. 신뢰 붕괴는 한 분기의 실적 변동이나 신기술 지연 수준의 흠집이 아니었다. 수조 원의 물리적 트랙을 쌓아 올려 마침내 얻은 주주와 소비자의 신뢰 잔고를 하루 만에 파산 직전으로 깎아 낼 수 있는 종류의 사고였다.

이 과징금이 어떻게 그런 규모에 이를 수 있었는지는 법의 설계를 보면 드러난다. 개정된 개인정보보호법은 중대 과실로 정보를 유출한 기업에 대한 과징금을 정액 한도가 아니라 관련 매출액의 최대 3퍼센트로 산정하도록 해 두었다. 당시 쿠팡의 해당 매출 규모 약 49조 원을 대입하면 법이 허용하는 상한은 약 1조 4,700억 원이고, 실제로 의결된 6,246억 원은 그 상한의 절반 가까이에 이르는 액수다. 그러나 액수 자체가 본질은 아니다. 핵심은 한국이 매출액 비례 징벌적 과징금이라는 단단한 법적 장치를 사고가 나기 전에 이미 마련해 두었고, 국가가 가장 신뢰하던 거인을 상대로 그 장치를 실제로 작동시켰다는 사실에 있다. 불복 소송에서 액수가 다투어지더라도, 장치가 작동한다는 사실 자체는 이미 증명되었다.

정부는 또 다른 조용하지만 단호한 방식으로 책임의 법적 소재를 못 박았다. 공정거래위원회가 쿠팡 그룹의 창업자이자 미국 국적인 김범석(Bom Kim) 의장을 대기업집단의 ‘동일인(총수)’으로 공식 지정한 것이다. 창업자가 외국 국적이라는 이유로 책임의 꼬리를 끊지 못하도록 자연인 한 사람의 명의로 사법적 책임을 귀속시키겠다는 신호였다. 이 지정은 정보 유출 사고 단 하나만으로 이루어진 결정은 아니었고 기업 규제 전반과 연결되어 있었지만, 타이밍만큼은 분명한 메시지를 담고 있었다. 가장 믿음직하던 기계 인프라가 대규모 파탄을 일으킨 그 순간, 한국의 사법 권력은 조직도 뒤에 있던 창업자의 이름을 언급하며 책임자의 자리에 그를 세웠다.

이 책임 귀속이 바로 두 번째 화폐다. 실물 화폐보다 훨씬 비싼 자산이다. 플랫폼 기업들이 지난 10년간 모바일 영토에서 사용자 데이터를 모으며 쌓아 온 거대한 심리적 계좌, 즉 ‘소비자가 당연하게 믿어 주는 안도감’ 계좌에서 일시에 강제 출금이 일어난 것이다.

지난 10년 동안 한국인은 플랫폼을 향해 매일 신뢰의 적금을 부어 왔다. 현관문 비밀번호, 결제 카드 정보, 자녀의 알레르기 성향, 가족의 쇼핑 주기를 모두 기계에 맡겨 두었다. 이 사건은 그 신뢰 계좌가 마스터 키를 가진 내부자 한 명에 의해 단 하루 만에 비워질 수 있고, 계좌가 파산했을 때 위협을 직접 짊어지는 쪽은 기업 주주가 아니라 매일 밤 우유를 주문하던 5,000만 소비자라는 사실을 그대로 자각하게 만들었다.

이 교훈이 한국 소비자에게 낯설지 않았다면, 그것은 약 18개월 전 다른 형태의 비극을 통해 이미 한 차례 예방주사를 맞은 적이 있기 때문이다.

2024년 여름, 중견 오픈마켓 강자였던 티몬과 위메프, 이른바 ‘티메프’ 연합의 정산 시스템이 멈추는 사건이 일어났다. 소비자가 결제창에 돈을 지불해 구매를 마쳤음에도, 플랫폼이 그 돈을 판매자에게 정산하지 않고 중간에서 다른 자금으로 유용하다가 현금 흐름이 막혀 무너진 금융 인프라 사고였다. 외부 해커의 침입이 아니었다. 겉은 화려하게 포장되었지만 속은 비어 있던, 정산 구조가 사실상 폰지에 가까운 형태로 운영되다 부도가 난 사건이었다. 그 잔해 아래 묻힌 피해는 정산 지연과 부실 채권을 합쳐 약 1조 5,000억 원에 이르렀다. 평생 모은 자산을 잃은 영세 소상공인 셀러와, 돈만 내고 상품권이나 여행 패키지를 받지 못해 발을 동동 굴렀던 일반 사용자를 합한 피해자는 약 52만 명이 넘었다.

