채팅상담 대행업체 '해피톡' 해킹, 토스·쿠팡·배민 상담정보 유출 사건

채팅 상담 서비스 '해피톡'을 운영하는 엠비아이솔루션은 2021년 7월 20일 새벽 시스템을 모니터링하던 중 의심스러운 로그를 발견해 네트워크 분리 등 선제 조치를 취했다. 그러나 다음 날인 21일 오후 2시께 외부 침입자가 서버에 접근해 데이터를 유출하겠다는 메시지를 남기고 사라진 사실이 확인됐다. 해피톡은 토스, 쿠팡, 배달의민족 등 약 2만여 고객사에 채팅 상담 서비스를 제공하던 업체로, 이번 침해로 다수 대형 플랫폼의 고객 상담 데이터가 위험에 노출됐다. 문제는 유출된 개인정보 상당수가 암호화되지 않은 상태로 저장돼 있었다는 점이었다. 이 사건은 이틀 뒤 언론 보도를 통해 외부에 알려지게 된다.

전자신문은 2021년 7월 23일 해피톡 해킹으로 채팅 상담 내용 약 8만여 건이 유출됐으며 이 가운데 개인정보가 포함된 이름·전화번호 등 상담이 상당수에 달한다고 보도했다. 피해 현황을 보면 토스 이용자 1500명의 개인정보가 유출됐고, 배달의민족은 음식점 점주·라이더와 나눈 상담 내역 1만여 건이 노출됐다. 쿠팡의 경우 일반 고객정보 유출은 없었으나 입점 벤더사와 직원 간의 업무 소통 내역 일부가 유출된 것으로 파악됐다. 세 플랫폼이 동시에 영향을 받으면서 외주 상담업체를 통한 개인정보 관리의 취약성이 도마에 올랐다. 해피톡 측은 이용자들에게 심려를 끼쳐 죄송하다며 보안·시스템을 강화하겠다고 밝혔다.

머니투데이는 2021년 7월 26일 배달의민족이 이번 해킹으로 상담 내용이 유출된 배달원과 자영업자를 대상으로 보상을 지급하는 방안을 검토 중이라고 보도했다. 배달의민족 측은 유출된 상담 내용의 성격이 단순 문의부터 개인정보가 포함된 사안까지 다양해 피해 규모를 정확히 파악하는 데 시간이 걸리고 있다고 설명했다. 이는 해피톡 사태가 대형 플랫폼 세 곳 중에서도 특히 배달의민족의 일선 파트너들에게 실질적 피해를 남겼음을 보여주는 대목이었다. 회사 측은 구체적인 보상 기준과 지급 시기는 아직 확정되지 않았다고 덧붙였다. 이 발표는 원청 플랫폼이 외주 업체의 보안 사고에 대해서도 일정한 책임을 진다는 인식을 확산시켰다.

일간스포츠는 2021년 7월 29일 해피톡 유출 사고 발생 일주일이 지났지만 배달의민족 입점 사장과 라이더들이 여전히 구체적인 보상을 받지 못하고 있다고 지적했다. 배달의민족 관계자는 단순 상담부터 개인정보가 포함된 상담까지 다양해 상황에 맞는 적절한 보상책을 강구하고 있다는 입장을 재확인했다. 그러나 일선 파트너들 사이에서는 대응이 지나치게 더디다는 불만이 이어졌다. 이 보도는 대형 플랫폼이 외주업체발 개인정보 유출 사고에 대응하는 속도와 실효성에 대한 문제의식을 다시 제기했다. 결국 이 사건의 최종적인 정부 차원의 시정조치는 2년이 더 지난 뒤에야 내려지게 된다.

개인정보보호위원회는 2023년 11월 22일 전체회의를 열어 채팅상담 서비스 '해피톡'을 약 2만여 고객사에 제공해온 엠비아이솔루션에 대해 시정조치 명령을 의결했다고 연합뉴스가 다음 날 보도했다. 위원회 조사 결과 이 회사는 2021년 해킹으로 이름·이메일·주문정보 등이 포함된 고객사 상담 내용 8만7270건을 유출했으며, 관리자 계정 비밀번호를 암호화하지 않았고 유출 사실을 이용자에게 제때 통지하지도 않은 것으로 드러났다. 위원회는 안전조치 의무와 유출통지 의무를 준수하고 재발 방지 대책을 수립·이행하라는 내용의 시정조치를 명령했다. 위원회 관계자는 개인정보 처리를 위탁받은 대형업체는 처리하는 개인정보의 규모가 크기 때문에 안전조치 의무를 다할 수 있도록 상시 점검해야 한다고 강조했다. 사고 발생으로부터 2년 넘게 지나서야 정부 차원의 최종 제재가 내려지면서, 위탁업체 관리·감독의 실효성에 대한 지적도 함께 제기됐다.