이찬진 경고 뒤 드러난 쿠팡 개인정보 유출…’땜질식’ 감독의 한계

핵심 요약: 금융감독원장 이찬진이 취임 직후 빅테크 CEO 간담회에서 운영 리스크와 개인정보·보안 위험을 경고했으나, 국내 규율 체계 부재로 시정 조치가 제한적이었다. 2025년 12월 2일 국회에 출석한 박대준 쿠팡 대표는 개인정보 유출과 관련해 사과했으며 금감원은 쿠팡의 핀테크 계열사인 쿠팡페이에 대해 현장조사에 착수했다. 이번 사태는 롯데카드·SK텔레콤 등 최근 대형 개인정보 사고들과 궤를 같이하며, 규제 사각지대가 반복 손실로 이어질 가능성을 드러냈다.

• 이찬진 금융감독원장은 취임 직후 네이버·카카오·비바리퍼블리카(토스)·쿠팡·우아한형제들(배민) 등 빅테크 CEO 간담회를 열고 빅테크의 운영 리스크를 지적했다.
• 이 원장은 빅테크 플랫폼을 통한 광범위한 금융서비스가 금융 안정성에 위험요인이 될 수 있다고 경고하면서도, 국내에는 빅테크 전반을 규율할 명확한 제도적 기반이 없다고 밝혔다.
• 2025년 12월 2일 박대준 쿠팡 대표는 국회 과방위 회의에 출석해 개인정보 유출 사태에 대해 고개 숙여 사과했고, 같은 시기 금감원은 쿠팡페이에 대해 현장조사에 착수했다.
• 과거 롯데카드의 결제정보 유출, SK텔레콤의 단말기 정보 유출 등 최근 사례는 소비자 개인정보의 결합·악용 가능성을 현실화했다.
• 금감원의 전자금융업자 감독 범위는 전자금융업자로 한정돼 있어, 빅테크의 플랫폼 전반에 대한 포괄적 규제·감독 장치는 아직 미비하다.
• 금감원 조사로 확인 가능한 범위는 주로 전자금융업자의 정산·자금관리 등 금융적 리스크였고, IT·보안 투자 수준 등 운영 리스크 전반은 충분히 점검되지 않았다는 지적이 제기된다.

사건 배경

빅테크의 서비스 확장으로 전통적 금융과 플랫폼 기반 서비스의 경계가 흐려지면서, 기업이 보유한 소비자 데이터는 단순한 거래 기록을 넘어 금융·신원정보를 포괄하게 됐다. 이러한 맥락에서 금융당국은 플랫폼이 야기할 수 있는 시스템적 위험을 경계해 왔지만, 국내 법·제도는 아직 빅테크의 플랫폼 리스크를 포괄적으로 관리할 준비가 되어 있지 않다. 이찬진 원장은 취임 직후 빅테크 CEO들을 불러 운영 리스크와 개인정보 보호 강화 필요성을 강조했으나, 구체적 제도 시행으로 연결되기까지는 추가적인 입법·정책 작업이 필요하다. 과거 대형 유출사고를 보면, 단일 사건이 단기간 내 다수 소비자에 미치는 피해가 크고 복구 비용도 막대해 예방적 규율의 필요성이 반복적으로 제기되어 왔다.

기업 측의 내부통제와 자율적 보안 강화만으로는 한계가 있다는 지적도 있다. 전자금융업자에 대해서는 금감원이 정산·자금관리 관련 감독을 수행해왔지만, 플랫폼 전체의 IT 인프라·보안 투자·인적 운영 리스크까지 감독하기엔 법적 근거와 인력·전문성이 부족하다. 결과적으로 감독 패러다임이 ‘사후 제재’에 머물기 쉽고, 사고 발생 시 피해 구제와 재발방지 사이의 간극이 커진다. 이번 쿠팡 사태는 이러한 구조적 약점을 다시 한 번 부각했다.

주요 사건

사건은 쿠팡을 중심으로 표면화됐다. 2025년 12월 초 쿠팡의 일부 시스템에서 고객 개인정보가 외부로 유출됐다는 통지가 나오자 회사 측과 국회·당국의 대응이 이어졌다. 12월 2일 박대준 대표는 국회에 출석해 공개 사과했고, 금감원은 쿠팡의 핀테크 계열사인 쿠팡페이에 대해 현장조사를 단행했다. 회사는 결제 정보 유출은 없다고 밝혔지만, 주소·전화번호·이름 같은 개인식별정보가 유출된 정황이 확인돼 소비자 불안이 증폭됐다.

금감원 조사 범위는 전자금융업자로서의 업무 적정성 및 전자금융거래 안정성에 집중됐다. 다만 업계 내부에서는 정산 자금 관리에만 치우친 점이 문제라는 비판이 나왔다. 빅테크 전반의 운영 리스크, 즉 IT 인프라 투자 수준·외부 침해에 대한 취약점·내부 권한관리 등은 별도 법·지침 없이는 강제 점검이 어렵다. 이로 인해 당국은 즉각적인 기술적 개선 권고는 할 수 있어도, 전면적 시스템 보강을 강제할 근거는 제한적이었다.