두 회사는 2024년 7월 말 법원에 회생을 신청했지만, 구조선은 오지 않았다. 법정 관리 하의 구조조정도 성공하지 못한 채, 서울회생법원은 2025년 11월 위메프의 파산을 선고했다. 조 단위 채권이 사라지고 피해 소상공인들이 주저앉은 결말이었다. 평생 성실히 물건을 만들어 플랫폼에 납품했던 사장님들은 회사가 도산해 신용불량자가 되었다. 일반 소비자들은 자신이 결제 대행사에 입금한 돈이 판매자에게 안전하게 전달된다는 상식적인 약속이 법적 의무가 아니라 사기업의 약속에 불과할 수 있다는 사실을 뼈저리게 배웠다.

티메프 사태와 쿠팡 정보 유출 사고는 기계적으로는 전혀 다른 결함을 가졌지만, 한국 소비자의 머릿속에서는 하나의 메시지로 합쳐졌다. 첫 번째 금융 사고는 이렇게 말했다. “플랫폼이라는 돈 거래 중개자는 언제든 파산해 네 돈을 공중분해 시킬 수 있으며, 국가 사법 체계는 네 잔고를 즉시 구해 주지 못한다.” 두 번째 보안 사고는 이렇게 경고했다. “네 사생활 정보를 쥐고 있는 중개 기업은 내부의 단 한 명에 의해 사용자를 낯선 세상 앞에 벌거숭이로 노출시킬 수 있으며, 한번 새어 나간 정보는 국가 사법 기관조차 다시 주워 담아 돌려줄 수 없다.”

두 사건은 한국인의 본능적 방어 기제를 깊이 자극했다. 내 돈과 거주지 주소, 은밀한 개인 정보를 보이지 않는 디지털 중개망에 통째로 맡기는 일이 얼마나 위험할 수 있는지를 뼈저리게 깨달은 사건이었다.

바로 그 자각이 자리 잡은 토양 위에, 지금 에이전트라는 기계들이 깃발을 꽂기 위해 걸어 들어오고 있다.

한국 커머스 업계가 공식적으로 쓰는 언어의 변화를 보면, 이 시장이 스스로 인식한 위기의 중심이 어디인지가 분명해진다.

지난 10년간 한국 이커머스 기업의 변하지 않는 키워드는 ‘성장’이었다. IR 미팅과 투자 보고서, 기업 공시의 모든 맥락은 한 문장으로 수렴했다. 더 많은 신규 사용자 유입, 더 잦은 반복 구매, 더 많은 카테고리 장악을 통한 총 거래액(GMV)의 우상향 팽창. 그 성장의 질주 속에서 ‘신뢰’라는 단어는 회사 홈페이지 구석에 놓인 무해한 윤리 강령 문구 정도였다.

그러나 2024년과 2025년의 사고들을 지나며, 한국 커머스 전략에서 ‘성장’이라는 단어는 키워드 자리에서 밀려나기 시작했다. 주주총회 보고서와 비전 선언, 임원 회의 어젠다의 전면에 신뢰가 핵심 생존 과제로 올라왔다. 규제 기관은 플랫폼 규제를 구속력이 약한 공정거래 가이드라인 수준에서 매출액 비례 징벌적 과징금이라는 강한 사법적 도구로 끌어올렸다. 기업들은 보안과 사용자 보호를 단순한 컴플라이언스 비용이 아니라, 상품 판매보다 먼저 소비자에게 어필해야 하는 ‘제품 그 자체’로 마케팅하기 시작했다.

이 차가운 불신의 방 안에, 마침내 스스로 쇼핑하고 결제하는 AI 에이전트라는 낯선 기계가 노크를 한다. 이 기계는 단순히 내 돈을 정산 장부에 보관해 주거나 내 주소를 데이터베이스에 잘 보관해 주는 수동적 신뢰를 요구하지 않는다. 그들이 요구하는 권한은 인류가 그동안 어떤 기계에게도 내준 적 없는 종류의 권한이다. 내가 상품을 둘러보기도 전에 나의 구매 의도를 예측하고, 나의 예산 잔고를 확인한 뒤, 스스로 최적의 판매처와 옵션을 결정해 내 이름과 내 주소로 결제 버튼을 자율적으로 누르고 돈을 지불해 버리는 권한이다. 즉 나의 경제적 의사결정과 금융 통제권을 통째로 기계에 위임하라는 요구다.

정보 유출 사고로 마음에 흉터를 안고 돌아선 한국 소비자가, 이 자율형 행위자 기계에게 흔쾌히 지갑 열쇠를 내줄 수 있을까. 한국은 새벽배송의 속도와 페이 결제의 편의로 지구상에서 가장 잘 닦인 인프라를 가지고 있지만, 그 도로 위를 걷는 소비자의 마음은 차가운 경계로 덮여 있다. 인프라의 풍요와 심리의 결핍 사이의 이 충돌이 앞으로 에이전틱 커머스 영역에서 한국이 세계 최초로 마주할 진짜 전선이다.