미용의료 플랫폼 '강남언니'에서 국내외 이용자 약 22만명의 개인정보가 유출됐다. 이름과 연락처를 비롯해 병원·의사명, 상담 사진, 실제 시술과 결제 내역까지 포함돼 사생활 침해와 피싱 등 2차 피해 우려가 커지고 있다.
강남언니 운영사 힐링페이퍼는 7일 개인정보 유출 사실을 공지하고 지난 4일 상담 내역을 조회하는 연동 기능(API)에 비정상적인 접근이 발생했다고 밝혔다. 회사는 이상 징후를 포착한 직후 해당 경로를 차단했지만 다음 날인 5일 같은 공격자가 다른 경로를 통해 다시 접근을 시도한 사실도 확인했다.
힐링페이퍼는 이후 전체 시스템을 점검하고 인증 절차 강화, 이상 접근 탐지체계 고도화, 권한 검증 로직 재정비 등 보안 조치를 진행했다고 설명했다. 한국인터넷진흥원(KISA)에는 개인정보 유출 사실을 자진 신고했고, 유출 대상 이용자에게도 개별 통지했다.
공격자를 특정할 수 있는 정황도 확보했다는 게 회사 측 설명이다. 힐링페이퍼는 사고 경위를 파악하고 추가 피해를 막기 위해 지난 6일 관할 경찰서에 수사를 의뢰했다고 밝혔다.
유출 대상은 모두 21만9665명이다. 한국 이용자가 약 16만명으로 가장 많았고 일본 약 4만8000명, 대만 4218명, 태국 1591명, 중국 481명, 영어권과 기타 국가 이용자 5308명 등이 포함됐다.
유출 범위는 기본적인 신원정보에 그치지 않았다. 이름과 전화번호, 이메일, 생년월일, 성별, 국가 및 거주 지역뿐 아니라 소셜로그인 ID와 내부 식별 ID, 이용 단말 정보, 앱 버전, 접속 IP 등이 외부로 빠져나간 것으로 확인됐다.
상담 과정에서 남긴 정보도 포함됐다. 이용자가 신청한 이벤트와 시술명, 의사명, 병원명, 방문자 이름·연락처, 상담 진행 상태와 상담 등록 사진, 페이지 유입 경로, 예약 희망 시간, 상담 생성·수정 시각과 예약 확정 시각, 상담 동기 등이 유출 대상에 들어갔다.
일부 결제·시술 정보도 포함됐다. 가격과 사용 포인트, 주문·거래 식별번호, 결제 금액·방법·시각, 결제자 이름·연락처, 결제 옵션과 수량 등이 유출됐고 관심·신청·실제 시술 정보와 내원·시술 일시, 시술 의사 식별 값도 포함됐다.
이처럼 실제 병원 이용과 시술 과정을 추정할 수 있는 정보가 빠져나간 만큼 사생활 침해 가능성이 제기된다. 특히 유출된 병원명이나 상담·예약 정보를 활용해 실제 이용 이력이 있는 것처럼 접근하는 피싱 등에 악용될 가능성도 있다.
힐링페이퍼는 이용자가 본인에게 해당하는 유출 항목을 확인할 수 있도록 강남언니 홈페이지에 조회 기능을 마련했다. 해당 기능은 공지 게시일로부터 30일 동안 이용할 수 있다.
회사 측은 강남언니나 병원을 사칭해 병원 안내나 할인 혜택 등을 내세우거나 링크 클릭을 유도하는 문자·전화·이메일에 주의해달라고 당부했다. 개인정보나 금융정보를 요구하는 연락에도 응하지 말 것을 요청했다.
홍승일 힐링페이퍼 대표는 사과문을 통해 "이번 사고 발생에 대해 엄중하게 받아들이고 있으며, 다시 한번 강남언니를 믿고 이용해주시는 고객님께 진심으로 사과드린다"라고 밝혔다.
홍민성 한경닷컴 기자 mshong@hankyung.com