강남언니, 시술·상담 내역 포함 22만명 개인정보 유출…경찰 수사 의뢰

미용의료 플랫폼 '강남언니'에서 이름과 연락처는 물론 시술·상담 내역까지 포함된 약 22만명의 고객 개인정보가 유출됐다. 운영사인 힐링페이퍼는 관할 경찰서에 수사를 의뢰하고 한국인터넷진흥원(KISA)에 유출 사실을 자진 신고했다.

7일 업계에 따르면 유출은 지난 4일 상담내역을 조회하는 연동 기능(API)에 비정상적인 접근이 시도되면서 발생했다. 힐링페이퍼는 이상 징후를 실시간으로 포착한 직후 해당 접근 경로를 차단하고 시스템 전반에 긴급 보안 조치를 취했다. 그러나 다음 날인 5일 동일한 공격자가 이전과 다른 경로로 재차 접근을 시도한 사실이 추가로 확인돼 이 경로도 차단했다.

정보가 유출된 고객은 총 21만9665명으로 집계됐다. 국가별로는 한국이 약 16만명으로 가장 많고, 일본 약 4만8000명, 대만 4218명, 태국 1591명, 중국 481명, 영어권 및 기타 국가 5308명이다.

유출 항목은 범위가 넓다. 이름, 연락처, 생년월일, 성별, 국가 및 거주지역, 소셜로그인 아이디(ID), 서비스 이용정보(단말 정보·앱 버전·접속 IP)에 더해 상담신청 항목(이벤트 및 시술명, 의사명, 병원명, 방문자 정보), 상담 이용정보(진행상태, 상담 등록사진, 예약 시간 등), 결제 정보(가격, 결제 금액·방법·시각, 결제자 정보), 시술 정보(관심·신청·실제 시술 내용, 내원 일시)가 포함됐다.

이번 사고가 특히 무겁게 받아들여지는 이유는 유출된 정보의 성격에 있다. 이름과 전화번호 같은 기본 식별정보와 달리, 어떤 시술을 상담했고 어느 병원의 어느 의사를 만났는지는 개인이 스스로 드러내지 않으려는 영역이다. 손승우 법무법인 율촌 상임고문은 "의료 관련 정보는 개인 인격과 관련된 극도로 민감한 데이터로, 정보 유출 시 그 심각성이 대단히 크다"면서 "소비자 입장에서 취할 수 있는 조치도 현실적으로 많지 않아 유출된 시술·상담 내역을 악용해 병원이나 플랫폼을 사칭하는 맞춤형 피싱에 속지 않도록 피해 예방에 각별히 주의해야 한다"고 말했다.

힐링페이퍼는 지난 6일 정확한 경위 파악과 2차 피해 방지를 위해 관할 경찰서에 수사 의뢰를 접수했다. 유출 이후 시스템 전수 점검을 실시했으며 인증 절차 강화 등 추가 보안 조치를 이어가고 있다. 유출 대상 고객에게는 개별 통지를 진행 중이며, 유출 여부는 공지 게시일로부터 30일간 강남언니 홈페이지에서 확인할 수 있다. 회사는 출처가 불분명한 문자·전화·이메일에 유의하고, 개인정보나 금융정보를 요구하는 연락에는 응하지 말 것을 당부했다.

홍승일 힐링페이퍼 대표는 안내문에서 "이번 사고 발생을 엄중하게 받아들이고 있다"며 "다시 한번 강남언니를 믿고 이용해주시는 고객님께 진심으로 사과드린다"고 밝혔다. 공격자의 신원과 유출된 정보의 유통 여부, 구체적인 침입 수법 등은 아직 확인되지 않았다.