사진=한경DB
사진=한경DB
배달의민족 협력사를 통해 라이더 201명의 개인정보가 별도 인증 절차 없이 외부에 노출된 정황이 확인됐다. 배달 실적을 조회하려면 비밀번호를 입력해야 하지만 정작 개인정보가 담긴 데이터 폴더는 로그인 없이도 열람할 수 있었던 것이다. 배달 플랫폼 협력사의 보안 관리에 허점이 있었을 가능성이 제기된다.

15일 연합뉴스에 따르면 국내 배달대행 A업체가 운영하는 것으로 추정되는 웹사이트에서 라이더들의 이름·전화번호가 담긴 데이터 폴더가 외부에 노출된 것으로 파악됐다.

노출된 개인정보는 라이더 아이디와 이름의 조합을 기준으로 201명분이다. 해당 자료에는 라이더들의 이름·전화번호가 포함된 것으로 확인됐다.

문제의 웹사이트는 라이더들에게 배달 실적 조회 서비스를 제공하는 곳이다. 라이더가 자신의 이름·전화번호 끝자리·비밀번호를 입력하면 배달 실적을 확인할 수 있는 방식이다.

하지만 개인정보가 저장된 데이터 폴더에는 이 같은 인증 절차가 적용되지 않은 것으로 파악됐다. 정상적인 서비스 이용 과정에선 로그인 정보가 필요하다. 개인정보가 담긴 폴더의 경우 별도 로그인 화면을 거치지 않고도 열람할 수 있었다는 것이다.

특히 전문적인 해킹 기술이나 별도의 프로그램을 사용할 필요조차 없었던 것으로 전해졌다. 웹사이트 주소에 특정 경로를 추가하는 방식만으로 개인정보가 저장된 폴더에 접근할 수 있는 상태였기 때문이다.

이 같은 보안 허점이 발생한 원인으로는 사이트 운영 업체의 접근 통제 관리 부실 가능성이 거론된다. 개인정보가 담긴 폴더에 외부 이용자의 접근을 차단하는 설정이 제대로 적용되지 않았을 수 있다는 지적이다.

최근 확산하는 생성형 인공지능(AI) 기반 소프트웨어 개발 방식인 '바이브 코딩'도 또 다른 가능성으로 지목됐다. AI를 활용해 웹사이트를 개발하는 과정에서 개인정보 보호에 필요한 보안 설정이 누락됐을 수 있다는 분석이다.

다만 실제 해당 웹사이트가 바이브 코딩으로 제작됐는지, 이 과정에서 보안 문제가 발생했는지는 확인되지 않았다. 운영 업체의 접근 통제 관리가 미흡했을 가능성과 함께 제기된 추정이다.

개인정보가 노출된 것으로 추정되는 사이트의 운영 주체는 국내 배달대행 A업체는 배달 플랫폼의 위탁을 받아 라이더 모집, 배차, 정산, 관리 등을 담당하는 배달대행 협력사다.

우아한청년들 관계자는 "이번 사안은 특정 배달 대행사에서 라이더 관련 정보를 자체 조회하기 위해 개별적으로 만든 사이트에서 발생한 것으로 파악된다"며 "현재 해당 사이트는 폐쇄됐고 이 사이트는 배달의민족이 제공하거나 관리하는 서비스가 아니다"라고 선을 그었다. 그러면서 "해당 대행사는 당사와 개인정보 위수탁 관계가 아니다"라고 강조했다.

김대영 한경닷컴 기자 kdy@hankyung.com