요약

  • 도어대시는 2019년 9월의 접근 사고를 자사 협력업체 중 한 곳으로 설명했다. 약 490만 명의 고객, 배달원(Dasher), 판매자가 영향을 받았다.
  • 남아 있는 기록은 데이터가 어디에 있었는지는 말하지만 실패한 통제를 누가 책임졌는지는 말하지 않으며, 2019년 사고에 붙은 제재도 담고 있지 않다.
  • 캘리포니아에서 확인된 유일한 조치는 다른 행위에 관한 것이다. 통지와 거부권 없이 개인정보를 판매한 문제로, 2024년 2월의 일이다.
  • 감사 가능한 복구에는 데이터·접근 범위 규정, 통제 책임자 지정, 실제로 집행된 감사, 독립 재검증, 그리고 작동하는 탈출구가 필요하다.

2019년 9월, 도어대시는 외부인이 자사 협력업체 한 곳에 보관된 정보에 접근했다고 알렸다. 영향을 받은 사람은 약 490만 명이었다. 고객과 배달원, 그리고 판매자까지 세 집단이 한 숫자 안에 들어간다. 당시 노출된 것으로 설명된 항목은 이름, 이메일 주소, 배달 주소, 주문 내역, 해시 처리된 비밀번호였고, 일부 사례에서는 소비자 결제카드 번호의 마지막 네 자리도 포함됐다(사고 경위 정리).

중요한 문장은 끝이 아니라 첫머리에 있다. 그 정보는 협력업체에 있었다. 이 통지는 데이터가 놓인 자리를 알려주지만, 그 데이터를 지배한 주체를 알려주지 않는다. 어느 시스템이 무너졌는지, 그 시스템의 책임이 누구에게 있었는지, 침입이 언제 시작됐고 얼마나 열려 있었는지, 재하청 업체가 관여했는지는 어디에도 없다. 통지를 읽은 사람은 회사 바깥에 있던 자기 데이터를 잃었다는 사실만 알게 되고, 그 이유를 물을 상대는 알지 못한다.

이 비대칭이 이 사건의 핵심이다. 배달 플랫폼은 수백만 가구의 문 앞까지 음식을 옮긴다. 그 과정에서 흘러나간 데이터는 고객이 고르지도, 보지도, 평가할 수도 없는 협력업체 사슬을 통과한다. 협력업체는 환경을 운영한다. 서버와 설정, 접근 권한, 자격 증명이 그쪽에 있다. 도어대시는 고객과 배달원과 판매자를 상대하는 공개적 관계를 유지한다. 그렇다면 설명할 의무도 유지한다. 운영과 보증은 서로 다른 기능이고, 2019년의 통지는 앞의 하나만 서술한다.

회사가 밝힌 대응은 이랬다. 시스템을 안전하게 했고, 보안 프로토콜을 강화했고, 영향을 받은 사람들에게 알렸다. 이것은 조치에 대한 진술이지 검증의 결과가 아니다. 차이는 수사법에 있지 않다. 침입이 있은 뒤 시스템을 안전하게 하는 일은 대응의 일상이다. 협력업체와의 경계가 검증 가능해졌음을 입증하는 일은 전혀 다르고, 문서와 책임자와 날짜를 요구한다. 남아 있는 기록이 주는 것은 무언가가 이루어졌다는 주장이다. 주장으로서는 사실이다. 그 주장은 경계의 약점이 고쳐졌음을, 그리고 다음 해에도 고쳐진 채로 남았음을 입증하지 않는다.

진술을 증거로 바꾸는 절차는 정해져 있다. 실패한 통제와 그 책임 주체를 지목하는 근본원인 보고서. 발견 시점과 차단 시점을 표시한 접근 구간. 전체 숫자를 집단별로 나눈 내역. 490만 명의 고객과 배달원과 판매자가 같은 노출이 아니기 때문이다. 그리고 협력업체의 계약서에 서명하지 않은 주체가 수행한 재검증 결과. 이 조사에 남아 있는 자료에는 이 가운데 어느 것도 등장하지 않는다.

