배민 라이더 201명 개인정보 노출…회사 “사실관계 확인 중”

배달 실적 조회용으로 운영된 것으로 보이는 사이트는 국내 배달대행 A업체가 운영한 것으로 추정되는 사이트로, 해당 사이트의 기능은 라이더 배달 실적 조회였다. 15일 업계 전언에 따르면 이 사이트의 조회 입력 항목은 이름, 전화번호 끝자리, 비밀번호였고, 정상 조회 과정에서는 이용자 인증을 요구했다.

그러나 같은 사이트 내 개인정보 저장 데이터 폴더에는 로그인 절차 없이 접근할 수 있었던 것으로 파악됐다. 노출 위치는 이름·전화번호 포함 데이터 폴더였으며, 별도 인증 없이 외부 열람이 가능한 상태였던 정황이 확인됐다.

이로 인해 배민 라이더 약 201명의 개인정보 노출 정황이 확인됐다. 노출 정보는 이름, 전화번호였고, 인원 집계 기준은 라이더 아이디와 이름 조합이었다.

배달의민족 운영사인 우아한형제들은 관련 사실을 인지한 상태다. 우아한형제들은 구체적 경위를 확인 중이라는 입장이다.

이번 사고는 해킹 도구나 전문적인 침입 기술이 필요하지 않았던 것으로 추정된다. 웹주소에 특정 경로를 덧붙이기만 해도 데이터 폴더에 접근할 수 있는 상태였던 정황이 확인됐다. 다만 개인정보가 외부에 노출된 기간은 아직 확인되지 않았고, 제3자가 이를 열람했는지와 다운로드했는지도 확인되지 않았다.

A업체는 배달 플랫폼의 위탁을 바탕으로 라이더 모집·배차·정산·관리 업무를 수행해 온 배달대행 협력사로 거론된다. 그러나 현시점에 확인된 내용만으로는 배민 자체 시스템이 침해됐다고 단정하기 어렵고, 배민에서 직접 개인정보가 유출됐다고 보기도 어렵다.

이에 따라 사고 경위를 규명하려면 해당 정보가 A업체 사이트에 저장된 과정에 대한 추가 확인이 필요하다. 개인정보 처리 주체가 누구인지에 대한 추가 확인도 필요하며, 개인정보 노출 기간에 대한 추가 확인도 요구된다. 특히 라이더 이름·전화번호를 A업체가 어떤 경로로 확보했는지는 책임 범위를 판단하는 핵심 사안으로 제시된다.

우아한형제들 관계자는 회사가 관련 사안을 인지하고 사실관계를 확인 중이라고 밝혔다. 회사는 현재 구체적인 노출 경위를 파악하고 있으며, 피해 범위도 함께 확인하고 있다.

출처: 아이티데일리 (IT DAILY) · 김병주 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242202

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242202