[비즈니스포스트] 배달의민족 운영사인 우아한형제들이 주요 온라인 주문·거래 플랫폼 기업과 비교해 정보보호 투자에 상대적으로 소극적인 것으로 나타났다.

최근 고객정보 관리의 중요도가 높아지고 있다는 흐름을 감안할 때 김 대표가 보안 투자와 전담인력을 확충하는 일이 시급한 과제로 떠오를 것으로 보인다.  

2일 한국인터넷진흥원(KISA) 정보보호 공시 종합포털과 각사 실적자료를 종합하면 우아한형제들은 2025년 기준 정보기술부문 투자액 대비 정보보호부문 투자액 비율이 3.4%로 나타났다.

정보보호 공시는 기업의 정보보호 투자, 전담인력, 인증·평가·점검, 이용자 정보보호 활동 현황 등을 공개하는 제도다. 의무공시 기업은 매년 6월30일까지 정보보호 현황을 제출해야 한다.

우아한형제들이 공시한 정보기술부문 투자액은 2614억9918만 원, 정보보호부문 투자액은 87억6662만 원이다. 정보기술부문 인력 1027.7명 가운데 정보보호부문 전담인력은 27.3명으로 인력 비율도 2.7%에 그쳤다. 

쿠팡은 정보기술부문 투자액 2조5725억6034만 원 가운데 정보보호부문 투자액이 1349억3673만 원으로 비율이 5.2%였다. SSG닷컴도 정보기술부문 투자액 886억3343만 원, 정보보호부문 투자액 46억3907만 원으로 비율이 5.2%였다. 지마켓은 정보기술부문 투자액 1269억9325만 원, 정보보호부문 투자액 123억7231만 원으로 비율이 9.7%였다.   

매출 규모를 반영해도 우아한형제들의 정보보호 투자율은 낮게 나타난다.

우아한형제들의 2025년 연결기준 매출은 5조2830억 원이다. 정보보호 투자액 87억6662만 원을 매출로 나누면 매출 대비 정보보호 투자율은 약 0.166%다.

같은 방식으로 계산하면 쿠팡은 0.322%, SSG닷컴은 0.344%, 지마켓은 1.671% 수준이다. 쿠팡 한국법인은 지난해 별도기준 매출 41조8984억 원을 냈고 SSG닷컴의 지난해 매출은 1조3471억 원, 지마켓의 지난해 매출은 7405억 원이다.

우아한형제들이 절대 투자액 기준으로 작은 회사는 아니다. 다만 정보기술 투자와 매출 규모에 견줘 정보보호 투자 부담 수준을 보면 쿠팡, SSG닷컴, 지마켓보다 낮다는 점이 드러난다.

다만 우아한형제들은 정보보호 투자액 자체는 해마다 늘리고 있다는 입장이다. 정보기술부문 투자액이 2023년 1405억 원에서 2025년 2614억 원으로 2년 만에 86.1% 늘어 분모가 커진 영향으로 정보보호 투자 비중이 상대적으로 낮아졌다는 것이다.

우아한형제들 관계자는 "클라우드 네이티브 환경에서는 클라우드 보안 서비스와 아키텍처 레벨의 보안 통제처럼 보안 기능이 인프라 비용에 내재화돼 별도 보안 투자로 분류되지 않는 부분도 크다"며 "올해 역시 정보보호 투자를 전년보다 대폭 증액해 집행할 예정"이라고 말했다.

배달의민족이 그동안 사업 범위를 대폭 확장하고 있다는 점에서 우아한형제들의 낮은 정보보호 투자 수준은 김 대표에게 부담이 될 것으로 보인다.

우아한형제들은 지난해 처음 매출 5조 원을 넘었다. 음식 배달과 중개형 상거래인 장보기·쇼핑(배민B마트) 부문 매출이 함께 늘어난 영향이 컸다.

우아한형제들에 따르면 배달의민족 장보기·쇼핑에 입점한 오프라인 매장은 2022년 2200개에서 현재 2만4천여 개로 늘었다. 2025년 기준 주문 건수는 2024년보다 약 70% 증가했고 배민B마트 매출은 지난해 7811억 원으로 2024년보다 3.2% 늘었다.

