핵심 의혹: 쿠키 스터핑

피아의 브라우저 확장 프로그램은 사용자가 피아 쿠폰을 클릭하거나 확장 프로그램과 상호작용하지 않은 경우에도, 소매 웹사이트의 결제 과정 중에 자동으로 제휴 트래킹 쿠키를 심도록 설계되었습니다 . 즉, 소비자가 독자적으로 쇼핑을 하거나 와이어커터(Wirecutter) 같은 다른 제휴 프로그램을 통해 방문했더라도, 피아가 그 구매에 대한 크레딧을 가져갈 수 있었던 것입니다 . 독립 연구원 벤 에델만(Ben Edelman)은 피아 코드 자체에서 enable_coupon_auto_drop이라는 기능 플래그를 식별했으며, 블룸버그는 이 기능이 2025년 12월 10일에 켜지고 2026년 7월 7일에 꺼졌다고 보도했습니다 .

뉴욕포스트가 인용한 법률 전문가들은 이러한 행위가 연방 사기(wire fraud)에 해당할 수 있으며, 최대 20년의 징역형에 처해질 수 있다고 경고합니다 .

창업자들은 언제 알았나

피아는 2026년 7월, 이 문제를 '최근 24시간 이내'에 알게 되었다고 주장하며 '소프트웨어 버그' 탓으로 돌렸습니다 . 그러나 블룸버그의 2026년 8월 추가 보도는 이 주장을 정면으로 반박합니다 .

유출된 내부 슬랙 메시지에 따르면, 2025년 12월—블룸버그가 첫 문의를 하기 최소 7개월 전—공동 창업자 피비 게이츠와 소피아 키안니는 엔지니어 및 임원들과 쿠키 스터핑 기능에 대해 적극적으로 논의하고 있었습니다 .

12월의 한 대화에서 게이츠는 개발자들에게 자동 쿠키 드롭 기능이 제대로 작동하는지 확인해 달라고 요청하며, 기능이 정상 작동한다면 **"모든 거래를 캡처해야 한다"**고 적었습니다 . 키안니는 내부 메시지에서 **"이 쿠키들이 계속 드롭될 수 있도록 우리가 할 수 있는 모든 것을 하면 좋겠다"**고 말한 것으로 알려졌습니다 .

내부 커뮤니케이션은 두 창업자가 이러한 행위를 가능하게 한 기능을 직접 추진했음을 보여줍니다. 이는 우발적이거나 불량한 버그가 아니라 의도적으로 만들고 모니터링한 기능이었습니다 .

핵심 수익원

쿠키 스터핑은 피아의 성장에 변두리적인 요소가 아니라 핵심적인 수익원이었습니다 .

• 피아의 데이터 과학자는 2026년 6월 회사가 크레딧을 주장한 총상품가치(GMV)의 약 51% 가 이 관행에서 비롯된 것으로 추정했습니다 .

• 블룸버그가 확인한 내부 차트에 따르면, 부정한 귀속 관행이 피아 수익의 상당 부분을 차지했습니다 .

• 블룸버그는 피아가 자동 쿠키 드롭 기능을 비활성화한 후 일일 수익이 크게 감소했다고 보도했습니다 .

• 게이츠가 직원들에게 쿠키 드롭 기능을 확인해 달라고 요청한 지 불과 40일 후, 피아는 11배의 매출 성장을 자랑하며 3550만 달러 규모의 시리즈 A 투자 유치를 발표했습니다 .

피해를 본 소매업체

블룸버그는 쿠키 스터핑이 다음을 포함한 여러 주요 소매업체에 영향을 미쳤다고 보도했습니다:

• 나이키 (Nike)
• 노드스트롬 (Nordstrom)
• 갭 (The Gap)

이들 회사는 피아가 유발하지 않은 판매에 대해 피아가 부당하게 제휴 커미션을 청구당했습니다 . 보도 시점 현재 이들 소매업체 중 어느 곳도 이 스캔들에 대해 공개적으로 논평하지 않았습니다 .

