얼 빠진 프랜차이즈 또 적발…써브웨이도 개인정보 무방비 노출

로그인 없이 다른 고객 주문정보 열람
파파존스와 같은 취약점…"현재 해결"

지난 3월31일 서울 시내의 한 써브웨이 매장./사진=뉴시스

써브웨이 온라인 주문시스템에서 고객의 개인정보가 무방비로 노출된 것으로 드러났다.

30일 국회 과학기술정보방송통신위원장 최민희 더불어민주당 의원에 따르면 써브웨이 웹사이트와 모바일 앱 주문시스템에선 인터넷주소(URL)에 포함된 일련번호를 임의로 변경하면 다른 고객의 주문정보가 그대로 노출되는 보안 취약점이 발견됐다.

이 같은 취약점 때문에 써브웨이에선 △휴대전화 번호 △주문 메뉴·금액 △요청사항 △방문포장·매장식사 여부 등이 누구나 읽을 수 있는 상태로 방치됐다. 접속권한을 검증하지 않아 고객 개인정보가 무방비로 노출된 한국파파존스와 동일한 사고가 발생한 것이다.

최 의원은 "개인정보 유출규모는 정확히 파악하기 힘들지만 최소 5개월간 같은 방식으로 개인정보가 유출되고 있었던 것으로 추정된다"고 말했다.

이어 "민감한 개인정보를 제공할 수 밖에 없는 식음료 주문·배달이 폭발적으로 늘어난 상황에서 관련 기업들 전반의 정보보호시스템 점검이 필요하다"며 "정부 또한 대책을 세워야할 것"이라고 밝혔다.

써브웨이는 "최근 고객정보와 관련한 제한된 데이터가 노출될 우려가 있는 기술적 문제를 발견했고, 현재 조치해 문제를 해결한 상태"라며 "정보를 오용한 정황은 확인되지 않았으나, 신속히 한국인터넷진흥원(KISA)에 신고했다"고 했다.

성시호 기자 shsung@mt.co.kr