소비자가 기억을 팔 때, 기업은 무죄가 된다

쿠팡에 분노했던 우리는 어디로 사라진 것인가?

1. 기억이 권력이었던 시절

맹자는 "백성이 가장 귀하고, 사직이 그 다음이며, 군주는 가장 가볍다"고 했다. 전국시대 제후들을 향한 이 선언은, 권력의 정당성이 민심에서 온다는 원칙을 못 박았다. 2,300년이 지났지만 이 구조는 시장 안에도 그대로 살아 있다. 기업은 소비자의 선택으로 존재한다. 소비자가 등을 돌리면 아무리 큰 회사도 수축한다.

2026년 3월, 숫자 하나가 조용히 나왔다. 쿠팡의 주간 활성 이용자(WAU)는 2,828만 명. 개인정보 유출 사태 직후 2,600만 명대로 쪼그라들었던 수치가, 사태 이전 수준에 거의 닿았다. 미국 증시에 상장된 쿠팡 주가는 한 달 새 16% 이상 올랐다. 분노했던 소비자들이 다시 앱을 열었다.

맹자의 말은 지금 이 숫자 앞에서 뒤집힌다. 가장 귀한 권력을 가진 소비자가 망각으로 그 권력을 스스로 내려놓을 때, 시장 안에서 처벌은 어떻게 완성되는가.

이 수치는 단순한 이용자 회복의 통계가 아니라, 우리가 어떤 방식으로 기업을 용인하는지를 측정하는 기록이다.

2. 5개월 동안 아무것도 몰랐다

2025년 11월, 쿠팡의 중국인 전직 직원이 내부 보안 키를 탈취해 고객 계정에 무단 접근했다. 접근한 계정은 3,370만 개. 이름, 이메일, 전화번호, 주소, 일부 주문정보가 포함됐고, 배송지 목록은 1억 4,000만 회 조회됐다. 공동현관 비밀번호가 저장된 페이지도 5만여 회 열람됐다.

핵심은 공격 기간이다. 과학기술정보통신부 발표에 따르면, 무단 접근은 2025년 6월 24일부터 11월 8일까지 약 5개월간 계속됐다. 쿠팡이 이를 인지한 건 11월 18일 오후 10시 52분이었다. 고객 민원이 접수된 뒤였다. 쿠팡은 최초 신고 당시 피해 계정을 4,536개로 밝혔으나, 조사가 진행되면서 3,370만 계정으로 확대됐다. 전 국민의 약 65%에 해당하는 수치였다. 이재명 대통령은 국무회의에서 "5개월 동안 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다"고 했다.

이번이 처음도 아니었다. 2020~2021년 쿠팡이츠 배달원 13만 5,000명 정보 유출, 2023년 판매자 전용 시스템에서 2만 2,440명 정보 노출. 세 건의 사고에 부과된 누적 과징금과 과태료는 16억 원에 불과했다.

2026년 1월 15일, 쿠팡은 총 1조 6,850억 원 규모의 보상안을 발표했다. 계정당 5만 원 상당의 구매 이용권이었다. 단, 쿠팡이츠 5,000원·쿠팡트래블 2만 원·알럭스 2만 원으로 분산 지급됐고, 탈퇴 회원은 재가입해야만 받을 수 있었다.

숫자는 크지만 설계가 다른 방향을 향하고 있었고, 그 방향을 읽으면 이 보상이 무엇인지 달리 보인다.

3. 처벌이 두렵지 않은 구조