미용의료 강남언니 약 22만명 개인정보 유출...병원명·시술 이력까지

[파이낸셜뉴스] 미용의료 플랫폼 강남언니에서 국내외 이용자 약 22만명의 개인정보가 새어나갔다. 이름과 연락처를 넘어 상담을 신청한 시술명과 병원명, 실제 시술 이력, 결제 내역까지 포함돼 병원이나 플랫폼을 사칭한 2차 피해 우려가 커지고 있다.

7일 힐링페이퍼에 따르면 지난 4일 상담내역을 조회하는 연동 기능(API)에 비정상적인 접근이 시도돼 일부 고객 개인정보가 유출됐다. 힐링페이퍼는 이상 징후를 실시간으로 포착한 직후 해당 접근 경로를 차단했으나, 같은 공격자가 5일 다른 경로로 재차 침입을 시도한 사실도 확인했다. 홍승일 힐링페이퍼 대표는 공지문에서 "예상치 못한 공격으로 사고가 발생했다"며 고개를 숙였다.

유출 규모는 21만9665명이다. 한국 이용자가 약 16만명으로 가장 많고 일본 4만8000명, 대만 4218명, 태국 1591명, 중국 481명, 영어권 및 기타 국가 5308명이 뒤를 이었다. 강남언니가 일본과 대만 등에서 현지 이용자를 빠르게 늘려온 만큼 피해가 국경을 넘어 확산된 셈이다.

문제는 유출 항목의 민감도다. 이름, 전화번호, 이메일, 생년월일, 성별, 거주 국가와 지역, 소셜 로그인 아이디, 접속 IP, 단말 정보 같은 기본 신원 정보에 그치지 않았다. 이용자가 상담을 신청한 이벤트 및 시술명, 병원명, 의사명, 예약 희망 시간, 상담 동기와 진행 상태, 상담 등록 사진도 빠져나갔다. 관심 시술과 실제 시술 정보, 내원 및 시술 일시, 시술 의사 식별값, 결제 금액과 수단, 결제 시각, 사용 포인트, 주문 식별번호까지 일부 포함됐다.

개인의 건강 상태나 외모 관련 고민을 추정할 수 있는 정보라는 점에서 파급력이 크다. 얼굴 사진과 시술 이력이 결합되면 단순 스팸을 넘어 협박성 연락이나 정밀 표적 피싱으로 번질 수 있다. 이름과 병원명, 예약 시간을 그대로 언급하며 접근하는 사칭 시도는 이용자가 진위를 가려내기 어렵다. 업계에서는 사생활 침해와 금융 사기로 연결될 가능성을 우려한다.

힐링페이퍼는 전체 시스템 전수 점검을 마쳤다. 인증 절차 강화, 이상 접근 탐지체계 고도화, 권한 검증 로직 재정비 등 기술적 조치를 완료했다는 설명이다. 한국인터넷진흥원(KISA)에 유출 사실을 자진 신고했고, 6일 관할 경찰서에 수사를 의뢰했다. 공격자를 특정할 수 있는 정황도 다수 확보했다고 밝혔다.

유출 대상 이용자에게는 개별 통지를 마쳤다. 강남언니 홈페이지에서는 공지 게시일로부터 30일간 본인에게 해당하는 유출 항목을 직접 조회할 수 있다. 회사는 출처가 불분명한 문자와 전화, 이메일에 응하지 말고, 강남언니나 병원을 내세워 할인 혜택이나 병원 안내를 명목으로 링크 클릭을 유도하는 연락을 특히 경계해 달라고 당부했다.
힐링페이퍼는 그동안 KISA 정보보호 공시를 통해 투자와 인력 현황을 공개하고 정보보호 관리체계 인증(ISMS)에 맞춰 보호조치를 개선해 왔다는 입장이다. 그럼에도 API 권한 검증이라는 취약 지점이 뚫렸다. 개인정보보호법은 민감정보 처리 시 별도 동의와 강화된 안전조치를 요구한다. 개인정보보호위원회 조사 결과에 따라 과징금 부과 여부가 가려질 전망이다

[email protected] 강구귀 기자