[배달의민족 라이더] 배달대행업체 실적조회 사이트서 라이더 201명 이름·전화번호 로그인 없이 노출…배민 “자사 서비스 아냐”_2026년 10월

국내 한 배달대행업체(A업체)가 운영한 것으로 추정되는 라이더 배달실적 조회 사이트에서 라이더 약 201명의 이름·전화번호가 담긴 데이터 폴더가 로그인 없이 외부에서 열람 가능했던 정황이 확인됐습니다. '배민 라이더' 정보 유출로 알려졌지만, 배달의민족 운영사 우아한형제들은 "배민이 제공·관리하는 서비스가 아니며 대행사에 라이더 정보를 제공한 적도 없다"고 선을 그었습니다.

□  개요 

   2026년 10월 15일 업계에 따르면, 배달대행 A업체가 운영한 것으로 추정되는 사이트에서 라이더 약 201명의 이름과 전화번호가 담긴 데이터 폴더가 외부에 노출된 정황이 확인됐습니다.
    이 사이트는 라이더가 이름, 전화번호 끝자리, 비밀번호를 입력해 자신의 배달 실적을 조회하는 용도였습니다. 실적 조회에는 인증이 필요했지만, 개인정보가 저장된 데이터 폴더는 웹주소 뒤에 특정 경로만 덧붙이면 로그인 없이 열 수 있었습니다. 별도의 해킹 기술이나 프로그램은 필요하지 않았습니다. 노출 인원(약 201명)은 라이더 아이디와 이름 조합을 기준으로 추정한 수치입니다.
    A업체는 배달의민족·쿠팡이츠 등 플랫폼의 라이더 모집, 배차, 정산, 관리를 맡는 협력 배달대행사입니다. 우아한형제들은 "특정 배달대행사가 라이더 관련 정보를 자체 조회하려고 개별적으로 만든 사이트에서 발생한 것으로 파악된다"며, 해당 대행사와 개인정보 위수탁 관계가 아니고 노출된 라이더도 배민 전속이 아닌 여러 플랫폼에서 활동하는 라이더라고 설명했습니다. 해당 사이트는 현재 폐쇄됐습니다.

 

□  사고내용 요약  

    1. 회사명 : 배달대행 A업체(업체명 미공개) / 관련 플랫폼 : 배달의민족(우아한형제들)
    2. 사고유형
        - 라이더 실적조회 사이트의 데이터 폴더 접근 통제 미흡(URL 경로 직접 접근)으로 인한 개인정보 외부 노출
    3. 유출규모
        - 라이더 약 201명(라이더 아이디·이름 조합 기준 추정)
    4. 유출항목(총 2개)
        - 신원정보 : 이름
        - 연락처 : 전화번호
        - (참고) 사이트에는 라이더 아이디·배달 실적 정보도 있었으나 노출 여부는 확인되지 않음

    5. 특이사항
        - 해킹이 아니라 웹주소에 경로만 붙이면 열리는 데이터 폴더였던 접근 통제 부재가 원인으로 지목됨
        - 로그인 화면은 있었지만 개인정보 파일이 저장된 폴더 자체는 인증 없이 열려 있어, 겉으로 보이는 보안과 실제 보안이 달랐음
        - 접근 권한 설정 누락이나 생성형 AI를 활용한 개발 과정에서 보안 설정이 빠졌을 가능성도 제기됐으나 원인은 확인되지 않음(디지털데일리)
        - 배민은 "자사 서비스가 아니며 대행사에 라이더 정보를 제공한 적 없고, 위수탁 관계도 아니다"라고 밝혀, A업체가 라이더 정보를 어떻게 확보했는지가 책임 범위를 가를 쟁점으로 남음
        - 노출된 라이더는 배민 전속이 아닌, 쿠팡이츠 등 여러 플랫폼에서 활동하는 라이더라고 배민은 설명
        - 노출 기간, 제3자의 실제 열람·다운로드 여부, A업체의 입장과 당국 신고 여부는 공개되지 않음

