쿠팡은 자본주의의 파시즘인가

편리함의 대가로 우리는 무엇을 어디까지 내주었나

2025년 12월, 쿠팡을 둘러싼 논란은 단순한 기업 사고를 넘어섰다. 3,370만 개 계정의 개인정보 유출, 5개월간의 무방비 노출, 늦은 공지와 제한적인 설명이 이어졌다. 국회 청문회에서 창업주는 불출석했고, 사과문은 이틀 만에 사라졌다. 사건 하나하나만 떼어 놓고 보면 "대기업의 위기관리 실패"거나 "미국 기업의 한국 무시" 정도로 정리할 수도 있겠다. 그러나 이 사태가 던지는 질문은 더 깊다. 편의와 속도, 효율을 얻는 대가로 우리는 어디까지를 허용해 왔는가?

쿠팡은 왜 기본값이 되었나

쿠팡은 단순한 쇼핑몰이 아니다. 로켓배송, 당일 배송 익일 도착, 간편한 반품과 결제로 쿠팡은 국민의 온라인 쇼핑 환경을 개선했다(어쩌면 올가미로 걸었는지도 모르지만). 그래서 한국에서 쿠팡은 선택지가 아니라 생활 인프라에 가까운 존재가, 흔히 하는 말로 디폴트(기본값)가 됐다. 기업의 서비스가 개인의 선택을 넘어 사회의 기본값이 될 때 그 기업의 판단은 단순한 '운영 결정'이 아니라 사회적 영향력을 갖는 공적 결정이 된다. 그래서 모든 국가가 독점에 대해 강하게 경계하는 것이다.

3,400만 명. 이는 쿠팡 월간 활성 이용자 수와 거의 동일하다. 사실상 모든 이용자의 정보가 유출된 셈이다.

쿠팡 사태에서 드러난 구조적 문제

1. 통제권의 이동

개인정보 유출은 기술 사고일 수 있다. 이미 몇몇 대기업에서 사고를 치른 후 "개인정보가 공공재"라는 자조 섞인 말이 흔하게 돌아다닌다. 그럼에도 개인정보가 유출되면 그 처리 과정이 중요하다. 누가, 언제, 어떤 기준으로 알릴지를 결정했는가를 확인해야 한다. 쿠팡 사태에서 이용자는 사후 통보를 받았고 판단 기준은 기업 내부에 있었으며 공적 설명 책임은 뒤로 밀렸다.

쿠팡은 11월 18일 사고를 인지했지만, 국내 공지는 11월 29일에야 이뤄졌다. 그 사이 10일 동안 누가 무엇을 결정했는가? 우리가 편의의 대가로 내준 것은 개인정보를 넘어서는 정보 통제권이다. 내 정보가 언제 유출됐는지, 누가 봤는지를 아는 것조차 이제 쿠팡의 '공지 일정'에 달려 있다.

2. 책임의 분산

사태 이후 쿠팡이 반복한 말은 두 가지였다. "조사 중입니다" 그리고 "시스템은 정상입니다." 누가 책임자인지는 의도적으로 흐렸다. 피해를 입은 건 3,370만 명이지만, 각자 알아서 비밀번호를 바꾸고 카드를 재발급받아야 했다. 쿠팡은 이 사태를 의도적으로 포장했다. "우리 시스템이 뚫린 게 아닙니다. 퇴사한 중국인 직원 한 명이 나쁜 짓을 한 겁니다."

참 비겁하다. 쿠팡은 '기술의 실패'가 아니라 '개인의 일탈'로 사태를 규정했다. 정보를 탈취당한 국민의 불안 여부와 상관없이 쿠팡은 책임 회피에만 급급했다. 왜 이런 방식을 택했을까? 만약 "우리 보안 시스템에 구멍이 있었다"고 인정하면 쿠팡이 자랑하는 최첨단 테크 기업 이미지가 무너지고, 수천억 원 들여 만든 시스템을 못 믿게 되며 주가는 더 떨어지고 투자자들은 경영진을 의심한다. 하지만 "직원 한 명이 나쁜 짓 했다"고 하면 시스템은 여전히 훌륭하고 다만 그 사람을 관리 못 한 게 문제였다는 식으로 정리된다.

