QR 코드 메뉴로 주문한 뒤 알게된 충격적인 사실들
- 며칠 전 집 근처 카페에서 QR코드로 주문했더니 5분만에 아무 확인없이 음식이 나옴
- QR코드 웹사이트를 열어보니 dotpe.in 서브도메인에서 운영 중
- Dotpe는 "full stack food stack"을 레스토랑에 제공하는 업체로, 구글이 투자자 중 하나
Dotpe의 API에서 발견한 문제점들
/api/morder/suggestion/ongoing/items엔드포인트에서 현재 카페에서 주문된 음식 목록이 모두 보임/api/morder/suggestion/items/purchase/history엔드포인트에서 지난달 각 메뉴별 주문 횟수 제공- 이를 통해 한달 매출을 계산할 수 있었음
/api/morder/suggestion/items/past-fav엔드포인트에서 전화번호만 바꾸면 타인의 과거 주문내역까지 볼 수 있음/api/morder/fd/table/state엔드포인트에서 테이블 ID만 바꾸면 다른 사람의 이름, 전화번호, 주문 내용을 볼 수 있음
Dotpe의 전국 규모 데이터 접근
- Dotpe 가맹점 검색 API를 통해 전국 3만7천여개 레스토랑의 실시간 주문내역 확인 가능
- 스타벅스, 피자헛, 할리람스, 소셜, 바리스타, 파라다이스 비리야니 등 대형 체인도 사용 중
- 지난달 판매내역 분석 결과 소셜 펍은 연간 200억 이상의 매출 기록, 지점별 인기 메뉴 파악 가능
- 파라다이스 비리야니 본점은 월 7천만원 이상 매출
테스트 결과와 우려사항
- API를 분석하여 타인의 테이블에 원격으로 주문 넣는 것이 가능함을 확인
- 소셜 펍에서 직접 시도해보니 혼란을 야기했지만 큰 문제로 번지진 않음
- 하지만 이를 대규모로 자동화한다면 전국적 혼란을 야기할 수 있음
/api/morder/fd/table/state엔드포인트를 통해 dotpe를 통해 주문한 모든 이의 과거 주문내역에 접근 가능- 개인정보를 결합하면 누구나 타인의 식습관 추적 가능, 데이터 판매 가능성도 우려됨
- API가 무방비로 노출된 것은 의도적인 결정이거나 Dotpe의 무관심 때문으로 보임
GN⁺의 의견
- Dotpe가 수집하고 있는 데이터의 규모와 민감도가 상당히 우려됨. 개인의 식습관과 관련된 정보는 프라이버시 침해 소지가 큼
- 누구나 전국의 레스토랑 매출 정보에 접근할 수 있다는 점도 기업의 영업기밀 보호 측면에서 문제
- 비슷한 서비스를 제공하는 스윙기, 조마토 등은 보안에 더 신경쓰고 있는 것으로 보임. Dotpe도 API 접근통제와 인증을 강화할 필요가 있어 보임
- QR코드 기반 비대면 주문 서비스 이용시 개인정보 수집 범위와 데이터 활용에 대해 주의깊게 살펴볼 필요 있음
- 데이터 프라이버시 규제가 강화되고 있는 만큼 Dotpe의 관행은 규제 당국의 주목을 받을 가능성 높음. 선제적 대응이 필요해 보임