[비즈니스포스트] 최택원 SSG닷컴 대표이사가 즉시배송 서비스 '바로퀵'을 앞세워 즉시배송망을 빠르게 넓히는 과정에서 고객 개인정보 유출이라는 대형 악재에 노출됐다.

서비스 시작 1년도 되지 않아 배송 재위탁사 시스템에서 일부 고객의 주소와 공동현관 비밀번호가 유출됐고 사고 발생 추정 시점부터 고객 통지까지는 무려 6~7일이 걸린 것으로 드러났다.

24일 비즈니스포스트 취재 결과 SSG닷컴의 즉시배송 서비스 '바로퀵'을 이용한 일부 고객의 배송지 주소와 공동현관 비밀번호가 외부로 유출된 것으로 확인됐다.

SSG닷컴이 현재까지 파악한 피해 고객은 40명 안팎인 것으로 알려졌다. SSG닷컴은 21일 오후 6시50분 피해 고객들에게 개인정보 유출 사실을 알리는 문자메시지를 발송했다.

피해 고객별 유출 정보에는 차이가 있다. 일부 고객에게는 배송지 주소와 공동현관 비밀번호가 함께 유출됐다고 통지됐으며 다른 고객은 주소가 유출된 것으로 파악됐다.

개인정보가 유출된 곳은 SSG닷컴 자체 시스템이 아니라 바로퀵 배송을 수행하던 재위탁업체의 시스템이다.

SSG닷컴은 바로퀵 배달 대행 업무를 바로고에 맡기고 있다. 바로고가 배송 업무 일부를 다시 맡긴 업체 '플라이'의 시스템에서 외부의 비인가 접근이 발생했다.

SSG닷컴은 피해 고객에게 보낸 안내문에서 "당사와 배달 대행 업무를 계약한 업체(바로고)의 재위탁사(플라이) 시스템에서 외부의 비인가 접근으로 인해 고객님의 개인정보 일부가 유출된 사실을 확인했다"고 밝혔다.

사고가 실제 발생한 것으로 추정되는 때부터 SSG닷컴이 이를 인지하기까지는 5~6일, 고객 통지까지는 6~7일이 걸렸다.

플라이 시스템에 외부의 비인가 접근이 발생한 시점은 14~15일경으로 추정된다. 플라이는 18일 오후 3시경 개인정보 유출 사실을 인지했고 바로고는 같은 날 오후 4시50분경 이를 통보받았다. 

SSG닷컴은 이보다 약 이틀 늦은 20일 오후 8시경 해당 사실을 통보받아 인지했다. 회사는 다음날인 21일 오후 6시50분에서야 이 사실을 피해 고객에게 알린 것이다.

SSG닷컴은 사고를 인지한 뒤 플라이로의 재위탁을 즉시 중지했다. 공동현관 비밀번호가 유출된 고객에게는 비밀번호 변경이 가능하다면 변경해달라고 요청했으며 피해가 확인되면 관련 절차에 따라 피해구제를 지원하기로 했다.

바로고도 플라이로의 재위탁을 중지하고 보안점검과 사고 원인 분석에 들어갔다. 개인정보보호위원회 등 관계기관 신고 절차도 진행하고 있다. 전체 개인정보 유출 규모는 아직 확인 중이다.

이번 사고가 SSG닷컴의 직접적인 시스템 침해로 발생한 것은 아니지만 즉시배송 사업을 확대하는 과정에서 배송 외주망의 개인정보 관리체계를 점검해야 할 필요성은 커졌다.

SSG닷컴은 개인정보처리방침에서 상품 배송 등을 외부 업체에 맡기고 있으며 수탁자와 재수탁자가 개인정보를 안전하게 처리하는지를 관리·감독한다고 밝히고 있다. 수탁자가 다시 제3자에게 개인정보 처리업무를 맡길 때도 SSG닷컴의 동의를 받도록 하고 있다.

개인정보 보호법 시행령도 개인정보 처리 업무를 위탁한 사업자가 수탁자의 개인정보 관리 현황 등을 점검하고 법령과 계약에 따른 의무 준수 여부를 감독하도록 규정하고 있다.

플랫폼 밖 외주업체에서 고객정보 문제가 발생한 사례는 이번이 처음은 아니다. 2026년 3월에는 배달의민족 고객상담 외주업체에 범죄조직원이 상담사로 위장 취업해 고객 개인정보를 빼돌리고 이를 주거침입과 재물손괴 등 범죄에 악용한 사실이 경찰 수사에서 드러났다.
 

이번 사고는 SSG닷컴이 바로퀵을 선보인 지 1년이 채 지나지 않은 시점에 발생했다.

바로퀵은 최 대표가 SSG닷컴의 장보기 경쟁력을 높이기 위해 빠르게 몸집을 키워온 배송 서비스 가운데 하나다. 최 대표는 취임 당시부터 배송 경쟁력 강화를 주요 임무로 부여받았다.

최 대표는 취임 뒤인 2026년 3월 배송 고도화와 신선식품 경쟁력 강화, 멤버십 확대를 3대 축으로 내걸고 '대한민국 대표 장보기 온라인몰'로 도약하겠다는 방침을 내놨다. 이 전략에서 바로퀵은 주문 즉시 상품을 전달하는 배송축을 담당했다.

당시 SSG닷컴은 3월4일 창립 12주년을 맞아 발표한 대고객 선언에서 바로퀵 물류거점을 2026년 2분기 안에 90곳까지 늘려 퀵커머스 시장에서 영향력을 확대하겠다는 목표도 제시했다. 

최 대표는 "본원적 경쟁력에 집중해 장보기 대표 플랫폼으로 도약할 것"이라며 "차별화된 서비스로 온라인 장보기의 접근성을 한층 높이겠다"고 말했다.

SSG닷컴은 2025년 9월1일 수도권과 충청·대구·부산 등에 있는 이마트 19개 점포에서 바로퀵 서비스를 시작했다. 이마트 상품을 점포 반경 3㎞ 안에서 배달대행사 이륜차를 활용해 1시간 안팎으로 배송하는 서비스다.

서비스 거점은 빠르게 늘었다. 2025년 11월 48개였던 운영 점포는 같은 해 12월 60개, 2026년 2월 80개로 늘었으며 6월에는 전국 이마트 88개 점포까지 확대됐다. 서비스 시작 약 10개월 만에 거점이 4배 넘게 늘어난 셈이다.

최 대표가 3월 제시했던 2분기 90곳 확대 목표에 근접할 정도로 단기간에 배송망을 넓힌 것이다.

주문도 가파르게 늘고 있다. 바로퀵의 2026년 2분기 주문 건수는 1분기보다 151% 증가했고 6월 주문 건수는 1월보다 244% 늘었다.

최 대표는 바로퀵에서 더 나아가 이마트 점포를 활용한 빠른 배송 체계 자체를 넓히고 있다.

SSG닷컴은 7월 이마트 양재점과 하남점에서 '2시간 배송' 시범 운영에 들어갔으며 2026년 안에 최대 50여 개 점포까지 서비스를 확대해 하루 최대 15만 건의 배송 처리능력을 확보한다는 계획을 세웠다.

공교롭게도 최 대표는 개인정보 유출 사고 발생 추정 시점 이틀 전인 12일 배송 확대 방침을 직접 강조했다. 

그는 "배송과 상품, 멤버십 경쟁력을 바탕으로 온라인 장보기 성장세를 가속하겠다"며 "배송망 고도화와 함께 사업 구조 효율화를 통한 수익성 개선을 이어갈 것"이라고 말했다. 조성근 기자