이건 법을 활용한 방어 전략이다. 진실을 말하는 게 아니라 손해를 최소화하는 이야기를 만드는 것이다. 결국 이 구조에서 쿠팡은 테크 기업이라는 간판을 지키고, 3,370만 명은 각자 불안을 떠안는다. 심지어 의장이란 사람은 의장 자리를 내팽개치고 미국으로 도망갔다. 미국인 임시 대표를 세워놓고 말이다.

3.탈출 가능한 자유라는 허구

물론 탈퇴는 가능하다. 급이 좀 다르지만 대체 플랫폼도 존재한다. 하지만 현실에서 쿠팡을 벗어나는 비용은 결코 작지 않다. 개인정보보호위원회조차 "회원탈퇴 메뉴를 찾기 어렵고 절차가 복잡하게 설계됐다"고 지적했다. 강제는 아니지만 선택 불가능에 가깝다.

집단소송 카페 가입자는 20만 명을 넘어섰다. 하지만 실제 탈퇴자는 얼마나 될까? '탈팡'(쿠팡 탈퇴)이 이어지고 있지만 정확한 숫자는 알 수 없다. 그리고 여전히 "로켓배송은 내일 도착"이다.

미국과 한국, 두 개의 얼굴

쿠팡 사태를 이해하는 가장 중요한 열쇠 중 하나는 미국에서의 쿠팡과 한국에서의 쿠팡이 다르다는 사실이다.

SEC 공시 지연이 말해주는 것

2023년 7월, 미국 증권거래위원회(SEC)는 새로운 규정을 도입했다. 상장기업이 '중대한 사이버 보안 사고'를 겪었을 경우 이를 인지한 후 4영업일 내에 공시해야 한다는 것이다. 쿠팡의 타임라인을 보자. 11월 18일 개인정보 유출 사고를 인지했고, 11월 29일 한국 이용자에게 공지했다(10일 지연). 11월 30일에는 사과문을 게시했으나 이틀 만인 12월 2일 삭제하고 세일 광고로 대체했다. 그리고 12월 16일에야 SEC에 공시를 제출했다(28일 지연, 4영업일 규정 위반).

한국에서는 사과문조차 이틀 만에 내렸지만, 미국 SEC에는 한 달 가까이 공시를 미뤘다. 왜 이런 차이가 발생했을까?

규제 강도의 차이가 만드는 행동의 차이

한국과 미국의 규제 환경은 완전히 다르다. 한국에서는 개인정보 유출이 '투자자 공시' 의무가 아니다. 자본시장법상 정기공시·수시공시 대상에 해킹이나 정보 유출은 포함되지 않는다. 기업은 방송통신위원회나 개인정보보호위원회에 신고만 하면 되고, 소비자에게 언제 알릴지는 기업 재량이다. 반면 미국에서는 SEC 규정상 4영업일 내 공시가 의무다. 위반 시 과징금과 주주 소송 리스크가 발생한다. 2018년 야후는 5억 명 정보 유출 미공시로 3,500만 달러(514억 원) 벌금을 물었다.

쿠팡은 이 차이를 정확히 계산했다. 한국에서는 10일 지연 공지가 법적 문제를 일으키지 않는다. 사과문을 2일 만에 내려도 처벌 규정이 없다. 그래서 쿠팡은 한국 소비자에게 최소한의 대응만 했다. 반면 미국 SEC 공시는 28일이나 지연했지만, 이미 4영업일 규정을 위반한 시점에서 추가 지연의 리스크는 크게 다르지 않다고 판단했을 것이다. 어차피 과징금과 주주소송은 피할 수 없으니, 최대한 늦춰서라도 법률 대응을 준비할 시간을 확보하려 했다.

결과는 예상대로였다. 한국에서는 정부의 비난과 집단소송 카페 가입자 증가 정도로 끝났다. 하지만 미국에서는 주가가 18% 폭락했고, 10여 개 로펌이 즉각 주주 집단소송에 나섰다. 쿠팡이 진짜 두려워한 건 한국 국민의 분노가 아니라 미국 주주들의 법적 압박이었다. 돈이 걸린 쪽, 처벌이 확실한 쪽에만 반응한 것이다.