그 자료의 범위 안에서, 즉 사고 경위 정리와 2024년 캘리포니아 합의를 다룬 두 문건 안에서 2019년 사고와 연결된 과징금, 명령, 판결, 계약상 회수, 비공개 규제 결과는 나타나지 않는다. 이 부재는 읽고 검색한 범위로 한정되며, 그렇게 읽어야 한다. 어디에서도 아무 일이 없었다는 증명이 아니라, 통지는 만들어냈지만 공개된 책임 기록은 만들어내지 못한 사건의 초상이다.

4년 반 뒤인 2024년 2월, 캘리포니아 법무장관은 도어대시와의 합의를 발표했다. 캘리포니아 소비자 프라이버시법과 캘리포니아 온라인 프라이버시 보호법에 따른 주장, 즉 소비자 개인정보를 통지도 거부 기회도 없이 판매했다는 주장을 정리하고 데이터 관행에 대한 작위 의무를 붙인 합의였다(법무장관 발표, 소송 보도).

이 조치는 도어대시 자신의 행위를 다룬다. 무엇을 팔았고, 무엇을 알렸고, 어떤 선택지를 제공했는지의 문제다. 2019년의 접근 사고가 아니고, 2019년의 협력업체가 아니고, 2019년에 실패한 통제가 아니다. 한쪽을 다른 쪽의 처벌로 읽으면 그 절차에 없던 효력을 부여하게 된다. 발표된 금액은 여기서 인용하지 않는다. 이 조사를 위해 남아 있는 문건은 발표문의 축자적 문장을 담고 있지 않고, 그 확인 없이 게재하는 숫자는 데이터의 옷을 입은 추측이다.

남는 것은 불편하지만 쓸모 있다. 기업은 협력업체를 경유한 유출을 겪고, 수백만 명에게 알리고, 프로토콜 강화를 선언하고, 계속 영업할 수 있다. 그런데 대중에게는 그 경계가 더 안전해졌는지 판단할 문서가 끝내 생기지 않는다. 통지는 경고라는 기능을 수행한다. 입증이라는 기능은 수행하지 않는다.

감사 가능한 경계에는 구체적인 부품이 있다. 협력업체가 만질 수 있는 데이터와 접근 권한의 범위를 정하는 일. 위탁자 쪽과 수탁자 쪽 모두에서 각 통제의 책임자를 이름으로 지정하는 일. 일반론이 아닌 확인된 근본원인에 묶인 시정 조치. 기한과 결과를 갖춘 통지·감사 권리. 협력업체의 서술에 기대지 않고 운영자가 직접 볼 수 있는 증거. 시정 이후의 독립 재검증. 그리고 데이터 이전 가능성과 현실적인 전환 기간을 포함한 실제 탈출구. 마지막 항목이 없으면 앞의 여섯은 약속이다.

탈출구가 가장 어려운 시험인 이유는 서류로 답할 수 없는 유일한 항목이기 때문이다. 감사를 허용하면서 한 번도 감사를 치러본 적 없는 계약은 통제가 아니라 조항이다. 시스템 전체를 몇 주 안에 옮기지 못하면 무의미한 해지권은 효력 문구다. 핵심 데이터를 맡긴 협력업체에 이사회가 물어야 할 실무적 질문은 단순하고 불편하다. 다음 분기에 당신을 교체해야 한다면, 정확히 무엇이 막히는가.

도어대시는 BTW 디렉터리에 리스크와 책임의 사례로 올라 있다. 실제로 그렇다. 약점에 대한 발표와 그것을 측정할 수 있게 해주는 기록 사이의 거리를 다룬 사건이다. 2019년의 사건은 성명 하나로 끝났다. 2024년의 사건은 다른 사안의 합의로 끝났다. 그 사이에 있는 것은 문학적 여백이 아니라, 협력업체와의 관계를 고객과 자문과 규제기관이 펼쳐 보고 확인하고 필요하면 끝낼 수 있는 무언가로 바꿔줄 문서의 부재다.

하루 수백만 건의 배달을 조율하는 기업은 압박 아래에서 물류를 운영하는 법을 안다. 이 사건이 요구하는 역량은 다르다. 협력업체와의 경계를 실패에도, 업체 교체에도, 감시에도 견디도록 설계하는 일이다. 그 경계가 서명된 조항과 발송된 공지로만 존재하는 한, 다음 통지의 구조는 2019년과 같을 것이다. 장소는 있고, 책임자는 없다.