요청사항에 적은 공동현관 비밀번호, 지금 바꿔야 합니다 배달 앱에 "현관 비밀번호 1234"라고 적어둔 적 있으신가요. 요기요 이용자의 배달 주소와 라이더 요청사항이 외부로 새어나갔습니다. 요청사항에 공동현관 비밀번호를 입력한 고객은 지금 당장 확인이 필요합니다. 이번 유출은 요기요가 직접 일으킨 게 아닙니다. 위탁, 그리고 재위탁 단계에서 생긴 일입니다.
2025년 6월 14일, 배달업무 재수탁업체 플라이의 시스템에 비인가 접근이 발생했습니다. 유출된 정보는 배달 주소지와 라이더 요청사항입니다. 라이더 요청사항에는 공동현관 비밀번호, 배달 방식 요청 등 이용자가 직접 입력한 내용이 담겨 있습니다. 정확한 유출 인원과 규모는 현재 파악 중입니다. 요기요 운영사 위대한상상은 사고 발생 12일 뒤인 26일, 일부 고객에게 개인정보 유출 가능성을 안내했습니다.
요기요는 배달업무를 바로고에 위탁했습니다. 바로고는 그 업무를 다시 플라이에 재위탁했습니다. 사고는 이 세 번째 단계, 즉 요기요와 직접 계약하지 않은 업체에서 발생했습니다. 개인정보 처리 위탁은 원래 수탁업체가 위탁자 동의 없이 제3자에게 다시 맡기는 것이 원칙적으로 제한됩니다. 요기요는 사고 인지 후 바로고를 통한 플라이의 개인정보 처리 재위탁을 즉시 중단했습니다.
배달 플랫폼은 주문 중개를 하고, 실제 배달은 별도 업체에 맡기는 방식이 일반적입니다. 이 과정에서 이용자 개인정보는 플랫폼 → 물류 업체 → 현장 배달 업체 순으로 흘러갑니다. 각 단계마다 정보를 다루는 시스템이 달라지고, 보안 수준도 달라집니다. 이번처럼 재수탁 단계에서 사고가 나도 이용자는 어느 업체에서 정보가 샜는지 사고 전까지 알기 어렵습니다. 배달 앱 이용자의 주소와 출입 정보가 사실상 여러 업체 시스템에 분산 저장되는 구조입니다.
요기요는 개인정보보호위원회에 관련 사실을 신고했습니다. 개인정보보호법상 개인정보 유출 사실을 안 날로부터 72시간 이내에 당국에 신고하도록 규정하고 있습니다. 그러나 이번 사고에서 실제로 몇 명의 정보가 유출됐는지는 아직 확인되지 않았습니다. 유출 가능성이 "확인됐다"는 표현을 쓴 것도, 확정이 아닌 현재 조사 중인 상황임을 반영합니다. 신고와 재위탁 중단이 이뤄졌지만, 이미 외부로 나간 정보를 되돌릴 수단은 없습니다.
요기요는 공동현관 비밀번호를 요청사항에 적은 고객에게 비밀번호 변경을 권고했습니다. 이는 유출된 정보를 무력화하는 가장 직접적인 방법입니다. 다만 이번 유출에 이름, 전화번호, 결제 정보가 포함됐는지는 아직 공개되지 않았습니다. 배달 주소만으로도 거주지 특정이 가능하기 때문에, 출입 비밀번호를 바꾸는 것이 현재로서 취할 수 있는 실질적 조치입니다.
요청사항에 공동현관 비밀번호를 입력한 적 있다면, 지금 바로 비밀번호를 변경하시기 바랍니다. 피해 신고나 추가 문의는 개인정보보호위원회 개인정보 침해 신고센터(privacy.go.kr, 전화 118)를 통해 접수할 수 있습니다. 요기요 고객센터(1644-0327)에서도 유출 여부 관련 문의가 가능합니다. 배달 앱 요청사항란에는 배달 완료 후에도 정보가 업체 시스템에 남습니다. "현관 앞에 놓아주세요" 한 줄 옆에 적어둔 비밀번호가, 어느 업체 서버에 있었는지 이용자는 몰랐습니다.