피아의 대응

블룸버그의 추가 보도 이후, 피아는 모든 거래를 검토하고 자신에게 잘못 귀속된 판매를 취소하겠다고 밝혔습니다. 회사는 제휴 파트너들에게 거래 취소를 시작했다고 말했습니다 .

기타 논란들

FTC 소비자 불만

블룸버그 보도가 나오기 몇 달 전부터 FTC(Federal Trade Commission, 미국 연방거래위원회)는 피아에 대한 소비자 불만을 접수하고 있었던 것으로 나타나, 규제 당국이 이미 회사의 관행에 대한 정보를 입수하고 있었음을 시사합니다 .

직원 이탈과 내부 갈등

유출된 슬랙 메시지는 내부 긴장감을 드러냅니다. 직원들이 회사 내부에서 이 관행에 대해 우려를 제기했다는 보고가 있습니다 . 스캔들이 확대된 후, 퓨처리즘(Futurism)은 게이츠가 회사 내부에 정보를 유출하는 **"내부 배신자"**가 있다고 믿고 있다고 보도했습니다 .

비밀 데이터 수집

2025년 11월, 포춘(Fortune)은 4명의 사이버보안 연구원들이 피아의 브라우저 확장 프로그램이 사용자가 방문한 모든 웹 페이지의 스냅샷을 캡처하고 있었다고 발견했다고 보도했습니다. 여기에는 은행 명세서와 개인 이메일 같은 매우 민감한 정보가 포함된 페이지도 포함되어 있어, 회사가 공개한 것보다 훨씬 많은 데이터를 수집한 것으로 드러났습니다 .

제휴 플랫폼 정지

2026년 7월 블룸버그의 첫 보도 이후, 피아는 주요 제휴 및 인플루언서 마케팅 플랫폼인 임팩트닷컴(Impact.com) 으로부터 서비스 정지 조치를 받았습니다 .

요약

핵심 의혹: 쿠키 스터핑

피아의 브라우저 확장 프로그램은 사용자가 피아 쿠폰을 클릭하거나 확장 프로그램과 상호작용하지 않은 경우에도, 소매 웹사이트의 결제 과정 중에 자동으로 제휴 트래킹 쿠키를 심도록 설계되었습니다 . 즉, 소비자가 독자적으로 쇼핑을 하거나 와이어커터(Wirecutter) 같은 다른 제휴 프로그램을 통해 방문했더라도, 피아가 그 구매에 대한 크레딧을 가져갈 수 있었던 것입니다 . 독립 연구원 벤 에델만(Ben Edelman)은 피아 코드 자체에서 enable_coupon_auto_drop이라는 기능 플래그를 식별했으며, 블룸버그는 이 기능이 2025년 12월 10일에 켜지고 2026년 7월 7일에 꺼졌다고 보도했습니다 .

뉴욕포스트가 인용한 법률 전문가들은 이러한 행위가 연방 사기(wire fraud)에 해당할 수 있으며, 최대 20년의 징역형에 처해질 수 있다고 경고합니다 .

창업자들은 언제 알았나

피아는 2026년 7월, 이 문제를 '최근 24시간 이내'에 알게 되었다고 주장하며 '소프트웨어 버그' 탓으로 돌렸습니다 . 그러나 블룸버그의 2026년 8월 추가 보도는 이 주장을 정면으로 반박합니다 .

유출된 내부 슬랙 메시지에 따르면, 2025년 12월—블룸버그가 첫 문의를 하기 최소 7개월 전—공동 창업자 피비 게이츠와 소피아 키안니는 엔지니어 및 임원들과 쿠키 스터핑 기능에 대해 적극적으로 논의하고 있었습니다 .

