[대구로] 대구시 공공배달앱 서버 해킹으로 운영사 직원 계정·비밀번호 250여 건, 가맹점주 계좌번호 2만 5천여 개 유출…늑장 통보 논란_2026년 10월

대구시 공공배달앱 ‘대구로’ 서버가 2026년 10월 31일 외부 침입을 당했다. 운영사 인성데이타 전·현직 직원 약 250명의 시스템 접속 계정·비밀번호와 폐업 점포를 포함한 가맹점주 계좌번호 약 2만 5천 개가 유출됐다. 운영사는 가맹점 가입 처리 시스템이 침투 경로였던 것으로 보고 있다. 가맹점주에게 구체적인 내용이 문자로 전달된 것은 나흘 뒤인 11월 4일이어서 늑장 통보 논란이 일었다.

□  개요 

   대구시 공공배달앱 ‘대구로’의 서버가 2026년 10월 31일 외부 침입을 당해, 운영사 직원 계정정보와 가맹점주 계좌번호가 유출됐다.
    유출 정보는 운영사 인성데이타 전·현직 직원 약 250명이 시스템에 접속할 때 쓰던 아이디와 비밀번호, 그리고 폐업 점포를 포함한 가맹점주 계좌번호 약 2만 5천 개다. 운영사는 11월 1일 밤 9시쯤 침입 정황을 발견해 긴급 점검을 하고, 대구경찰청 사이버수사대에 수사를 의뢰했다. 11월 2일에는 KISA에 신고하고, 그날 저녁 POS 단말기로 가맹점에 침입 의심 사실을 알렸다. 금전 피해를 막기 위해 출금 기능도 일시 중단했다가 점검 후 재개했다. 계좌번호 유출 등 구체적인 내용은 11월 4일 문자로 안내했다. 운영사는 가맹점 가입 처리 시스템을 통해 침입한 것으로 보고 신규 가맹점 가입을 중단했다. 직원 계정 비밀번호를 초기화하고 내부 시스템 접근 경로도 다변화하고 있다. 공격자가 AI를 이용해 데이터를 빠르게 빼낸 것으로 추정하고 있으며, 현재까지 금전 피해는 확인되지 않았다.
    대구로는 지역 소상공인의 배달 수수료 부담을 덜기 위해 2021년 8월 출시됐으며, 누적 가맹점은 약 2만 5천 곳, 누적 회원은 약 74만 명이다. 사고 후 나흘이 지나서야 구체적인 내용이 전달되자 “POS 알림은 매일 확인하지 않는다”는 가맹점주들의 불만과 늑장 통보 논란이 나왔다. 대구시는 KISA 분석 결과가 나온 뒤 내용을 공개한 것이며 일부러 늦춘 것은 아니라고 설명했다. 대구시는 운영사와 함께 피해 규모를 파악하고 있으며, 2차 피해 방지 대책을 요청했다. 경찰은 서버를 확보해 로그를 분석하며 침입 경로와 유출 범위를 조사하고 있다.

 

□  사고내용 요약  

    1. 회사명 : 대구로(대구시 공공배달앱) / 운영사 인성데이타
    2. 사고유형
        - 해킹 : 서버 외부 침입, 가맹점 가입 처리 시스템이 침투 경로로 추정
        - AI를 이용한 고속 데이터 추출로 추정(운영사)
    3. 유출규모
        - 운영사 전·현직 직원 시스템 접속 계정 약 250건
        - 가맹점주 계좌번호 약 25,000개(폐업 점포 포함)

    4. 유출항목
        - 운영사 직원 : 시스템 로그인 아이디, 비밀번호
        - 가맹점주 : 계좌번호
        ※ 회원(소비자) 개인정보 유출 여부는 언급되지 않음

    5. 특이사항
        - 지자체 공공배달앱에서 발생한 해킹. 폐업 점포 계좌까지 남아 있어 영향 범위가 커짐
        - 직원 시스템 계정이 유출돼 내부 시스템 추가 침투에 악용될 위험(추정)
        - 11월 2일 POS 알림 후 11월 4일에야 구체 내용을 문자로 알려 늑장 통보 논란
        - 정산 계좌 변경 요청 등 가맹점주를 노린 금융사기로 이어질 수 있음
        - 운영사가 AI를 이용한 고속 추출로 추정, 최근 잇따르는 AI 활용 공격 사례와 맞물림