주가 하락과 집단소송의 압력

쿠팡의 뉴욕증시 주가는 정보 유출 공지 직전인 11월 28일 28.16달러였다. 12월 19일에는 23.20달러로 마감했다. 불과 3주 만에 18% 하락이다. 미국에서는 이미 10여 개 로펌이 주주 집단소송에 나섰다. 쿠팡 법인, 김범석 의장, 최고재무책임자(CFO)를 상대로 "허위 또는 오해 유발 공표로 투자자 손해"를 주장하고 있다.

한국에서는 24만 명이 집단소송 카페에 가입했지만, 실제 법적 압박은 미국 주주소송에서 온다. 이것이 쿠팡이 미국과 한국에서 다르게 행동하는 이유다. 한국 소비자에게는 "편의를 위해 참으라"고 하면서, 미국 주주에게는 "주가 방어를 위해 뒤늦게라도 움직이겠다"고 말한다. 누구의 목소리가 더 중요한가? 자본은 이미 답을 냈다.

그람시가 말한 '헤게모니'의 현재형

안토니오 그람시는 권력이 총과 법만으로 유지되지 않는다고 봤다. 사람들이 "그게 당연하다"고 받아들이는 순간, 지배는 동의의 형태로 작동한다. 쿠팡의 힘은 폭력이 아니다. "그래도 편하잖아"라는 말, "어차피 다 비슷해"라는 체념, "여기 말고 어디서 사겠어"라는 행동이 바로 자본의 헤게모니다.

사과문이 이틀 만에 사라져도, 김범석 의장이 청문회에 불출석해도, 로켓배송은 계속된다. 저항보다는 적응, 비판보다는 계산, 탈퇴보다는 타협. 이 모든 것이 "편의"라는 이름으로 정당화된다.

이것은 '자본 파시즘'인가

역사적 의미의 파시즘은 아니다. 국가 권력, 폭력의 독점, 일당 독재와는 분명히 다르다. 그러나 질문은 남는다. 민주적 통제가 번거로운 절차로 취급될 때, 질서와 효율이 설명과 책임을 대체할 때, 동의가 선택이 아니라 구조가 될 때 그 사회는 어디로 가고 있는가?

쿠팡에 대해 '자본 파시즘'이라는 표현을 끄집어낸 것은 경고하기 위해서다. 그리고 그 경고를 듣지 않을 경우 낙인을 찍기 위해서다. 자본이 위기에 처했을 때 민주주의를 접고 효율과 질서를 앞세우는 그 순간이 내게는 너무나도 파시즘 같았다.

쿠팡 사태가 묻는 진짜 질문

쿠팡이 한국을 무시했는가? 대답은 모호하다. 쿠팡은 "한국 사회가 허용한 선까지 정확히 활용했을 뿐"이라고 답할 수 있을 것이다. 하지만 정부와 대다수 국민은 쿠팡이 한국을 무시한다고 생각한다. 문제는 기업이 아니라 기준이다. 편리함을 이유로 설명과 통제를 뒤로 미루는 순간, 그 선택은 다음 기업, 다음 플랫폼에서 반복된다.

SEC는 4영업일 내 공시를 의무화한다. 한국은 그런 규정이 없다. 미국 주주는 집단소송을 제기한다. 한국 소비자는 카페에 가입한다. 규제 강도의 차이가 기업 행동의 차이를 만들었다.

이 사태가 남긴 질문은 단순하다. 우리는 여전히 편의보다 민주주의를 먼저 생각할 준비가 되어 있는가? 한국 사회는 SEC 같은 집행력을 가질 준비가 되었는가? 쿠팡 없는 하루를 견딜 수 있는가? "그래도 편하잖아"라는 말 앞에서 당당히 돌아설 수 있는가? 이 질문에 답하지 못하는 한 쿠팡과 같은 문제는 반드시 다시 찾아올 것이다.

주요 참고자료

• 과학기술정보통신부·개인정보보호위원회 보도자료 (2025.11.30)
• 미국 SEC 사이버보안 공시 규정 (Form 8-K, 2023.7)
• 쿠팡 주주 집단소송 소장 (캘리포니아 북부연방법원, 2025.12.18)
• 국회 과학기술정보방송통신위원회 청문회 (2025.12.17)
• 개인정보보호위원회 제26회 전체회의 (2025.12.10)