배달 플랫폼 플라이 개인정보 유출…33만건 vs 4790만건 공방

무슨 일이 있었나

국내 배달 플랫폼 플라이(FLY)를 운영하는 주식회사 플라이가 개인정보 유출 사실을 공식 인정하고 사과문을 냈다. 회사가 밝힌 유출 의심 건수는 약 33만 건이다. 반면 해외 해킹포럼에 데이터를 올린 공격자는 4,790만 건 규모라고 주장하고 있고, 플라이 측은 이 수치가 사실과 다르다는 입장이다.

숫자만 놓고 보면 격차가 145배에 달한다. 이런 간극은 국내외 유출 사고에서 드물지 않게 반복되는 패턴이다. 공격자는 협상력과 판매가를 높이기 위해 로그·중복 레코드·테스트 데이터까지 모두 합산해 '건수'를 부풀리는 경우가 많고, 반대로 기업은 실제 개인을 특정할 수 있는 유효 계정 기준으로만 집계해 최소치를 발표하려는 유인이 있다. 어느 쪽 숫자도 그대로 믿기 어렵다는 것이 이 단계에서의 현실적인 판단이다.

왜 지금 중요한가

배달 앱은 유출 시 피해 성격이 특히 고약한 서비스다. 이메일과 비밀번호만 새는 일반 웹 서비스와 달리, 배달 플랫폼에는 주소·연락처·주문 이력이 함께 쌓인다. 즉 "이 사람이 어디 사는지, 언제 집에 있는지, 무엇을 자주 시키는지"까지 하나의 레코드에 묶여 있다는 뜻이다. 이 조합은 보이스피싱과 스미싱 시나리오의 정교함을 크게 끌어올린다.

최근 국내에서는 통신·유통·플랫폼 업계를 가리지 않고 대형 유출과 침해 사고가 잇따랐다. 그 흐름 속에서 이번 사건은 규모 자체보다 "중견·중소 플랫폼의 보안 체력"이라는 구조적 문제를 다시 드러낸다. 대형 사업자는 그나마 전담 보안 조직과 침해 대응 체계를 갖추고 있지만, 성장 단계의 플랫폼은 개발 인력 대비 보안 인력 비율이 극단적으로 낮은 경우가 흔하다. 사고가 터진 뒤에야 로그 보존 기간이 짧아 유출 규모조차 정확히 산정하지 못하는 상황이 반복되는 이유다.

33만 건과 4,790만 건, 왜 이렇게 벌어지나

두 숫자를 조금 더 뜯어보면 몇 가지 가능성이 있다.

첫째, 집계 단위의 차이다. 회사는 '개인정보 주체 수'로 세고, 공격자는 '데이터베이스 행(row) 수'로 셀 수 있다. 주문 한 건마다 행이 생기는 테이블이라면, 이용자 33만 명이 수천만 행을 만들어내는 것은 산술적으로 어렵지 않다.

둘째, 데이터 자체의 진위 문제다. 해킹포럼에 올라오는 매물 중에는 과거 다른 사고에서 유출된 데이터를 재포장하거나, 일부 샘플만 진짜이고 나머지는 부풀린 이른바 '리패키징' 사례가 적지 않다. 셋째, 회사의 조사 범위가 아직 초기 단계일 가능성이다. 초동 발표 수치가 이후 조사에서 상향 조정되는 사례는 국내외를 막론하고 흔하게 나타난다.

이용자 입장에서 지금 해야 할 일

기업 발표를 기다리는 동안에도 개인이 할 수 있는 방어는 명확하다.

• 동일 비밀번호 재사용을 끊는 것이 최우선이다. 배달 앱 계정 비밀번호를 이메일·금융 서비스와 공유하고 있었다면 즉시 변경해야 한다. 크리덴셜 스터핑(유출된 아이디·비밀번호 조합을 다른 사이트에 자동 대입하는 공격)은 유출 직후 가장 먼저 시도되는 수법이다.
• 2단계 인증을 지원하는 서비스는 전부 켜 둔다.
• 배달·택배·환불을 사칭한 문자와 전화를 당분간 더 의심한다. 유출된 주문 이력을 그대로 읊는 사기 전화는 실제로 존재하며, 정보의 구체성 때문에 속기 쉽다.
• 앱에 등록된 결제 수단과 저장된 배송지를 점검하고, 쓰지 않는 주소는 삭제한다.

업계에는 무엇이 달라지나

국내 개인정보보호법 체계에서 유출 사고는 신고 의무와 정보주체 통지 의무를 수반하며, 안전조치 의무 위반이 확인되면 과징금 부과로 이어질 수 있다. 실제 제재 수위는 조사 결과에 따라 달라지겠지만, 최근 몇 년간 규제 기관이 매출 연동 과징금 기조를 강화해 온 흐름을 감안하면 플랫폼 사업자의 보안 투자 비용 계산이 달라질 가능성이 있다.

더 근본적인 변화는 소비자 신뢰 쪽에서 온다. 배달 시장은 이미 소수 대형 사업자가 점유율을 나눠 가진 성숙 시장이고, 후발 주자가 파고들 여지는 가격과 신뢰뿐이다. 유출 사고 한 번은 마케팅비 수백억 원으로도 되사기 어려운 자산을 깎아먹는다. 이번 사건이 규모 논란으로만 소비되지 않고, 유출 범위 산정과 통지 절차를 얼마나 투명하게 공개하느냐가 결국 회사의 회복 속도를 가를 것으로 보인다.

참고 자료

• [단독] 플라이, 개인정보 유출 공식 확인…"의심 건수 약 33만건" (데일리시큐)