배달의민족은 더 이상 음식점과 소비자를 이어주는 배달앱에만 머물지 않는다. 고객 주소, 주문 이력, 결제 정보, 가게 정보, 라이더 동선 등 플랫폼 안에서 오가는 데이터의 범위도 넓어지고 있다.

배달의민족이 이용자 생활과 밀착한 플랫폼이라는 점을 고려하면 정보보호 리스크의 파급 범위도 작지 않다. 한 번의 정보 유출이나 서비스 장애가 소비자 불편을 넘어 입점 가게 영업과 라이더 운행까지 영향을 줄 수 있기 때문이다.
 
실제로 올해 배달의민족에서는 외주 고객센터 상담사가 고객 정보를 무단 조회해 외부로 넘긴 사건이 불거졌다. 유출된 정보가 보복 대행 범죄에 악용된 정황까지 드러나면서 개인정보 관리와 외주업체 통제 문제가 함께 도마 위에 올랐다.

개인정보보호위원회는 이 사건을 계기로 배달의민족 고객센터 등 위탁업무 전반에 대한 실태점검에 나섰다. 우아한형제들은 이후 고객 정보 접근 및 관리 체계 전반의 내부 통제를 강화했다. 상담 인력 채용 기준과 관리실태 전수 조사 등 외주업체 관리 프로세스도 다시 손봤다.

정보보호 투자가 단순한 비용 항목에 그치지 않는다는 지적이 나오는 이유다. 주문 편의성과 배송 속도만큼이나 개인정보 보호와 서비스 안정성이 플랫폼 신뢰를 좌우하는 요소가 될 수 있다는 점에서 각 기업들로서도 더이상 소홀히 할 수 없는 영역이 되고 있다.
 

김범석 대표는 2025년 1월 우아한형제들 대표이사에 올랐다. 김 대표는 취임 이후 배달의민족의 성장성을 다시 키워야 하는 과제에 부딪쳤다. 배달앱 수수료 논란과 쿠팡이츠의 추격, 장보기·쇼핑 확장 경쟁이 동시에 이어지는 상황에서 플랫폼 신뢰를 회복하는 일도 중요해졌다.

다만 정보보호 투자 비중이 낮다는 점을 곧바로 정보보호 수준이 낮다고 단정하기는 어렵다. 정보보호 공시는 투자와 인력, 인증 현황 등을 보여주는 자료일 뿐 실제 보안 역량을 직접 평가한 결과는 아니기 때문이다.

그럼에도 주요 플랫폼사와 비교했을 때 낮은 투자 비중은 김 대표가 설명해야 할 지점으로 남는다. 배달의민족이 플랫폼 신뢰를 강조하려면 외형 성장뿐 아니라 보안 투자와 전담인력 확충에서도 납득할 만한 흐름을 보여줘야 하기 때문이다.

주요 플랫폼사와 비교했을 때 낮은 투자 비중은 배달의민족이 플랫폼 신뢰를 설명하는 과정에서 부담으로 작용할 수 있다.

쿠팡은 정보보호 투자액이 지난해보다 51.6% 증가했다고 공시했다. SSG닷컴은 2025년 정보보호 공시 우수기업 표창을 특기사항으로 적었다. 

우아한형제들도 정보보호 관련 인증·평가·점검 현황으로 ISMS-P, ISO27001, ISO27701 인증을 공시했다. ISMS-P는 국내 정보보호·개인정보보호 관리체계 인증이고, ISO27001과 ISO27701은 각각 국제 정보보호 관리체계와 개인정보보호 관리체계 인증이다. 

이용자 정보보호 활동으로는 개인정보보호 배상책임보험 가입, 정보보호 침해사고 대응훈련, 개인정보 처리 수탁사 현황점검, 배달대행사 주문 연동 보안점검, 정기·상시 서비스 취약점 진단 등을 제시했다. 

우아한형제들 관계자는 "내부 접근통제 고도화와 인공지능(AI) 등 신기술 환경 변화에 대응한 보안 가이드라인 수립, 전 임직원 보안 교육 등 다양한 노력을 지속하고 있다"며 "레드팀 운영을 통한 보안취약점 점검과 모의해킹, 버그바운티 운영, 공격표면관리 등을 통해 취약점을 찾아내 개선하고 있다"고 말했다. 조성근 기자