개인정보 유출 후에도 쿠팡은 왜 더 커졌나

개인정보 유출이라는 초유의 위기를 겪고도 쿠팡의 몸집은 오히려 불어났다. 월간 결제액이 5조 원대를 돌파하고, 이용자 수는 사상 최고치를 기록했다. '신뢰 훼손 → 이탈'이라는 상식적 공식이 통하지 않은 셈이다. 이 역설적 현상의 배후에는 구조적인 시장 지배력과 소비자 심리, 그리고 한국 이커머스 생태계의 특수성이 복잡하게 얽혀 있다.

유출 사태의 개요와 초기 반응

쿠팡의 개인정보 유출 사태는 고객 이름, 연락처, 구매 이력 등 민감한 정보가 외부로 노출됐다는 점에서 국내 이커머스 역사상 손꼽히는 중대 사건으로 분류된다. 사태 직후 소비자 단체와 시민사회는 강력한 규제 및 보상을 촉구했고, 온라인 커뮤니티에서는 탈퇴 인증 움직임이 일부 나타났다. 개인정보보호위원회 역시 조사에 착수하며 행정적 압박 수위를 높였다.

그러나 시장의 반응은 달랐다. 사태 이후에도 쿠팡의 월간 결제액은 5조 원대를 유지하거나 오히려 증가했으며, 월간 활성 이용자(MAU) 역시 신기록을 경신했다. 한국소비자원 데이터에 따르면, 이커머스 플랫폼에서 개인정보 유출을 경험한 소비자의 절반 이상이 "불편하지만 계속 사용하겠다"고 답하는 경향이 반복적으로 나타난다. 이는 국내만의 현상이 아니다.

'락인 효과'의 위력: 떠나고 싶어도 떠날 수 없다

핵심은 '전환 비용(switching cost)'이다. 쿠팡은 로켓배송, 로켓프레시, 쿠팡이츠, 쿠팡플레이를 묶은 로켓와우 멤버십으로 수천만 명을 생태계 안에 가둬두고 있다. 월정액을 납부하는 구독 기반 모델은 이용자가 플랫폼을 이탈할 때 지불해야 할 심리적·경제적 비용을 크게 높인다.

유통업계 전문가들은 "쿠팡은 이미 단순한 쇼핑몰이 아니라 생활 인프라가 됐다"고 분석한다. 새벽배송에 길들여진 소비자가 경쟁 플랫폼으로 옮겨가려면 배송 속도, 가격 경쟁력, 반품 편의성 등 복수의 조건에서 동시에 만족을 얻어야 한다. 현재 국내 시장에서 이 조건을 모두 충족하는 대안은 사실상 존재하지 않는다는 평가가 지배적이다.

이는 2018년 페이스북의 대규모 데이터 유출(캠브리지 애널리티카 사태) 이후에도 페이스북 이용자 수가 오히려 증가한 해외 사례와 정확히 겹친다. 당시 #DeleteFacebook 캠페인이 거세게 일었지만, 분기 실적 발표에서 MAU는 되레 늘었다. 플랫폼 지배력이 임계점을 넘어서면 윤리적 비판이 이용자 행동으로 이어지지 않는다는 점을 방증한다.

경쟁 구도의 공백: 대안 부재가 쿠팡을 살렸다

국내 이커머스 시장에서 네이버쇼핑, SSG닷컴, 11번가 등 경쟁자들은 각자의 약점을 노출하고 있다. 네이버쇼핑은 가격 비교 트래픽은 강하지만 직배송 인프라에서 열위에 있고, SSG닷컴은 프리미엄 전략에 집중하면서 가성비 고객층을 잡지 못하고 있다. 결국 유출 사태 이후 소비자들이 이탈을 고민하다 돌아오는 '부메랑 현상'이 반복됐다는 분석이 나온다.

실제로 앱 분석 플랫폼 와이즈앱 등의 데이터를 보면, 유출 이슈 직후 쿠팡 앱 삭제 건수가 일시적으로 증가했다가 수주 내에 재설치 비율이 빠르게 회복되는 패턴이 관찰됐다. 유통업계 관계자는 "소비자가 분노하는 시간보다 편의에 적응하는 시간이 더 짧다"고 씁쓸하게 표현했다.

규제의 한계와 제도적 공백

이번 사태는 규제 당국의 실효성 문제도 수면 위로 끌어올렸다. 개인정보보호법상 과징금 부과 기준은 관련 매출의 최대 3%로 설정돼 있지만, 글로벌 선진 사례와 비교하면 억지력이 약하다는 지적이 나온다. 유럽연합(EU)의 GDPR은 전 세계 연간 매출의 최대 4%를 과징금으로 부과할 수 있으며, 실제로 메타(구 페이스북)에 12억 유로(약 1조 7천억 원)를 부과한 전례가 있다.

반면 국내에서 이커머스 플랫폼에 부과된 개인정보 관련 과징금은 기업의 영업이익 규모에 비해 미미한 수준에 머물러 온 것이 현실이다. 소비자 단체 관계자는 "벌금이 비용으로 내재화되는 구조에서는 기업이 보안 투자를 늘릴 유인이 충분하지 않다"고 지적한다.

소비자 피로와 '체념적 수용'

심리학적 관점에서 이 현상을 '개인정보 피로(Privacy Fatigue)'로 설명하는 연구자들이 늘고 있다. 미국 퓨리서치센터의 2023년 조사에서 응답자의 79%가 "기업이 내 데이터를 어떻게 활용하는지 통제할 수 없다고 느낀다"고 답했다. 이처럼 반복적인 유출 사태와 불투명한 데이터 관리 관행에 노출된 소비자들은 적극적 저항 대신 체념적 수용을 선택하는 경향이 강해진다.

국내에서도 주요 기업의 정보 유출이 수년 사이 반복되면서, 개별 사건에 대한 사회적 민감도가 낮아지는 '유출 무감각증'이 나타나고 있다. 보안 전문가들은 이 현상 자체가 또 다른 위협이라고 경고한다. 소비자의 감시 기능이 약해질수록 기업의 보안 투자 우선순위가 낮아지는 악순환이 형성되기 때문이다.

역설이 남긴 과제: 신뢰 없는 성장의 지속 가능성

쿠팡의 사례는 플랫폼 경제의 핵심 모순을 드러낸다. 독점에 가까운 시장 지배력은 위기 내성을 높여주지만, 바로 그 때문에 자정 유인이 약해진다. 이용자가 떠나지 않는다면 기업은 굳이 대규모 보안 투자를 단행하거나 투명한 정보 관리 체계를 구축할 동기를 갖기 어렵다.

전문가들은 중장기적으로 세 가지 시나리오를 제시한다. 첫째, 규제 당국이 GDPR 수준의 강력한 과징금 체계를 도입해 외부 압력을 높이는 방향. 둘째, 소비자 집단소송 활성화를 통해 기업이 실질적 손해 배상 부담을 지게 하는 방향. 셋째, 데이터 이동권(data portability) 보장을 통해 소비자의 플랫폼 전환 비용을 낮춰 경쟁을 촉진하는 방향이다.

결국 쿠팡이 유출 사태 이후에도 더 커진 이유는 기업의 위기 관리 역량 때문이 아니다. 경쟁 대안의 부재, 소비자의 락인, 규제의 한계가 맞물린 구조적 결과다. 신뢰 없이 규모만 커지는 성장이 얼마나 지속 가능할지는 결국 소비자와 규제 당국, 그리고 경쟁 시장이 함께 결정할 문제다.