보안 사고를 뭉개거나 이미지를 스스로 망가뜨려도 당장은 별일 없어 보입니다. 그런데 2026년 쿠팡과 스타벅스코리아·이마트는 그 대가를 재무제표 숫자로 직접 치렀습니다. 두 사례를 숫자로 추적합니다.
🔬 AMS 핵심 프레임
“이미지 관리는 비용이고 보안 투자는 사치”라는 계산은 사고가 안 터지는 동안만 맞습니다. 사고가 실제로 터지면 과징금·이탈 고객·주가 하향이라는 형태로 훨씬 큰 청구서가 날아옵니다 — 아래 두 사례는 그 청구서가 정확히 얼마였는지 보여줍니다.
개인정보 3,370만 건 유출 — 뭉개려다 역대급 과징금
약 3,370만 건
2026년 쿠팡 개인정보 유출 규모 (정부 발표 기준)
6,247억원
개인정보보호위원회 과징금 (역대급 규모)
8,350억원
과징금 반영된 2분기 영업손실
70만 명
직전 분기 대비 활성 고객 이탈
FACT
쿠팡은 2026년 대규모 개인정보 유출 사고를 겪었습니다. 배경훈 경제부총리는 유출 규모가 3,300만 건 이상이라고 공식 발표했는데, 이는 쿠팡 측이 밝힌 규모보다 큰 수치로, 정부가 쿠팡의 자체 발표를 정면 반박한 것으로 보도됐습니다.
FACT
쿠팡은 유출 사실을 2025년 11월 18일에 인지하고도 공시는 12월 16일에야 했습니다 — 사고 인지 후 4영업일 이내 공시해야 하는 의무를 위반했다는 지적이 나왔습니다.
FACT
2026년 2월, 피해자들이 쿠팡 미국 본사와 김범석 이사회 의장을 상대로 미국 법원에 징벌적 손해배상을 청구하는 집단소송을 제기했습니다. 원고 측은 김범석 의장이 최종 의사결정권자이면서도 보안 위험을 방치·묵인한 중대한 과실이 있다고 주장했습니다. 쿠팡 주주들도 별도로 공시 지연을 문제 삼아 집단소송을 제기했습니다.
FACT
개인정보보호위원회는 6,247억원의 과징금을 부과했고, 이 금액이 2분기 실적에 반영되면서 쿠팡은 8,350억원 규모의 영업손실을 기록했습니다(1분기에도 약 3,545억원 손실). 매출 자체는 분기마다 전년 대비 증가(1분기 +8%, 2분기 +4%, 역대 최대)했지만, 손익은 유출 사고 하나로 완전히 뒤집혔습니다.
FACT
활성 고객 수는 직전 분기 2,460만 명에서 2,390만 명으로 70만 명 줄었습니다 — 유출 사고 이후 일부 이용자가 이탈했고, 와우 멤버십 가입과 구매 빈도에도 단기 충격이 있었다고 분석됩니다.
INFERENCE
김범석 의장은 승계형 재벌 총수가 아니라 자수성가 창업자입니다 — 다만 차등의결권 구조로 경제적 지분보다 훨씬 큰 의결권을 가지고 있어, 최종 결정권은 한 사람에게 집중되면서 그 결정에 대한 책임은 회사 전체(주주·고객)가 나눠 지는 구조라는 점에서는 승계형 오너 리스크와 결과가 비슷합니다. 사고 규모를 축소 발표하려 했다는 정황과 공시 지연은, 문제를 숨기는 쪽을 선택했을 때 대가가 더 커진다는 걸 보여주는 사례입니다.