배달의민족 라이더 약 201명의 이름과 전화번호가 담긴 개인정보 폴더가 별도의 인증 절차 없이 외부에서 열람 가능한 상태였던 정황이 드러났다. 해당 정보는 배달의민족과 쿠팡이츠 등 주요 배달 플랫폼 업무를 위탁받은 배달대행업체가 운영하는 것으로 추정되는 사이트에서 확인됐다.
15일 확인된 내용에 따르면 국내 배달대행업체 A사가 운영하는 것으로 보이는 웹사이트에서 배달의민족 라이더 약 201명의 정보가 노출됐다. 대상자는 라이더 아이디와 이름을 조합해 파악했으며, 데이터 폴더에는 이름과 전화번호가 포함돼 있었던 것으로 알려졌다.
이 사이트는 배달의민족 라이더가 이름과 전화번호 뒷자리, 비밀번호를 입력한 뒤 자신의 배달 실적을 확인할 수 있도록 만들어진 서비스다. 하지만 정상적인 이용자 인증이 필요한 화면과 달리 개인정보가 보관된 폴더는 로그인 절차 없이 접근할 수 있었던 것으로 파악됐다.
특별한 해킹 프로그램이나 고도의 전문지식 없이 웹주소 뒤에 특정 경로를 덧붙이는 방식만으로 접근이 가능했던 것으로 전해졌다. 이에 따라 운영 과정에서 접근 권한 설정이 제대로 이뤄지지 않았거나, 최근 확산된 생성형 인공지능 활용 개발 과정에서 보안 설정이 빠졌을 가능성이 거론된다.
A사는 국내 배달 플랫폼의 업무를 위탁받아 라이더 모집과 배차, 정산, 관리 등을 맡는 배달대행업체로 알려졌다. 다만 이번 사이트는 A사가 라이더 정보를 자체적으로 확인하기 위해 별도로 구축한 것으로, 배달의민족과 직접적인 개인정보 처리 위·수탁 관계에 있는 서비스는 아닌 것으로 확인됐다.
배달의민족 운영사 우아한형제들 측은 해당 사이트가 배달의민족이 제공하거나 관리하는 서비스가 아니라고 설명했다.
이번 사건은 보안 인력과 투자 여력이 상대적으로 부족한 중소 배달대행업체의 관리 체계가 인공지능으로 빨라진 취약점 발견 속도를 따라가지 못하는 현실을 보여준다는 지적을 낳고 있다. AI를 이용하면 비전문가도 웹서비스를 빠르게 구축할 수 있지만, 접근 권한 관리와 보안 점검까지 자동으로 이뤄지는 것은 아니기 때문이다.
특히 별도의 보안 담당자나 정기적인 점검 체계를 마련하기 어려운 업체에서는 개발 이후의 검증 절차가 빠지면서 정보가 노출되는 사각지대가 생길 수 있다는 분석이다.
보안업계에서는 AI 기반 인터넷 스캐닝 기술의 발전으로 이와 같은 설정 오류와 정보 노출 사례가 자동으로 발견되는 경우가 늘고 있다고 설명했다. 웹서비스 구축 속도뿐 아니라 취약한 시스템을 찾아내는 속도 역시 빨라진 만큼, 기업 내부뿐 아니라 계열사와 협력사, 대행업체가 운영하는 외부 서비스까지 포함한 관리가 필요하다는 것이다. 자율적인 점검에만 의존하기보다 국가 차원의 선제적인 대응 체계를 마련해야 한다는 의견도 제기됐다.
A업체 대표는 해당 사실을 파악한 뒤 서버를 전면 폐쇄했으며, 보완 작업이 끝날 때까지 사이트 운영을 중단하겠다고 밝혔다.
댓글
0