배민 라이더 201명 개인정보 노출 정황과 협력사 보안

배민 라이더 201명의 이름과 전화번호가 외부에서 인증 없이 열람될 수 있었던 정황이 이번 사안의 핵심입니다. 노출 경로는 배달의민족과 쿠팡이츠 등 배달 플랫폼의 위탁을 받는 배달대행업체의 사이트로 추정됩니다. 사이트 운영 주체로 지목된 A업체 대표는 상황을 인지한 뒤 서버를 완전히 닫았으며, 보완하기 전까지 운영을 중단하겠다고 밝혔습니다.

문제가 된 사이트는 배달의민족 라이더가 자신의 배달 실적을 확인하는 서비스를 제공했습니다. 이용 화면에서는 이름과 전화번호 끝자리, 비밀번호를 입력하도록 했지만, 웹주소에 특정 경로를 추가하면 별도의 해킹 도구나 전문 지식 없이 접근할 수 있는 상태였습니다. 입력 절차가 마련돼 있어도 다른 경로의 열람까지 제한하지 못한 정황 때문에 사이트의 접근 통제가 쟁점이 됐습니다.

현재 제시된 원인 설명은 운영 업체의 접근 통제 관리가 미흡했거나, 생성형 인공지능으로 서비스를 개발하는 과정에서 보안 설정이 빠졌을 가능성입니다. 다만 AI를 활용해 해당 사이트를 만들었는지, 어떤 설정이 실제로 빠졌는지는 확인된 사실로 제시되지 않았으므로 두 설명 모두 가능성으로 구분해야 합니다.

노출 대상의 수와 실제 정보 반출 여부도 구분할 필요가 있습니다. 201명은 이름과 전화번호가 노출된 정황이 전해진 라이더의 규모이며, 정보가 외부에서 열람될 수 있었다는 점이 문제로 드러났습니다. 누가 정보를 실제로 가져갔는지, 다른 목적으로 이용했는지까지 확인됐다는 내용은 없으므로 이를 해킹에 의한 정보 탈취가 확정된 사건으로 설명할 수는 없습니다.

어느 서비스에서 발생한 문제인지도 확인 과정에 있습니다. 사이트 운영 주체로 추정되는 A업체는 라이더 모집과 배차, 정산, 관리 등을 맡는 배달대행 협력사로 알려졌으며, 배달의민족 운영사 우아한형제들은 자사가 제공하거나 관리하는 서비스가 아니라고 밝혔습니다. 쿠팡이츠는 해당 업체들이 위탁을 받는 플랫폼으로 언급됐지만, 이번 노출 대상에 쿠팡이츠 라이더도 포함됐다는 사실은 확인되지 않았습니다.