쿠팡 3,370만 유출, 그런데 12월 MAU는 43만 늘었다

세 개의 숫자가 있다.

3,370만. 2025년 11월, 쿠팡에서 유출된 고객 계정의 수다. 이름, 전화번호, 배송주소, 이메일, 최근 주문내역까지. 사실상 “쿠팡을 써본 모든 사람”의 정보가 털렸다.

13만. 집단소송 카페에 모인 사람들의 수다. ‘탈팡’이라는 단어가 SNS를 뒤덮었다. 국회 청문회가 열렸고, 소비자단체는 쿠팡 본사 앞에서 탈퇴 퍼포먼스를 벌였다.

43만. 12월에 새로 늘어난 쿠팡 월간활성이용자(MAU, 모바일인덱스 추정 기준) 수다. 12월은 연말 쇼핑 시즌이다. 그러나 역대급 보안 사고 직후라는 점을 감안하면, 이 숫자는 탈팡 운동이 실질적 이탈로 이어지지 않았음을 보여준다.

분노는 뜨거웠다. 그러나 손가락은 여전히 쿠팡 앱을 눌렀다.

사과한 회사, 사과하지 않은 회사

2025년은 한국 기업들에게 보안 사고의 해였다. 4월에는 SK텔레콤 유심 정보가 해킹당해 약 2,500만 명이 잠재적 피해 대상이 됐고, 11월에는 쿠팡 정보유출이 터졌다.

물론 두 사건의 성격은 다르다. SKT는 복제폰, 금융사기 같은 2차 피해 가능성이 컸고, 즉각 대응이 필수였다. 쿠팡은 이미 유출된 정보에 대한 사후 대응 성격이었다. 그러나 “책임자가 나와 사과하는가”라는 기준에서, 차이는 분명했다.

SKT는 유심 무상 교체를 발표했다. 유영상 대표가 직접 기자간담회에 나와 “피해가 발생하면 100% 책임지겠다”고 말했다. 2,600개 대리점에서 교체 작업이 시작됐고, 자비로 유심을 교체한 고객에게는 비용을 환급했다.

쿠팡은 달랐다. 12월 17일 국회 청문회에 나타난 건 한국어를 모르는 미국인 임시대표 해롤드 로저스였다. 하버드 로스쿨 출신의 법률 전문가. 창업자 김범석 의장은 불출석했다. 로저스는 통역을 끼고 답변했는데, “가장 낮은 이율”을 “상대적으로 낮다”로 옮기는 식의 ‘윤색’ 논란이 일었다. 12월 30일 2차 청문회에서는 국회가 준비한 동시통역기 착용을 거부하며 “이건 정상적이지 않다”고 맞섰다. 책상을 두드리고 “그만합시다(Enough)”라며 불쾌감을 드러내기도 했다.

시사저널이 AI로 로저스의 발언 234회를 분석했다. 결과는 “전략적 기억상실”, “회피형 태도”. 구체적 사실을 인정한 적이 단 한 번도 없었다. 법률가다운 대응이었다.

“미국에서는 법 위반이 아니다.” 로저스가 청문회에서 한 말이다. 이틀 뒤, 쿠팡은 미국에서 공시 의무 위반으로 집단소송을 당했다.

2022년 카카오 데이터센터 화재 때는 127시간 서비스가 중단됐다. 직접적인 피해였고, 남궁훈 대표는 4일 만에 사퇴했다. “참담한 심정과 막중한 책임을 통감한다”며 재발방지위원회를 맡았다. 쿠팡 유출은 서비스 중단 없이 일어난 사고였다. 상황은 달랐지만, SKT 유영상 대표는 “끝까지 책임지겠다”고 했고, 남궁훈 대표는 직접 사퇴했다. 쿠팡에는 한국어로 사과할 사람이 없었다.

그런데 MAU는 늘었다.

번들이 만든 관성

왜 떠나지 못할까. 숫자가 답을 준다.

