독학으로 따릉이 서버 뚫은 중학생

개인정보 462만건 유출한 혐의
10대 남학생 두 명 불구속 송치

서울시 공공자전거 '따릉이' 서버에 침입해 450만건 이상의 가입자 정보를 유출한 10대 남성 2명이 검찰에 넘겨졌다. 이들은 범행 당시 중학생이었다. 경찰은 범행 동기에 판매 목적은 없었는지를 들여다보고 있다.

서울경찰청 사이버수사과는 정보통신망법 위반(정보통신망 침해 등) 혐의로 10대 남성 A군과 B군을 불구속 송치했다고 23일 밝혔다.

A군 B군은 지난 2024년 6월 28일부터 29일 사이 서울시설공단이 운영하는 따릉이 서버에 침입해 가입자 아이디, 휴대전화 번호 등 개인정보 약 462만건을 빼낸 혐의를 받는다.

유출된 정보에는 이메일 주소, 주소지, 생년월일, 성별, 체중 등도 포함됐으며 성명과 주민등록번호는 포함되지 않은 것으로 파악됐다.

이들은 사회관계망서비스(SNS)를 통해 만났으며 범행 당시는 중학생 신분이었던 것으로 확인됐다. 서울시설공단의 서버에 취약점이 있다는 사실을 알게 된 B군은 A군에게 서버에 침입할 것을 제안했고, B군이 개인정보를 내려받자고 하면서 범행이 이뤄졌다. 이들은 모두 해킹과 관련한 지식을 독학한 것으로 알려졌다.

B군은 이보다 앞선 2024년 4월 9일부터 13일 사이에 또 다른 공유 모빌리티 업체 서버에 약 47만회의 대량 신호를 보내는 이른바 '디도스(DDoS·분산서비스거부) 공격'을 가해 장비 대여 업무를 방해한 혐의도 받는다.

경찰은 진술을 거부한 A군에 대해 두 차례 구속영장을 신청했으나, 소년범인 점 등을 이유로 검찰이 청구하지 않았다고 설명했다.

B군은 범행 동기에 대해 자기 과시 목적이었다고 진술한 것으로 전해졌다.

[e-mail] 서지윤 기자