12월의 한 대화에서 게이츠는 개발자들에게 자동 쿠키 드롭 기능이 제대로 작동하는지 확인해 달라고 요청하며, 기능이 정상 작동한다면 **"모든 거래를 캡처해야 한다"**고 적었습니다 . 키안니는 내부 메시지에서 **"이 쿠키들이 계속 드롭될 수 있도록 우리가 할 수 있는 모든 것을 하면 좋겠다"**고 말한 것으로 알려졌습니다 .

내부 커뮤니케이션은 두 창업자가 이러한 행위를 가능하게 한 기능을 직접 추진했음을 보여줍니다. 이는 우발적이거나 불량한 버그가 아니라 의도적으로 만들고 모니터링한 기능이었습니다 .

핵심 수익원

쿠키 스터핑은 피아의 성장에 변두리적인 요소가 아니라 핵심적인 수익원이었습니다 .

• 피아의 데이터 과학자는 2026년 6월 회사가 크레딧을 주장한 총상품가치(GMV)의 약 51% 가 이 관행에서 비롯된 것으로 추정했습니다 .

• 블룸버그가 확인한 내부 차트에 따르면, 부정한 귀속 관행이 피아 수익의 상당 부분을 차지했습니다 .

• 블룸버그는 피아가 자동 쿠키 드롭 기능을 비활성화한 후 일일 수익이 크게 감소했다고 보도했습니다 .

• 게이츠가 직원들에게 쿠키 드롭 기능을 확인해 달라고 요청한 지 불과 40일 후, 피아는 11배의 매출 성장을 자랑하며 3550만 달러 규모의 시리즈 A 투자 유치를 발표했습니다 .

피해를 본 소매업체

블룸버그는 쿠키 스터핑이 다음을 포함한 여러 주요 소매업체에 영향을 미쳤다고 보도했습니다:

• 나이키 (Nike)
• 노드스트롬 (Nordstrom)
• 갭 (The Gap)

이들 회사는 피아가 유발하지 않은 판매에 대해 피아가 부당하게 제휴 커미션을 청구당했습니다 . 보도 시점 현재 이들 소매업체 중 어느 곳도 이 스캔들에 대해 공개적으로 논평하지 않았습니다 .

피아의 대응

블룸버그의 추가 보도 이후, 피아는 모든 거래를 검토하고 자신에게 잘못 귀속된 판매를 취소하겠다고 밝혔습니다. 회사는 제휴 파트너들에게 거래 취소를 시작했다고 말했습니다 .

기타 논란들

FTC 소비자 불만

블룸버그 보도가 나오기 몇 달 전부터 FTC(Federal Trade Commission, 미국 연방거래위원회)는 피아에 대한 소비자 불만을 접수하고 있었던 것으로 나타나, 규제 당국이 이미 회사의 관행에 대한 정보를 입수하고 있었음을 시사합니다 .

직원 이탈과 내부 갈등

유출된 슬랙 메시지는 내부 긴장감을 드러냅니다. 직원들이 회사 내부에서 이 관행에 대해 우려를 제기했다는 보고가 있습니다 . 스캔들이 확대된 후, 퓨처리즘(Futurism)은 게이츠가 회사 내부에 정보를 유출하는 **"내부 배신자"**가 있다고 믿고 있다고 보도했습니다 .

비밀 데이터 수집

2025년 11월, 포춘(Fortune)은 4명의 사이버보안 연구원들이 피아의 브라우저 확장 프로그램이 사용자가 방문한 모든 웹 페이지의 스냅샷을 캡처하고 있었다고 발견했다고 보도했습니다. 여기에는 은행 명세서와 개인 이메일 같은 매우 민감한 정보가 포함된 페이지도 포함되어 있어, 회사가 공개한 것보다 훨씬 많은 데이터를 수집한 것으로 드러났습니다 .

제휴 플랫폼 정지

2026년 7월 블룸버그의 첫 보도 이후, 피아는 주요 제휴 및 인플루언서 마케팅 플랫폼인 임팩트닷컴(Impact.com) 으로부터 서비스 정지 조치를 받았습니다 .

요약