쿠팡 와우 멤버십 가입자는 2024년 말 기준 약 1,500만 명으로 추정된다. 2024년 4월 월 구독료가 4,990원에서 7,890원으로 58% 올랐는데도 회원은 오히려 늘었다. 이 1,500만 명 중 약 74%가 쿠팡이츠를 함께 쓰는 것으로 추산된다.

12월 MAU 데이터가 이 구조를 보여준다. 쿠팡 본체 3,485만. 쿠팡이츠 1,273만. 쿠팡플레이 843만. 세 서비스는 단순히 병렬로 존재하는 게 아니다. 와우 멤버십 하나로 묶여 있다. 월 7,890원으로 로켓배송 무료, 쿠팡이츠 배달비 무료, 쿠팡플레이 시청까지. 개별 서비스에는 대체재가 있지만, 이 묶음에는 없다.

쿠팡을 떠난다는 건 앱 하나를 지우는 게 아니다. 로켓배송으로 오던 생수를 다른 데서 주문하고, 쿠팡이츠 대신 배달의민족을 깔고, 쿠팡플레이에서 보던 드라마를 넷플릭스에서 다시 찾아야 한다. 저장된 주소, 등록된 카드, 축적된 구매 패턴을 처음부터 다시 쌓아야 한다.

그래서 ‘탈팡’은 선언으로는 쉽지만 실행으로는 어렵다.

비대칭의 구조

경제학에서는 이를 ‘전환비용(switching cost)’이라고 부른다. 하지만 그 용어는 쿠팡이 누리는 특권의 절반만 설명한다.

SKT와 카카오는 사과했다. 대표가 나왔고, 구체적 보상안을 제시했고, 재발방지를 약속했다. 그들도 플랫폼이고, 그들에게도 전환비용이 있다. 그런데 그들은 최소한 한국어로 사과하는 절차를 밟았다.

쿠팡은 다르다. 한국에서 3,485만 명이 쓰는 서비스의 책임자가 한국어를 못한다. 창업자는 미국 시민권자고, 본사는 미국에 있다. 청문회에서 “미국에서는 법 위반이 아니다”라고 말할 수 있는 회사다. 한국 소비자의 정보가 3,370만 건 유출됐는데, 한국의 규칙으로 책임을 물을 수 없는 구조.

분노가 사라진 게 아니다. 분노를 행동으로 전환할 통로가 막혀 있는 것이다.

소비자가 할 수 있는 건 탈퇴뿐인데, 탈퇴의 비용은 기업이 아니라 소비자가 진다. 떠나봤자 불편한 건 나다. 그래서 분노하면서도 로켓배송을 시킨다. 쿠팡은 이걸 안다. 그래서 사과하지 않아도 된다.

질문

다시 숫자로 돌아간다.

유튜브 4,902만. 쿠팡 3,485만. 배달의민족 2,375만. 넷플릭스 1,559만.

이 숫자들은 단순한 사용자 수가 아니다. 우리가 무엇에 시간을 쓰고, 무엇에 돈을 쓰고, 무엇 없이는 살 수 없게 됐는지를 보여주는 지도다.

그리고 그 지도 위에서 가장 불편한 질문이 떠오른다. 플랫폼이 충분히 커지면, 소비자에게 예의를 갖출 필요가 없어지는 걸까?

쿠팡 정보유출 사태가 드러낸 건 보안의 허술함만이 아니다. 어떤 기업은 사과해야 하고, 어떤 기업은 사과하지 않아도 되는 비대칭. 그 비대칭을 가능하게 하는 건 기술력도 자본력도 아니다. 대다수가 떠나지 않는 소비자들이다.

3,370만 명의 정보가 유출되고, 43만 명이 새로 들어왔다.

이 문장이 역설이 아니라 필연으로 읽히는 순간, 우리는 이미 떠날 수 없는 사람들이 된 것이다.