요기요가 보유한 이용자들의 아이디 및 비밀번호 등의 '개인신상정보'가  온라인 커뮤니티에 떠돌고 있는 것으로 나타났다. 해당 온라인 커뮤니티 사용자들은 타인의 계정정보를 이용해 포인트 및 이벤트 쿠폰을 거리낌없이 사용하는 행태도 포착됐다. 

여기에 광동 옥수수 수염차와 협업해 진행중인 요기요 쿠폰을 허술한 개인정보만 입력하고도 발급받을 수 있던 것으로 알려졌다. 이를 악용해 이른바 쿠폰을 '채굴'해 수십장의 쿠폰을 발급받아 실제로 사용했다는 후기글도 여럿 올라왔다. 

이와 관련해 요기요 측은 "요기요 자체 서버 해킹이 아니다"라는 입장을 밝힌 상태지만 '허술한 보안 정책을 가진 배달앱'이라는 비판을 떨치기 어렵게 됐다.

27일 관련업계에 따르면 최근 음식배달앱 '요기요' 이용자들의 아이디 및 비밀번호 등이 유출된 것으로 알려졌다.

스스로를 '프로그래머'라고 밝힌 한 누리꾼은 지난 26일 한 온라인 커뮤니티에 '요기요 계정정보'를 공유한다며 사용자들의 아이디와 비밀번호가 빼곡히 적힌 리스트를 공개했다.

해당 글을 본 다른 누리꾼들은 유출된 요기요 개인정보를 이용해 포인트 및 이벤트 쿠폰을 사용했고 인증글을 올리기 시작했다. 이번에 공개된 요기요 계정정보는 수백개에 이르는 것으로 추정된다.

요기요 관계자는 "이번 일은 '요기요' 서버가 해킹된 것이 아니다"라면서 "다른 경로에서 유출된 아이디 및 비밀번호가 요기요의 그것과 같았던 일부 사용자들의 정보가 새어나간 것으로 보인다"라고 말했다.

뿐만 아니라 이벤트 쿠폰을 무한으로 채굴해 실제로 사용할 수 있었던 것으로 알려지면서 '요기요의 보안정책이 허술하다'는 지적이 제기되고 있다.

랜덤한 휴대폰 번호와 쿠폰번호를 여러 차례 입력하다보면 실제 쿠폰을 수령할 수 있고 실제로 사용할 수 있었다.

해당 온라인 커뮤니티에서는 이 방법을 통해 얻은 쿠폰 등을 사용해 치킨 등을 시켜먹었다는 내용의 글을 여럿 발견할 수 있었다.

▲이용자의 개인 신상정보 누출 ▲최소한의 남용 방지 책 없는 쿠폰 발급 절차 등 요기요의 '보안정책'이 취약하다는 말이 나올 수 밖에 없는 이유다. 

요기요를 사용해서 쓰고있는 한 가맹점주 중 한명은 "초복과 중복때도 요기요가 다운돼 주문이 많이 줄었는데, 이번 사건으로 인해 사용자가 더 줄어들지 않을까 우려가 된다. 소비자들이 배민에 대한 의존도가 더 높아지지 않을까 한다"고 말했다.

업계관계자는 "최근 강신봉 요기요 대표가 올해 마케팅비를 1000억을 쓴다고 했는데, 마케팅비보다는 서버 다운을 막는 서버 증설비, 개발 보안 등 더 본질적인 곳에 비용을 쓰는게 맞지 않나 생각한다"며 "이번 사태를 통해 요기요에 대한 소비자들의 신뢰가 떨어질 것으로 전망한다"고 말했다.