배달대행 플랫폼 '플라이(FLY)' 해킹 4790만 건 유출 주장·개인정보 2차 유출 사건

국내 배달대행 서비스 '플라이(FLY)'의 시스템에 공격자의 비인가 접근이 8월 13일부터 14일 사이 발생했다. 공격자는 인증 없이 읽기·쓰기가 가능했던 파이어베이스(Firebase) 파이어스토어와 클라우드 스토리지 설정을 악용해 데이터에 접근한 것으로 추정됐다. 이는 별도의 침투 기술 없이도 클라우드 데이터베이스 설정 오류만으로 대량의 데이터에 접근할 수 있었다는 점에서 심각한 보안 관리 부실로 지적됐다. 플라이는 전국 단위로 음식점과 배달기사를 연결하는 배달대행 서비스를 운영하는 업체다. 이 사고는 이후 배달업계 전반의 하도급·재위탁 구조에 얽힌 보안 취약점을 드러내는 계기가 됐다.

플라이는 8월 15일 오후 7시 41분경 한국인터넷진흥원(KISA)으로부터 관련 이메일을 받고서야 침해 사고 정황을 인지한 것으로 나타났다. 즉 회사가 자체적으로 이상 징후를 먼저 포착하지 못하고 외부 통보에 의존해 사고를 파악한 셈이었다. 이는 침해 발생 시점인 8월 13~14일과 인지 시점 사이에 상당한 시차가 있었음을 보여준다. 회사는 통보를 받은 뒤 내부 점검에 착수해 비정상 접근 경로를 확인하는 작업을 진행했다. 초기 대응 지연은 이후 피해 확산 규모를 둘러싼 논란의 배경이 됐다.

해커 'exfilar'는 8월 18일 해외 다크웹 해킹포럼에 플라이에서 약 4790만 건, 46.6GB 규모의 데이터를 확보했다고 주장하는 글을 게시했다. 공개된 정보에는 배달기사 1만1629명의 주민등록번호와 평문 비밀번호, 은행계좌가 포함됐다고 주장됐다. 고객 주문정보 약 616만 건에는 배송 주소와 GPS 좌표, 공동현관 비밀번호로 보이는 정보까지 담겨 있었다. 이 밖에 매장 정보 약 8611건과 결제 API 키 7700여 개도 유출됐다고 공격자는 밝혔다. 해커는 관리자와 라이더 정보에도 이름·연락처·계좌·주민등록번호가 포함돼 있다고 덧붙였다.

플라이의 배송 재위탁사인 '플라이팀(플라이)'을 통해 SSG닷컴의 즉시배송 서비스 '바로퀵' 이용 고객 정보까지 유출된 사실이 뒤늦게 드러났다. SSG닷컴은 8월 20일 오후 8시경 재위탁사로부터 유출 통보를 받았고, 다음 날인 21일 오후 6시 50분에야 피해 고객들에게 문자를 발송했다. 일부 고객은 배송지 주소와 공동현관 비밀번호가 함께 유출됐고, 다른 고객은 주소만 유출된 것으로 파악됐다. 현재까지 확인된 피해 고객은 약 40명 수준이었다. SSG닷컴은 해당 재위탁사와의 배송 위탁을 즉시 중단하고 수탁사 관리·감독을 강화하겠다고 밝혔다.

플라이는 개인정보 유출 사실을 공식 확인하고 사과문을 발표했다. 다만 해외 해킹포럼 공격자가 주장한 '4790만 건' 규모에 대해서는 실제와 차이가 크다고 반박하며, 자체 파악한 유출 의심 건수는 약 33만 건이라고 밝혔다. 회사는 사실을 인지한 즉시 비정상적인 접근 경로를 차단하고 추가 피해 방지를 위한 보안조치를 실시했다고 설명했다. 이어 한국인터넷진흥원(KISA), 개인정보보호위원회 및 경찰청 사이버수사대 등 관계기관에 사고를 신고하고 수사를 요청했다고 덧붙였다. 공격자 주장과 회사 발표 사이의 큰 규모 차이를 두고 진위 공방이 이어졌다.

이번 플라이 사고는 앞서 3월 배달의민족(우아한형제들)에서 외주 상담업체 위장취업 직원이 고객정보 555건을 유출해 사적 보복대행 범죄에 악용된 사건과 유사한 구조로 지적됐다. 두 사건 모두 배달 플랫폼 본사가 아닌 외주·재위탁 업체의 관리 소홀에서 비롯됐다는 공통점을 보였다. 개인정보보호위원회는 배달앱과 수탁사에 대한 실태 조사를 확대하겠다는 방침을 밝혔다. 업계에서는 배달 생태계 전반의 다단계 위탁 구조가 개인정보 관리의 사각지대를 만들고 있다는 비판이 제기됐다. 이에 따라 배달 플랫폼의 수탁사 보안 점검 의무화 등 제도 개선 논의가 이어졌다.