□  사고대응 타임라인  

    - 노출 시점
        . 시점 미공개(데이터 폴더가 언제부터 외부에 열려 있었는지 미확인)
    - 2026년 10월 15일
        . 배달대행 A업체 추정 사이트에서 라이더 약 201명 이름·전화번호 노출 정황 확인, 언론 보도
        . 우아한형제들, 오전 "사안을 인지하고 사실관계를 확인 중" → 오후 "특정 대행사가 자체 조회용으로 만든 사이트, 배민 서비스 아님" 입장
        . 해당 사이트 폐쇄
    - 진행 중
        . 노출 경로·범위, 제3자 열람 여부 확인 필요

□  개인정보 유출 관련 홈페이지 안내  

우아한형제들(배달의민족) 입장(언론 보도 기준)
※ 2026년 10월 15일 기준 배달대행 A업체와 배달의민족의 별도 개인정보 유출 안내 공지는 확인되지 않았습니다.

- 이번 사안은 특정 배달대행사에서 라이더 관련 정보를 자체 조회하기 위해 개별적으로 만든 사이트에서 발생한 것으로 파악됩니다.
- 해당 사이트는 배민이 제공하거나 관리하는 서비스가 아니며, 현재 폐쇄됐습니다.
- 당사는 해당 대행사에 라이더 개인정보를 제공한 사실이 없으며, 해당 대행사와 개인정보 위수탁 관계가 아닙니다.
- 노출된 라이더는 배민 전속이 아니라 쿠팡이츠 등 여러 플랫폼에서 활동하는 라이더입니다.

□  대응내역  

    - (배달대행 A업체) 해당 실적조회 사이트 폐쇄(공식 입장 미공개)
    - (우아한형제들) 사실관계 확인 후 "자사 서비스 아님, 라이더 정보 제공 사실 없음, 위수탁 관계 아님" 입장 발표
     ※ A업체명, 노출 기간, 제3자 열람·다운로드 여부, 라이더 정보 확보 경로, 라이더 개별 통지 여부, 개인정보보호위원회 신고 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 개인정보 파일은 웹에서 직접 접근 가능한 경로(공개 폴더)에 두지 말고, 서버 내부 저장소에 보관 후 인증된 요청에만 제공
        - 웹서버 디렉터리 목록 노출 차단, 파일 직접 접근 URL에 대한 인증·권한 검증 적용
        - 이름+전화번호 끝자리 같은 추측 가능한 정보만으로 로그인하는 방식 대신, 강한 인증 방식 적용
        - AI 도구로 만든 코드도 배포 전 보안 점검(접근 통제, 공개 경로 확인) 의무화

    2. 관리적 조치
        - 배달대행사가 라이더 정보를 수집·보관하는 근거와 범위를 명확히 하고, 개인정보처리방침에 공개
        - 플랫폼은 협력 대행사의 라이더 정보 처리 실태를 점검하고, 계약에 보안 의무 명시
        - 노출 사실이 확인되면 대상 라이더에게 개별 통지하고 관계기관에 신고
        - 라이더 피해 예방 : 배달 플랫폼·대행사·정산 담당을 사칭한 문자·전화의 링크 클릭이나 개인정보·계좌 입력 요구에 응하지 않기, 의심 연락은 소속 대행사·플랫폼 공식 고객센터로 재확인

□  관련기사(출처)  

• 라이더 201명 개인정보 유출…배민 “정보 제공한 적 없다” - 한국경제TV
• “로그인도 필요 없었다”…라이더 201명 개인정보 노출 정황 - 디지털데일리
• 배달 라이더 201명 개인정보 '무방비'…배민 “우리 서비스 아냐” - 파이낸셜뉴스
• 배민 라이더 201명 개인정보 노출…회사 “사실관계 확인 중” - 아이티데일리

감사합니다.