🍕 한국파파존스 9년간 3,732만건 개인정보 유출 가능성, 문제의 본질은?

 

최근 한국파파존스가 고객 개인정보를 최대 9년간 3,732만건이나 유출했을 가능성이 있다는 주장이 제기되었습니다.

이번 사건은 단순한 실수가 아니라 웹 서비스 구조상 기본 보안 검증이 없었던 것이 핵심이며,

국내 온라인 서비스 전반의 구조적 문제를 드러낸 사건으로 볼 수 있습니다.

📌 사건의 발단

지난 6월 21일, IT업계 종사자인 30대 김모 씨는 한국파파존스 홈페이지에서 피자를 주문하고,

배달 상태를 확인하기 위해 주문 조회 페이지를 열었습니다.

이 과정에서 URL 끝자리 숫자 9개 중 일부를 수정하자 타 고객의 주문·개인정보가 그대로 노출되는 사실을 발견합니다.

김씨는 곧바로 **한국인터넷진흥원(KISA)**에 개인정보침해를 신고했고,

이를 접한 국회 과학기술정보방송통신위원회 위원장 최민희 더불어민주당 의원실이

한국파파존스 홈페이지의 구조적 문제를 확인하고 추적 조사에 들어갔습니다.

🛑 무엇이 문제였는가?

1️⃣ 인증 절차 부재

보통 온라인 주문 조회는 고객이 로그인해야만 접근할 수 있도록 구성되어야 합니다.

그러나 한국파파존스는 로그인 여부와 관계없이 URL만 알면 누구나 다른 고객의 주문 정보에 접근 가능한 구조였습니다.

2️⃣ URL 기반 식별의 취약점

주문번호가 단순히 URL 끝 숫자로 노출되어 있어 이를 1씩만 증감시켜도 다른 고객의 정보에 접근이 가능했고,

이는 곧 대량의 개인정보 유출로 이어질 수 있었습니다.

3️⃣ 유출 범위의 심각성

유출 가능 정보에는

이름, 연락처, 주소, 이메일, 생년월일, 카드번호, 유효기간, 카드전표, 공동 현관 비밀번호, 적립포인트 등

최대 10가지 이상의 민감한 개인정보가 포함되어 있었습니다.

이로 인해 2017년 1월 1일부터 최근까지

주문자 기준 약 3,732만건의 고객 정보가 유출됐을 가능성이 있는 것으로 추정되었습니다.

⚡ 한국파파존스의 대응

문제 인지 이후 한국파파존스는 긴급 대응에 나섰지만,

문제 발견 하루가 지나서야(25일 오후 1시 44분) 작업을 완료해 차단했다고 밝혔습니다.

이미 많은 고객 정보가 유출되었을 가능성이 크기 때문에, 사후 대응 및 고객 통지가 신속히 이루어져야 합니다.

💡 전문가 시각: 왜 심각한가?

🔹 보안 기본기 미비 사례
웹 서비스에서 고객 정보 접근 경로에 인증 절차를 두는 것은 기본 중의 기본입니다.

단순 URL로 타인의 개인정보가 열람되는 것은 2000년대 초반 보안 수준으로, 2025년 현재 기준으로는 중대한 과실에 해당합니다.

🔹 개인정보 비식별화 미준수
결제·주소·생년월일 등은 민감정보로, 처리 시 비식별화 및 최소한의 정보만 제공하도록 관리해야 합니다.

이번 사건은 최소화 및 암호화 절차가 적용되지 않았음을 보여줍니다.

🔹 플랫폼 신뢰도 훼손
이와 같은 유출 사고는 단순히 한 회사의 문제가 아니라 온라인 결제·배달 기반 플랫폼 전체의 신뢰를 크게 떨어뜨립니다.

🚩 고객이 지금 할 수 있는 일

✔️ 한국파파존스 주문 이력이 있다면 카드 결제 내역과 포인트 변동 여부 확인
✔️ 카드사에 결제 내역 모니터링 요청 및 재발급 검토
✔️ 공동 현관 비밀번호, 주소 관련 보안 점검
✔️ 향후 유사 사례에 대비하여 온라인 서비스의 ‘접근 경로’를 확인하고, 이상 접근 시 즉시 서비스센터에 신고

---

이번 사건은 기술적 문제라기보다 관리적·구조적 보안의식 부재에서 비롯된 사고입니다.

대한민국 온라인 플랫폼 업계 전반이 이번 사건을 계기로

주문 조회, 배송 추적, 결제 페이지 등 민감 경로의 인증 및 접근 통제 절차를 점검해야 합니다.

소비자 역시 단순히 서비스를 이용하는 입장이 아니라,

개인정보의 주체로서 유출 가능성을 인지하고 주기적으로 자신의 정보 상태를 점검하는 습관이 필요합니다.

 

그동안 파파존스 앱으로 주문했었는데 많이 당황스럽네요.

전세계의 공공재라는 대한민국 국민의 개인정보..

언제까지 무방비에 노출되어야할까요??