데이터 사회의 그늘… 개인정보 유출 '뒷문' 열린 보안망

이 시간 주요기사

뉴스 > 유통·물류·광고

파파존스·써브웨이·머스트잇, 고객 개인정보 유출 사고
개보위 조사 착수… 수칙 여부 따라 과징금 부과 예정
“개인정보 보호와 보안, 비용 아닌 ‘투자’로 접근해야”

김나윤 기자 기자페이지 + 입력 2025-07-01 11:29:07

▲ 파파존스와 써브웨이, 머스트잇에서 개인정보 유출 사고가 발생하면서 개인정보 보호당국이 조사에 착수했다. OpenAI DALL·E

프랜차이즈 파파존스와 써브웨이, 명품 플랫폼 머스트잇에서 개인정보 유출 사고가 발생하면서 개인정보 보호당국이 조사에 착수했다. 조사 결과 안전조치 미흡이나 권한이 없는 사람에게 개인정보를 접근하게 한 사실이 확인될 경우 과징금이 부과될 전망이다.

개인정보보호위원회(개보위)는 1일 스카이데일리와의 통화에서 “파파존스는 이미 조사에 들어갔으며 써브웨이는 현재 조사 전 단계로 사실관계를 확인 중”라면서 “머스트잇도 역시 이번 달 내 사실관계 확인을 거쳐 조사에 착수할 계획이다”고 밝혔다. 국회 과학기술정보방송통신위원회 최민희 위원장은 써브웨이에서 개인정보 유출 사실을 확인했다고 밝혔다.

최근 데이터 양이 폭증하면서 개인정보 유출 사고도 늘어날 가능성이 크다. 개보위 관계자는 “개인정보 보호와 보안은 이제 비용이 아닌 투자 개념으로 접근해야 한다”며 “AI와 데이터 산업이 확대되는 만큼 개인정보 유출은 곧 기업 신뢰에 직결되고, 결국 경쟁력 유지 차원에서 보안 인력과 시스템에 대한 투자가 필수적이다”고 강조했다.

파파존스와 머스트잇은 개인정보 유출사고와 관련해서 사과했다. 파파존스는 지난달 26일 홈페이지에 “개인정보 노출로 심려를 끼쳐 드려 진심으로 사과드린다”며 “향후 유사 사고 재발을 막기 위해 보안 시스템을 전면 점검하고 추가적인 예방 및 보완 조치를 강화할 예정이다”고 밝혔다.

써브웨이에서도 온라인 주문 시스템을 통한 개인정보 대거 유출 사실이 확인됐다.

한국인터넷진흥원(KISA)로부터 개인정보 유출 정황을 통보받은 머스트잇은 “자체 점검 결과 5월6~14일, 6월9일 두 차례의 비정상 접근 시도가 있었다”고 밝혔다.

해당 인터페이스(API)는 별도 인증 없이 개인정보 일부를 조회할 수 있는 구조였다. 머스트잇은 사고를 인지한 즉시 해당 취약점을 차단하고 전면적인 보안 조치를 완료했다고 밝혔다.

유출 가능성이 있는 개인정보는 회원번호와 아이디, 가입일, 이름, 생년월일, 성별, 휴대전화 번호, e메일, 주소 등 최대 9개 항목이다. 머스트잇은 2차 피해를 막기 위해 “관련 계정의 비밀번호 변경을 권장한다”며 “보이스피싱·스미싱 등 의심스러운 전화나 문자에 각별히 주의하라”고 당부했다.

특히 이번 개인정보 유출은 앞선 파파존스 개인정보유출 사태와 동일한 방식으로 발생했다. 주문 정보의 URL 끝부분 숫자를 임의로 변경하면 다른 고객의 연락처 및 주문정보(픽업매장, 방문포장·매장식사 여부, 주문내역·금액, 요청사항 등)가 노출되는 형식이다. 써브웨이 홈페이지와 모바일 애플리케이션(앱)을 통한 온라인 주문 시스템에서 제3자의 개인정보를 별다른 절차 없이도 확인할 수 있었던 셈이다.

김나윤 기자 nykim@skyedaily.com 기자페이지 +

후원하기

정기 후원
일반 후원
무통장입금: 하나은행 158-910019-39504 스카이데일리
스카이데일리는 온라인 판 스카이데일리닷컴과 32면 대판으로
매일 발행되는 일간종합신문 스카이데일리(조간)를 통해 독자 여러분들과 만나고 있습니다. 후원자 분들께는 지면광고를 하고자 하실 경우
특별 할인가격이 제공됩니다.