배달의민족 등 배달앱 라이더 약 201명의 개인정보가 별도의 인증 절차 없이 외부에 노출된 정황이 확인됐습니다.

오늘(15일) 국내 배달대행 A업체가 운영하는 것으로 추정되는 사이트에서 배달의민족 등 배달앱 라이더 약 201명의 이름과 전화번호가 담긴 데이터 폴더가 로그인 화면 없이 외부에 노출됐습니다.

라이더 아이디와 이름 조합 기준입니다.

해당 사이트는 배달 대행사에서 라이더 관련 정보를 자체 조회하기 위해 개별적으로 만든 사이트로, 라이더가 이름과 전화번호 끝자리, 비밀번호를 입력해 자신의 배달 실적을 조회하는 서비스를 제공하고 있습니다.

그러나 이용자의 인증을 거쳐야 하는 서비스와 달리 개인정보가 저장된 데이터 폴더는 별도의 로그인 화면 없이 열람할 수 있는 상태였던 것으로 파악됐습니다.

이 같은 접근은 별도 해킹 도구나 전문 지식 없이 웹 주소에 특정 경로를 추가하는 것만으로 가능했습니다.

이에 운영 업체의 접근 통제 관리가 미흡했거나 최근 확산하는 생성형 AI 기반 개발 과정에서 보안 설정이 누락됐을 가능성이 제기됩니다.

사이트 운영 주체로 추정되는 A업체는 배달 라이더 모집과 배차, 정산, 관리 등을 담당하는 배달대행 협력사입니다.

배달의민족 측은 해당 사이트가 배달의민족이 제공하거나 관리하는 서비스가 아니며 해당 대행사와 개인정보 위수탁 관계도 아니라는 입장을 밝혔습니다.