분석 및 의미

첫째, 이번 사태는 빅테크가 보유한 데이터의 사회적 가치와 위험이 동시성을 가진다는 점을 재확인시켰다. 수천만 명의 상거래·금융 관련 데이터가 한 기업의 시스템에 집중돼 있을 때 단일 사고의 파급력은 금융시스템 안정성에까지 영향을 미칠 수 있다. 둘째, 규제 공백은 단순 감독 빈틈을 넘어 소비자 신뢰를 훼손하고 시장 경쟁을 왜곡할 가능성이 있다. 규범이 미비하면 일부 기업은 재무·보안 투자를 회피할 유인이 생기고, 이는 장기적으로 시장의 건전성을 악화시킨다.

셋째, 정책적 대응은 다층적이어야 한다. 단기적으로는 전자금융업자에 대한 보안 감사·검사를 확대하고, 사고시 신속한 통지·보상체계를 확립해야 한다. 중장기적으로는 빅테크 플랫폼의 금융적 영향력을 반영한 법·감독 체계 정비가 필요하다. 해외 사례(예: 유럽의 디지털 운영 복원력 법안 등)를 참고해 플랫폼 운영의 필수 기준과 책임 분담을 규정하는 방안이 거론될 수 있다.

마지막으로, 기업의 자율 규제만으로는 한계가 명확하므로, 개인정보 보호와 시스템 안정성에 관한 최소 기준을 법제화하고, 이를 위반할 경우 실효성 있는 제재를 부과하는 방안이 검토되어야 한다. 기술 변화 속도를 반영한 유연한 감독 모델과 함께, 실무적 전문인력 보강도 병행해야 실효성을 확보할 수 있다.

위 표는 공개된 공식·언론 보도에 기초해 사건별 성격을 정리한 것이다. 정확한 피해 규모와 내부 원인 분석은 각 조사 결과를 통해 확인되어야 한다.

반응 및 인용

금융당국과 기업, 전문가의 반응은 엇갈리지만 공통적으로 제도적 보완 필요성을 지적하고 있다. 아래 인용은 사건 맥락을 파악하기 위한 핵심 발언들로, 각 발언 전후의 상황을 간략히 설명한다.

“빅테크의 운영 리스크가 금융안정을 해칠 수 있다.”

이찬진 금융감독원장 (취임 직후 CEO 간담회)

이 원장은 빅테크가 제공하는 금융서비스의 확장과 관련해 사전적 통제 필요성을 강조했다. 다만 현행법상 빅테크 전반을 포괄하는 규율이 없어 금감원의 권한 범위가 제한적이라고 덧붙였다.

“사과드리며 끝까지 책임을 다하겠다.”

박대준 쿠팡 대표 (2025년 12월 2일 국회)

박 대표는 국회 출석에서 유출 사실에 대해 사과했고, 회사 차원의 보완 조치와 재발방지 약속을 밝혔다. 동시에 결제정보 유출 여부에 대해서는 회사 입장을 재차 설명했다.

“규율 없이 기술적 개선만으로는 반복 사고를 막기 어렵다.”

IT 보안 전문가 (민간 분석가)

전문가는 기술적 대책과 함께 법·감독 체계가 병행돼야 한다고 지적했다. 특히 빅테크의 플랫폼 구조상 데이터 결합·활용 방식에 대한 투명성 확보가 중요하다고 강조했다.

불확실한 부분

• 쿠팡 개인정보 유출의 정확한 피해자 수와 유출 경로는 당국 조사에서 아직 최종 확인되지 않았다.
• 회사 측의 ‘결제정보 유출 없음’ 주장의 전면적 검증 결과는 공개 조사 결과를 통해 확인될 필요가 있다.
• 금감원 조사 범위가 쿠팡페이로 한정된 가운데, 플랫폼 전체의 운영 리스크에 대한 법적 감독 권한 확대 시점은 불투명하다.

총평

이번 쿠팡 개인정보 유출 사태는 감독 당국이 반복적으로 경고해온 위험이 실제 사고로 현실화된 사례다. 법·제도의 공백이 존재하는 상황에서 당국의 개별 조사와 기업의 자율 개선만으로는 재발 방지에 한계가 있을 가능성이 크다. 소비자 피해를 최소화하고 시스템 리스크를 낮추려면 단기적 기술 점검과 함께 중장기적 법제 정비가 병행되어야 한다.

구체적으로는 피해 통지·보상 체계의 표준화, 플랫폼 보안 투자의 최소 기준 설정, 그리고 빅테크의 금융영역 확장에 맞춘 감독권한의 합리적 재설계가 필요하다. 당국과 기업, 입법부가 협력해 법적·기술적 규범을 정비하지 않으면 유사 사고는 반복될 가능성이 높다. 향후 조사 결과와 후속 입법 동향을 면밀히 지켜봐야 한다.

출처

• 지디넷코리아 (언론 보도)
• 금융감독원 공식 홈페이지 (공식 발표·조사 공지)
• 뉴스1 (언론 보도·현장 사진 보도)