배달 라이더 201명 개인정보 노출 정황…전화번호 등 무방비 열람

[이데일리 박지애 기자] 배달 업체 라이더 200여명의 이름과 전화번호 등 개인정보가 외부에서 손쉽게 열람할 수 있는 상태로 방치된 정황이 드러났다. 배달 플랫폼의 업무를 위탁받은 협력사 사이트에서 보안상 허점이 발견되면서 개인정보 관리체계에 대한 우려가 제기된다.

배민라이더스쿨에서 열린 라이더 안전교육에서 관계자들이 라이더 기초교육을 체험하고 있다. (사진=우아한형제들)

15일 연합뉴스 등에 따르면 국내 배달대행 A업체가 운영하는 것으로 추정되는 웹사이트에서 배달 라이더 약 201명의 개인정보가 별도의 인증 절차 없이 노출된 것으로 파악됐다. 노출된 정보는 라이더의 이름과 전화번호 등으로, 라이더 아이디와 이름 조합을 기준으로 확인된 인원은 201명가량이다.

해당 사이트는 라이더들이 이름과 전화번호 뒷자리, 비밀번호 등을 입력해 자신의 배달 실적을 확인하는 용도로 운영되고 있다. 정상적인 조회 서비스에는 본인 인증이 필요하지만 정작 개인정보가 저장된 데이터 폴더는 로그인 없이도 접근할 수 있었던 것으로 알려졌다.

접근 방식도 간단했다. 별도의 해킹 프로그램이나 전문 기술 없이 웹사이트 주소에 특정 경로를 추가하는 것만으로 개인정보가 담긴 폴더를 열람할 수 있었던 것으로 전해졌다.

이 때문에 사이트 운영 과정에서 접근통제 설정이 제대로 이뤄지지 않았을 가능성이 제기된다. 최근 생성형 인공지능(AI)을 활용해 프로그램을 제작하는 ‘바이브 코딩’ 과정에서 보안 설정이 누락됐을 가능성도 거론되지만 실제 개발 방식은 확인되지 않았다.

이번 사안은 배달 플랫폼의 자체 시스템이 아닌 외부 협력사에서 개인정보가 노출됐을 가능성이 있다는 점에서 주목된다. 플랫폼이 업무를 외부에 위탁하는 과정에서 협력사의 개인정보 보호 수준을 얼마나 철저히 관리하고 있는지도 점검할 필요가 있다는 지적이다.

개인정보 보호법에 따르면 개인정보 처리 업무를 위탁한 사업자는 수탁자의 개인정보 처리 현황을 감독하고 필요한 교육을 실시해야 한다. 다만 이번 사안에서 플랫폼과 협력사 간 구체적인 계약 관계와 책임 범위는 추가 확인이 필요하다.

현재까지 해당 정보가 외부에 노출된 기간이나 실제 제3자의 열람·반출 여부는 확인되지 않았다. 이름과 전화번호가 함께 노출된 만큼 스팸이나 스미싱 등 2차 피해 가능성도 배제할 수 없는 상황이다.