대구시 공공배달앱 '대구로' 서버가 해킹을 당해 가맹점주 정산 계좌번호 2만5000여 개가 외부로 유출됐다. 운영사는 사고를 인지하고도 점주들에게 나흘 동안 알리지 않았다.
대구시와 대구로 위탁 운영사 인성데이타에 따르면 침해 사고는 지난 10월 31일 처음 발생했다. 인성데이타는 이튿날인 11월 1일 이상 징후를 확인하고 긴급 점검에 나서 대구경찰청에 수사를 의뢰했다.
11월 2일에는 한국인터넷진흥원(KISA)에 침해사고를 접수했다. 같은 날 회사는 부정 결제와 무단 자금 인출을 막기 위해 대구로 내부 출금 시스템을 일시 중단했다.
그러나 피해 당사자인 점주들이 계좌 정보 유출 사실을 통지받은 시점은 사고 발생 나흘째인 11월 4일이었다. 운영사가 침해 징후를 인지하고 기관 신고와 내부 통제를 진행하는 동안 점주들은 72시간 넘게 잠재적 금융 범죄 위험에 노출됐다.
계좌번호는 예금주 명의와 상호, 사업자 등록 정보 등 공개된 영업 정보와 결합하면 정산금 입금 계좌 변경 사기나 허위 세무조사 빙자 피싱, 불법 자금 이체 등 2차 피해로 이어질 수 있다.
운영사는 현재까지 직접적인 금전 피해는 확인되지 않았다고 밝혔다. 다만 탈취된 계좌 데이터를 정제해 피싱 시나리오를 구성하고 사기 범죄를 실행하기까지는 일정 시차가 걸린다는 점에서 안심하기 어렵다는 지적이 나온다.
운영사는 11월 4일에야 전화나 문자로 정산계좌 변경을 요구하거나 비밀번호를 묻지 않는다는 주의사항을 안내했다.
유출된 계좌번호 2만5000여 개는 대구로가 2021년 8월 출시 이후 확보한 누적 가맹점 수 전체와 일치한다. 현역 가맹점주뿐 아니라 이미 폐업한 점주의 금융 정보까지 함께 유출된 것으로 파악됐다.
개인정보보호법상 거래 관계가 종료되거나 보관 목적을 다한 금융 정보는 별도 분리 보관하거나 지체 없이 파기해야 한다. 그러나 시스템 경로에 그대로 연결해 둔 탓에 해킹 한 번에 전체 이력이 노출되는 구조적 결함이 드러났다.
여기에 운영사 전·현직 직원 250여 명의 시스템 접속 아이디와 비밀번호도 외부로 유출됐다. 가맹점 입점과 관리를 총괄하는 관리자급 계정이 무더기로 털리면서 접근 권한 통제와 퇴사자 계정 말소 등 기초적인 보안 관리가 제대로 작동하지 않았다는 비판이 제기된다.
인성데이타는 인공지능(AI) 기술을 동원한 해킹 세력이 순식간에 데이터를 빼갔다고 주장했다.
대구로는 대구시의 정책 지원에 힘입어 누적 회원 74만 명, 가맹점 2만5000개를 모으며 지역 대표 상생 플랫폼으로 자리 잡았다. 자영업자들은 공공 플랫폼이라는 공신력을 믿고 정산 계좌와 개인정보를 맡겼다.
운영사는 현재 신규 가맹 접수를 전면 중단하고 계정 비밀번호 초기화와 내부 접속 경로 다변화 등 사후 조치를 진행 중이다. 침해 사고 인지 후 점주들에게 즉시 통지하지 않은 늑장 대처는 법적 제재 대상이 될 수 있다.
수수료 절감을 명분으로 점주들을 모았던 공공 플랫폼이 정보 보호와 위기 공지 의무를 저버렸다는 점에서 향후 자영업자 이탈과 브랜드 신뢰도 하락이 불가피할 것으로 관측된다.
