‘강남언니’ 개인정보 22만여명 유출…시술 내역·상담 등록 사진도 샜다

API 허점 뚫려 22만여명 정보 유출…“경찰 수사 의뢰·보안 전면 강화”

미용 의료 정보 플랫폼 ‘강남언니’ 홈페이지에 올라온 개인정보 유출 사과문. 강남언니 홈페이지 갈무리

미용 의료 정보 플랫폼 ‘강남언니’에서 국내외 이용자 22만여명의 개인정보가 유출되는 대형 보안 사고가 발생했다. 단순 인적 사항뿐만 아니라 상담 내역, 미용 시술 정보, 등록 사진 등 극히 민감한 개인 정보까지 대거 포함돼 2차 피해 우려가 커지고 있다.

강남언니 운영사 힐링페이퍼는 지난 4일 상담 내역을 조회하는 연동 기능(API)에 비정상적인 접근이 시도되어 일부 고객의 개인정보가 유출된 사실을 포착했다고 7일 공지했다.

이번 사고로 정보가 유출된 이용자는 총 21만 9665명에 달한다. 국적별로는 한국 이용자가 약 16만명으로 가장 많았다. 이어 일본 약 4만8000명, 대만 4218명, 태국 ,591명, 중국 481명, 영어권 및 기타 국가 5308명 등 글로벌 이용자 피해도 잇따랐다.

유출 항목에는 이름, 연락처(전화번호·이메일), 생년월일, 성별, 거주 지역, 소셜 로그인 ID, 접속 IP 등 기본 인적 사항이 포함됐다.

더 큰 문제는 미용·성형 의료 특성상 타인에게 공개되기 꺼려지는 민감 정보가 대량 유출됐다는 점이다. △상담 신청 병원 및 의사명 △관심·신청·실제 시술 정보 △방문·시술 일시 △상담 등록 사진 △예약 희망 시간 △가격 및 결제 금액·수단 등 구체적인 서비스 이용 및 결제 내역이 대거 포함됐다.

힐링페이퍼 측은 지난 4일 이상 징후를 실시간으로 포착한 즉시 해당 접근 경로를 차단하고 시스템 긴급 점검에 나섰다고 설명했다. 그러나 동일한 공격자가 이튿날인 5일 다른 경로로 재차 접근을 시도한 사실이 확인돼 추가 차단 조치를 시행했다고 밝혔다.

이후 회사 측은 전체 시스템 전수 점검을 거쳐 인증 절차 강화, 이상 접근 탐지 체계 고도화, 권한 검증 로직 재정비 등 보안 시스템 보강을 완료했다고 해명했다.

아울러 한국인터넷진흥원(KISA)에 유출 사실을 자진 신고하고 피해 고객에게 개별 통지를 진행했다. 고객별 개별 유출 항목은 강남언니 공식 홈페이지 내 확인 조회 기능을 통해 30일간 열람할 수 있다고 전했다.

홍승일 대표이사는 공지를 통해 “정보보호 및 보안 투자를 최우선 순위로 여기고 ISMS(정보보호 관리체계) 인증에 따라 보호 조치를 개선해왔으나, 예상치 못한 공격으로 심려를 끼쳐 진심으로 사과드린다”며 “공격자를 특정할 수 있는 정황을 다수 확보해 지난 6일 관할 경찰서에 수사를 의뢰했다”고 전했다.

회사 측은 2차 피해 예방을 위해 “강남언니나 협력 병원을 사칭해 할인 혜택, 병원 안내 등을 명목으로 연락해 오거나 출처가 불분명한 링크 클릭 및 금융 정보를 요구하는 경우 절대 응하지 말아달라”고 당부했다.

김건주 기자 gun@kukinews.com