[8월14일]배달대행업체 ‘주문완료문자’ URL 조작 땐 주문자 개인정보 줄줄 샌다

“○○공원 건너편, 건물 출입문 번호가 1***#인 △△빌라 사는 스물세 살 헤어디자이너 박**. 언제 혼자 있을 때 010-4***-9***으로 전화할까. 가기 전에 p***@gmail.com으로 e메일을 보낼까….”

지난 4일 한 개인 블로그에 올라온 글의 일부다. 글쓴이는 “특정인의 개인정보가 한 배달대행업체가 보낸 주문완료문자에 첨부된 ‘http://*****’ 형식의 인터넷정보위치(URL)를 통해 손쉽게 파악될 수 있다”며 “위에 열거한 이름, 주소, 휴대전화번호, e메일 주소는 각기 다른 사람들의 것이긴 하지만 실제로 존재하는 개인정보들”이라고 주장했다.

그는 배달대행업체가 보낸 주문완료문자 URL로 특정인의 개인정보를 알 수 있고, 이는 표적범죄에 악용될 수도 있다고 경고했다.

배달대행업체의 이런 URL 공개가 위법한지 방송통신위원회가 검토에 들어간 것으로 14일 확인됐다. 문제가 된 ㄱ사는 모바일 기기로 음식 주문을 받는 배달 애플리케이션(앱) 업체가 아닌 음식을 실제 배달하는 배달대행업체다. 배달 앱을 통해 ㄱ사와 제휴를 맺고 있는 음식점에 배달 주문을 넣으면, ㄱ사가 고객에게 ‘주문이 완료됐다’는 내용의 글과 함께 문자에 URL을 함께 넣어 보냈다. URL을 누르면 주문자와 주문 내역, 배달 주소, 주문자가 사용한 앱까지도 파악할 수 있게 돼 있었다.

문제는 URL을 일부 조작하면 본인이 아닌 타인의 이름과 주소, 주문내역까지 확인이 가능할 수도 있다는 점이다. 글쓴이는 처음에는 자세한 파악 방법을 글에 함께 적었으나, 이 문제가 알려진 뒤 자세한 내용은 2차 피해가 우려된다며 삭제했다.

해당 글의 조회수가 늘어나자 개인정보 유출 및 표적범죄에 대한 불안감을 표하는 사람들이 늘어났다. 혼자 자취 중인 여성 김모씨(32)는 이 글을 보고 “배달대행업체가 택배서비스까지 한다고 하는데 개인정보가 유출될까 걱정된다”고 말했다. 그러자 배달 앱 업체들이 부랴부랴 사태 파악에 나서 개인정보를 유출하게 된 배달대행업체가 ㄱ사임을 파악했다.

ㄱ사 관계자는 “문자 서비스에서 생각지 못한 결함이 발견돼 놀랐다”며 “즉각 조치를 취했다”고 말했다. ㄱ사는 발송됐던 주문 내역들을 뒤늦게 파기조치하고, 주문안내문자 암호화 처리를 완료해 더 이상 타인의 주문을 볼 수 없도록 했다고 밝혔다.

한 배달 앱 업체는 자사에 등록된 음식점 업주들에게 ㄱ사와의 제휴 중지를 강력히 권고하는 후속조치를 취했다고 밝히기도 했다.

방통위 관계자는 “배달 앱 업체는 ‘정보통신서비스 제공자’라 방통위의 조사 대상인데, 배달대행업체 ㄱ사도 방통위 소관 사업자인지 검토 후 조사 개시 여부를 결정할 것”이라며 “정보통신망법을 위반한 것으로 의심이 가거나 이용자 피해가 예상되면 즉시 시정조치를 하겠다”고 말했다.

ㄱ사의 후속 조치가 취해졌지만 배달을 주문하는 개인이 인지하지 못하는 사이에 개인정보가 유출되는 상황이 또 벌어질 것이란 우려도 나온다. 임종인 고려대 정보보호대학원 교수는 “앞으로도 소비자가 피해를 입기 전에는 배달대행업체의 시스템을 일일이 알기는 어려울 것”이라며 “인터넷진흥원에서 실태조사를 통해 해당 업체에 시정명령을 내리고, 전수조사를 통해 추가적인 피해를 조사할 수 있다”고 말했다.

윤승민·유혜진 기자 mean@kyunghyang.com