쿠팡 독주 체제의 균열과 유통 지형 재편
2024년, 쿠팡은 하나의 기업이 아니라 하나의 생태계가 됐다. 연 매출 41조 3천억 원. 와이즈앱 기준 결제추정금액 55조 원. 국내 온라인쇼핑 시장(242조 원)의 약 4분의 1을 한 기업이 가져간다. 활성 고객 2,280만 명이 로켓배송, 로켓프레시, 쿠팡이츠, 쿠팡플레이를 넘나들며 일상의 상당 부분을 쿠팡 안에서 해결한다. 10년간 9조 원 이상을 쏟아부어 구축한 물류 인프라 위에, 와우 멤버십이라는 락인(lock-in) 장치가 얹혀 있다. 연간 멤버십 수입만 1조 4천억 원을 넘기는 구조다.
1편(14년 규제의 역설, 전통시장도, 대형마트도 살리지 못한 법)에서 분석한 것처럼, 14년간의 유통법 규제가 이 독주를 가능하게 만든 구조적 조건이었다. 그런데 2025년 하반기부터, 그 독주 체제에 균열이 보이기 시작했다. 규제 완화보다 먼저 찾아온 것은 쿠팡 스스로가 만든 위기였다.
3,370만 명의 균열: 개인정보 유출이 바꾼 것
2025년 11월, 쿠팡에서 약 3,370만 건의 고객 개인정보가 유출됐다. 성인 국민 대다수에 해당하는 규모다. 이름, 전화번호, 이메일, 배송지 주소, 일부 주문 내역이 포함됐고, 아파트 공동현관 비밀번호까지 유출된 사례가 확인됐다. 퇴사한 중국인 직원이 인증키를 빼돌려 2025년 6월부터 11월까지 약 5개월간 고객 데이터에 자유롭게 접근한 것으로 조사됐다. 쿠팡은 이 사실을 고객 민원으로 뒤늦게 알아차렸고, 최초 신고 시 피해 규모를 4,500건으로 보고했다가 3,370만 명으로 정정했다.
사태의 충격은 단순한 보안 사고를 넘어섰다. 국회 5개 상임위원회가 연석청문회를 열었고, 정부는 범부처 TF를 구성해 영업정지까지 검토했다. 개인정보보호법상 매출액의 3%까지 과징금이 부과될 수 있어, 최소 1,500억 원에서 이론상 최대 1조 2천억 원의 과징금이 거론됐다. 고용노동부는 근로감독관 32명을 투입한 합동 수사·감독 체계에 착수했다. 11개 로펌에서 진행하는 집단소송에 참여한 사람만 약 50만 명, 1인당 평균 청구액 기준으로 전체 피해자에게 배상할 경우 약 4조 5천억 원에 달한다는 추산도 나왔다.
쿠팡의 보안 투자 비율은 매출 대비 0.2%로, 카카오·SKT(0.7%)의 3분의 1에도 미치지 못한다는 분석이 제기됐다. 2020년부터 2023년까지 네 차례 정보 유출 사고를 냈지만 과징금과 과태료 합계가 16억 원에 불과했다는 점도 드러났다. 보안에 투자하는 것보다 사고 후 과징금을 내는 쪽이 경제적이었던 구조가 독주의 이면에 있었던 것이다.
이 사태가 유통 지형에 미친 영향은 두 가지 경로로 나타났다. 하나는 정치적 압력이다. '쿠팡 사태'를 계기로 대형마트 규제 완화 논의가 급물살을 탔다. 정부·여당이 대형마트 새벽배송을 허용하는 유통법 개정에 합의한 배경에는 쿠팡 독점에 대한 사회적 반감이 깔려 있다. 다른 하나는 소비자 이탈의 단초다. 한국소비자단체협의회는 쿠팡 탈퇴 소비자행동 발대식을 열었고, 뉴욕증시의 쿠팡 주가는 유출 공지 전후로 18% 하락했다. 미국 주주들까지 별도의 집단소송을 제기한 상태다.
41조 원의 제국이 무너지는 것은 아니다. 하지만 '쿠팡밖에 없다'는 소비자 인식에 최초의 균열이 생겼다. 그리고 그 균열을 파고드는 움직임이 이미 시작됐다.