배민 라이더 안전교육 [사진=연합뉴스]

배달의민족 라이더 약 201명의 개인정보가 별도의 인증 절차 없이 외부에 노출된 정황이 확인됐다. 유출 경로는 배달의민족·쿠팡이츠 등 주요 배달 플랫폼의 위탁을 받는 배달대행업체가 운영하는 사이트로 추정된다.

15일 연합뉴스 취재를 종합하면, 국내 배달대행 A업체가 운영하는 것으로 추정되는 사이트에서 배달의민족 라이더 약 201명(라이더 아이디·이름 조합 기준)의 이름과 전화번호가 담긴 데이터 폴더가 로그인 화면 없이 외부에 열려 있었다.

이 사이트는 라이더가 이름과 전화번호 끝자리, 비밀번호를 입력해 자신의 배달 실적을 조회하는 서비스를 제공한다. 서비스 자체는 이용자 인증을 거치게 돼 있지만, 개인정보가 저장된 폴더는 인증 없이 열람할 수 있는 상태였던 것으로 파악됐다.

접근 방법은 단순했다. 별도의 해킹 도구나 전문지식 없이 웹주소에 특정 경로를 덧붙이는 것만으로 가능했다. 업체의 접근 통제 관리가 미흡했거나, 최근 확산하는 생성형 AI 기반 개발(바이브 코딩) 과정에서 보안 설정이 빠졌을 가능성이 제기된다.

사이트 운영 주체로 추정되는 A업체는 국내 배달 플랫폼의 위탁을 받아 라이더 모집과 배차, 정산, 관리 등을 맡는 배달대행 기업이다. 다만 해당 사이트는 A업체가 라이더 관련 정보를 자체 조회하려고 따로 만든 것으로, 배달의민족과 개인정보 위·수탁 관계는 아닌 것으로 나타났다.

배달의민족 운영사 우아한형제들 관계자는 "배달의민족이 제공하거나 관리하는 서비스가 아니다"라고 밝혔다.

이번 사례는 보안 전담 인력과 투자 여력이 부족한 중소 업체·대행사의 관리 체계가, AI로 빨라진 취약점 탐지 속도와 넓어진 공격 표면을 따라가지 못하는 현실을 보여준다는 평가가 나온다. AI를 쓰면 비전문 인력도 웹서비스를 쉽게 만들 수 있지만, 접근 권한 설정이나 보안 점검 같은 사후 검증까지 자동으로 갖춰지는 것은 아니다. 그래서 전담 보안 인력이나 점검 체계를 두기 어려운 중소 업체일수록 사각지대가 방치되기 쉽다는 것이 업계의 공통된 지적이다.

“ 저작권자 ⓒ 퍼스널포커스 무단전재 및 재배포 금지 ”