□  사고대응 타임라인  

    - 2026년 10월 31일(토)
        . 대구로 서버 외부 침입, 직원 계정·가맹점주 계좌번호 유출
    - 2026년 11월 01일(일) 21:00경
        . 운영사, 침입 정황 인지, 긴급 시스템 점검, 대구경찰청 사이버수사대 수사 의뢰
    - 2026년 11월 02일(월)
        . KISA 신고
        . 저녁 POS 단말기로 가맹점에 침입 의심 사실 알림, 출금 기능 일시 중단(점검 후 재개)
    - 2026년 11월 04일(수)
        . 가맹점주(폐업 점주 포함)에게 계좌번호 유출 등 구체 내용 문자 통지
    - 2026년 11월 05일(목)
        . 유출 사실 외부에 알려짐, 늑장 통보 논란
    - 진행 중
        . 경찰 서버 확보·로그 분석, 침입 경로·유출 범위 조사, 신규 가맹점 가입 중단

□  개인정보 유출 관련 안내  

< 대구로 운영사(인성데이타) 안내 요약 >

· 10월 31일 대구로 서버에 보안 사고가 발생해 가맹점주 계좌번호(폐업 점포 포함)와 운영사 직원 시스템 접속 계정이 유출됨
· 경찰과 한국인터넷진흥원(KISA)에 신고하고 조사에 협조 중
· 침입 경로로 추정되는 가맹점 가입 처리 시스템의 신규 가입을 중단하고, 직원 계정 비밀번호를 초기화함
· 현재까지 이용자와 가맹점주의 금전 피해는 확인되지 않음
· 대구로는 전화나 문자로 정산 계좌 변경, 비밀번호·인증번호를 요구하지 않음. 이런 요구를 받으면 응하지 말고 대구로 고객센터로 신고해 달라
· 이용자와 가맹점주에게 사과하며, 조사 결과가 나오면 공유하겠음

※ 운영사 공지 원문이 확인되지 않아 안내 내용을 요약함

 

□  대응내역  

    - (인성데이타) 긴급 점검, 경찰 수사 의뢰, KISA 신고, 출금 기능 일시 중단 후 재개
    - (인성데이타) 신규 가맹점 가입 중단, 직원 계정 비밀번호 초기화, 내부 시스템 접근 경로 다변화
    - (인성데이타) 가맹점 POS 알림(11월 2일), 가맹점주 문자 통지(11월 4일), 사칭 주의 안내
    - (대구시) 운영사와 피해 규모 파악, 2차 피해 방지 대책 요청
    - (대구경찰청) 서버 확보·로그 분석, 침입 경로·유출 범위 수사
     ※ 회원 정보 유출 여부, 개인정보보호위원회 신고 여부, 구체적인 침입 수법은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 가맹점 가입·파일 업로드 기능의 웹 취약점 전수 점검(자동화·AI 기반 공격 가정 모의해킹)
        - 직원 계정 비밀번호 해시 저장과 관리자 MFA, 퇴사자 계정 즉시 삭제
        - 계좌번호 등 금융정보 암호화, 대량 조회·추출 실시간 탐지와 차단
        - 정산 계좌 변경 시 추가 인증 적용

    2. 관리적 조치
        - 폐업 가맹점 정보의 보존기간 설정과 기간 경과 후 파기
        - 유출 인지 즉시 문자·알림톡 등 확인율 높은 채널로 개별 통지(POS 알림만으로는 부족)
        - 지자체의 공공앱 위탁 운영사 보안 점검·감독 강화

□  관련기사(출처)  

• 대구 공공배달앱 ‘대구로’ 대규모 정보 유출 - 세이프타임즈
• 대구 공공배달앱 ‘대구로’ 해킹···가맹점주 계좌번호 2만5000여개 노출 - 경향신문
• 대구로 해킹에 점주 계좌번호 2만5000여개 노출…통보는 나흘 뒤 - 경북매일
• ‘대구로’ 해킹에 점주 계좌번호 2만5천여개 노출…늑장 통보 논란(종합2보) - 연합뉴스(서플 전재)
• 대구형 공공배달앱 ‘대구로’ 해킹…가맹점주 계좌번호 등 2만5000여개 유출 - 세계일보

감사합니다.