할리스도 털렸는데...스벅·투썸·교촌 앱 보안은

외신 프랜차이즈, 앞다퉈 고객 개인정보 수집...정보 보호 체계는 과제

외식 프랜차이즈들이 자사 앱을 통해 수백만명의 고객을 확보하면서 개인정보 보호의 중요성도 커지고 있다. 최근 할리스에서 과거 멤버십 관련 임시 파일을 통해 고객정보가 유출되자 주요 업체들이 운영하는 보안 체계와 외부 위탁업체 관리 실태에도 관심이 쏠린다.

23일 업계에 따르면 교촌치킨과 투썸플레이스, 롯데GRS 등 주요 외식 프랜차이즈들은 정보보호 인증과 수탁업체 점검, 개인정보 파기 절차 등을 통해 고객정보를 관리하고 있다. 다만 이번 할리스 사고로 서비스 개편 과정에서 생성된 임시 파일도 정보 유출의 통로가 될 수 있다는 점이 확인되면서 데이터 관리 전반을 점검할 필요성이 제기된다.

프랜차이즈 자사 앱 이용이 늘어나는 만큼 고객정보 관리도 강화해야 한다는 지적이 나온다. 사진은 기자의 스마트폰에 설치된 프랜차이즈 앱.

할인·적립에 늘어나는 앱 회원…반복되는 정보 노출 사고

외식 프랜차이즈들은 할인과 적립 혜택을 앞세워 자사 앱·멤버십 고객을 늘리고 있다. 앱 전용 행사로 가입을 유도하고 결제 편의를 높여 반복 구매로 연결하는 방식이다.

일례로 교촌치킨 앱 가입자 수는 2023년 531만명에서 2024년 619만명, 지난해 710만명으로 증가했다. 지난해 앱 주문 매출은 전년 대비 20% 이상 늘었고, 월간활성이용자수(MAU)도 같은 기간 1.5배로 증가했다.

커피업계도 멤버십 규모가 커지고 있다. 스타벅스 리워드 누적 회원은 이달 1600만명을 기록했다. 투썸플레이스 앱 ‘투썸하트’ 회원 수는 2021년 273만명에서 2024년 620만명으로 약 127% 증가했고, 같은 기간 MAU도 90만명에서 160만명으로 늘었다.

한국프랜차이즈산업협회 관계자는 “치킨과 커피가 자사 앱을 가장 많이 활용하는 업종”이라고 밝혔다. 치킨은 배달 주문, 커피는 테이크아웃 주문과 적립·쿠폰 이용 등을 중심으로 앱이 고객 접점 역할을 하고 있다.

앱을 통해 주문하고 혜택을 받는 고객이 늘면서 기업이 관리하는 개인정보도 쌓이고 있다. 회원정보에 더해 배달 주소와 연락처 등도 다루는 만큼, 이용자 확보와 함께 정보 접근을 통제하고 보관·삭제 상태를 점검하는 일이 중요해졌다는 설명이다.

써브웨이가 개인정보 유출 당시 회사 공식 홈페이지에 게시한 안내문. (사진=회사 공식 홈페이지 캡처)

이런 관리가 제대로 이뤄지지 않아 고객정보가 노출된 사례도 있다. 지난해 파파존스에서는 주문 고객의 연락처와 주소 등이 노출되는 사고가 발생했고, 써브웨이에서도 다른 고객의 개인정보를 조회할 수 있는 보안 취약점이 발견됐다. 두 회사는 당시 취약점 차단·보완 등의 조치를 진행했다고 밝혔다.

이 관계자는 “할인 쿠폰을 뿌리고 마케팅을 해야 고객이 자사 앱을 이용하는데, 비용 부담으로 적극적으로 활용하지 못하는 곳도 있다”며 “한때 행사를 통해 회원을 모았다가 앱 운영에 힘을 빼면서 관리가 소홀해지는 경우가 있어 철저한 점검이 필요하다”고 말했다.

앱 보안 인증받고 외주업체 점검…고객정보 관리 강화

고객정보 보호를 위해 주요 프랜차이즈들은 자사 앱의 보안 수준을 검증받고, 외부에 맡긴 개인정보 처리 업무를 점검하는 데 나서고 있다. 회원정보를 보관하는 시스템부터 위탁업체의 정보 파기 여부까지 확인하는 방식이다.

보안 수준을 검증하는 수단으로는 정보보호 관리체계(ISMS) 인증이 쓰인다. 기업의 정보보호 관리 절차와 보안 조치가 기준에 적합한지 평가하는 제도로, ISMS-P는 개인정보 수집·이용·파기 과정의 보호조치까지 포함한다.

주요 외식 프랜차이즈의 고객정보 보호 현황. (사진=챗GPT 생성 이미지)

인증은 정해진 서비스 범위에 적용된다. 투썸플레이스가 올해 9월 취득한 ISMS-P에는 투썸하트 앱이, 롯데GRS의 ISMS-P에는 롯데잇츠 앱과 고객관계관리(CRM) 시스템 등이 포함돼 있다. 교촌에프앤비는 올해 4월 자발적으로 ISMS 인증을 취득했으며, 이후 8월 리뉴얼한 주문 앱으로 인증 범위를 넓히는 방안을 검토하고 있다.

앱 개발·운영에 외부업체가 참여하는 경우에는 본사가 계약 이행과 보안 상태를 확인한다. 

교촌은 개인정보 처리 수탁업체를 매년 현장 실사와 서면 점검으로 확인하고, 롯데GRS는 연 1회 수탁업체 점검과 함께 개인정보 파기 관련 데이터베이스(DB) 실사를 진행한다. 파기확인서도 받아 삭제 여부를 확인하고 있다.

투썸플레이스 관계자는 “외부 상주 인력에도 내부 임직원과 동일한 보안 기준을 적용하고 있다”며 “위탁계약에 사고 시 책임 부담과 업무 종료 후 개인정보 반환·파기 의무 등을 규정하고 이를 준수하도록 관리하고 있다”고 말했다.

회원 탈퇴나 장기 미이용에 따른 정보 처리 절차도 운영 중이다. 롯데GRS는 탈퇴 시 회원정보를 삭제하고 있으며, 할리스 사고와 관련한 추가 점검을 진행할 예정이다. 

투썸은 보유기간이 지났거나 처리 목적을 달성해 불필요해진 개인정보를 지체 없이 파기하도록 규정하고 있다. 자체 휴면고객 정책에 따라 1년 이상 미이용 회원정보는 다른 회원정보와 분리 보관한다.

이러한 관리 업무는 개인정보 보호 담당 조직이 맡는다. 스타벅스는 개인정보보호책임자(CPO)를 지정하고, 전사 차원의 정보보호·개인정보보호 체계를 관리하는 ‘정보보안센터’를 별도로 운영하고 있다고 밝혔다. 더본코리아는 경영진이 참여하는 회의에서 정보보호 현안을 다룬다고 설명했다.

더본코리아 관계자는 “정보보호위원회를 정기적으로 개최하고 외부 수탁사 관리·감독과 개인정보 보존·파기 점검 등을 지속적으로 수행하고 있다”며 “ISMS·ISMS-P 인증기준에 준하는 정보보호 활동을 수행하며 관련 인증 취득도 준비하고 있다”고 말했다.

한국프랜차이즈산업협회 관계자는 “사고가 발생하면 업체 이미지에도 영향을 미치는 만큼 업계가 계속 경각심을 가져야 한다”며 “보안에 선제적으로 비용을 투입해야 한다는 인식이 바뀌고 있지만 더욱 노력할 필요가 있다”고 내다봤다.