미용의료 플랫폼 강남언니 22만 명 개인정보 유출, 시술 사진과 내원 기록까지 털렸다

정부 합동 조사 착수 속 미용의료 플랫폼 강남언니 22만 명 개인정보 유출 사태로 업계 전반 긴장 고조

미용의료 정보 플랫폼 ‘강남언니’를 운영하는 주식회사 힐링페이퍼(대표 홍승일)는 지난 7일 자사 공식 홈페이지 공지사항을 통해 외부 해킹 공격으로 인해 국내외 이용자 22만여 명의 개인정보가 대규모로 유출되는 사고가 발생했다고 공식 발표했다. 힐링페이퍼는 사과문을 게시하고 병원 상담 내역을 조회하는 애플리케이션 프로그래밍 인터페이스(API)의 이상 징후를 감지하여 차단 조치를 취했으나, 이용자의 민감한 상담 이력과 결제 정보 등이 포함된 대량의 데이터가 외부로 빠져나간 사실을 최종 확인했다고 설명했다.

이번 침해 사고는 단순한 연락처 유출 수준이 아니라 이용자가 성형 및 미용 시술을 위해 등록한 상담 사진과 실제 내원 일시, 결제 수단까지 무단 탈취된 것으로 파악되어 막대한 파장을 낳고 있다. 개인정보보호위원회와 한국인터넷진흥원(KISA), 경찰청 사이버수사대가 전면 조사 및 수사에 착수한 가운데, 동종 플랫폼 업계 역시 자체 연동망 전수 점검에 돌입하는 등 플랫폼 보안 생태계 전반이 초비상 사태를 맞았다.

21만 9665명 덮친 해킹 참사… 국경 넘은 대규모 데이터 유출 피해

힐링페이퍼가 자체 시스템 로그를 전수 조사하여 공식 집계한 피해 이용자는 총 21만 9665명에 달한다. 국적별로는 우리나라 국적 이용자가 약 16만 명으로 가장 큰 비중을 차지했으며, 일본 이용자 4만 8000명, 대만 이용자 4218명, 태국 이용자 1591명, 중국 이용자 481명, 기타 국가 이용자 5308명 등으로 집계됐다.

이 같은 피해 통계는 강남언니가 ‘K-뷰티’ 열풍을 타고 일본 등 아시아 각국으로 사업 영역을 적극 확장해 온 플랫폼이라는 점에서 해외 환자 유치 시장에도 적지 않은 악재로 작용할 전망이다. 외국인 의료 관광객들이 시술 및 수술 상담을 위해 플랫폼에 입력했던 정보까지 광범위하게 노출됨에 따라 글로벌 서비스로서의 공신력에도 심각한 타격이 불가피해졌다. 힐링페이퍼는 국내 피해자 뿐만 아니라 일본을 비롯한 해외 피해자들에게도 다국어 안내 체계를 가동하여 사고 경위를 전달하고 추가 피해 방지 조치를 안내하고 있다고 전했다.

‘정치적 안배는 독’ 의과대학 신설의 유일한 기준은 오직 교육 인프라뿐이다.

성형 시술명부터 신체 사진·결제 수단까지… 치명적인 민감정보 노출

이번 정보 유출 참사에서 가장 심각한 위험 요인으로 꼽히는 대목은 유출 데이터의 높은 민감도다. 힐링페이퍼가 공지한 유출 항목에는 이름, 전화번호, 이메일 주소, 생년월일, 성별, 거주지, 소셜 로그인 ID, 접속 IP 주소, 단말기 식별 정보 등 일반적인 개인 식별 정보가 대거 포함됐다.

더욱 심각한 문제는 개인이 극도로 보호하고자 하는 사생활 정보가 무방비로 유출됐다는 점이다. 유출 내역에는 이용자가 상담을 신청했던 구체적인 이벤트명 및 시술명, 병원명, 담당 의사명, 예약 시간, 구체적인 상담 동기가 포함됐다. 심지어 이용자가 시술 전 상담 및 견적 확인을 목적으로 직접 업로드한 신체 부위 및 얼굴 등의 등록 사진, 실제 병원에 내원하여 받은 시술 내역, 내원 일시, 결제 금액 및 결제 수단까지 통째로 유출된 상태로 확인됐다.

성형 및 미용 시술 내역과 개인의 신체 사진은 개인의 외모 콤플렉스나 건강 상태를 직접 유추할 수 있는 최고 수준의 민감정보로 취급되어 사생활 침해 우려가 커지고 있다. 힐링페이퍼는 유출된 데이터를 악용해 병원 관계자나 플랫폼 고객센터를 사칭하는 피싱, 스미싱, 보이스피싱, 악의적인 사생활 유포 협박 등 2차 피해가 발생할 가능성을 경고했다. 힐링페이퍼는 또한 의심스러운 문자메시지의 인터넷 주소(URL)를 절대 클릭하지 말고, 플랫폼 명의로 발송되는 금융 정보 요구 연락에 각별히 유의해 줄 것을 호소했다.

이틀 연속 뚫린 API 연동 기능… 힐링페이퍼 긴급 차단과 보안 강화

최초의 침입 공격은 지난 9월 4일 시작됐다. 힐링페이퍼는 모바일 앱과 서버 간 상담 내역을 실시간으로 조회하고 연동하는 기능인 API 경로에서 통상적이지 않은 대규모 비정상 접근 시도를 감지했다. 힐링페이퍼 관제팀은 이상 징후를 실시간으로 포착한 즉시 해당 유입 경로를 원천 차단하고 시스템 전반에 걸친 긴급 방어막을 쳤다.

그러나 해커의 집요한 침투는 여기서 멈추지 않았다. 힐링페이퍼는 실시간 방어 대응을 이어가던 이튿날인 9월 5일, 동일한 공격자가 이전 차단 경로를 우회하여 완전히 다른 네트워크 경로로 2차 접근을 감행한 사실을 추가로 파악했다. 힐링페이퍼는 우회 침투 경로마저 즉시 차단했으나, 이 과정에서 22만여 명의 데이터가 외부로 전송되는 피해를 막지 못했다.

힐링페이퍼는 그동안 과학기술정보통신부와 한국인터넷진흥원(KISA)의 정보보호 공시를 통해 매년 보안 투자액과 인력 현황을 투명하게 공개해 왔으며, 정보보호 관리체계(ISMS) 인증을 유지하며 안전 조치를 취해 왔다고 해명했다. 하지만 핵심 연동 기능인 API 단의 매개변수 검증 취약점을 방치해 대규모 유출을 초래했다는 비판은 피하기 어렵게 됐다. 힐링페이퍼는 사고 이후 사내 전체 시스템에 대한 전수 점검 단행과 함께 기술적 보완 조치를 완료했다고 발표했다.

개인정보보호위원회·경찰청 전격 착수… 안전조치 위반 여부 정밀 조사

개인정보보호위원회는 즉시 현장 조사관을 파견하여 기술 분석 및 법령 위반 여부 조사에 돌입했다. 개인정보보호위원회는 힐링페이퍼가 개인정보 보호법 제29조에 규정된 ‘안전조치의무’를 적정하게 이행했는지를 핵심 쟁점으로 삼고 있다. 개인정보보호위원회는 플랫폼 측이 API 연동 과정에서 접근 통제 권한을 엄격하게 관리했는지, 민감정보에 준하는 성형 상담 사진 및 결제 데이터를 안전하게 암호화하여 저장·전송했는지를 집중 점검하고 있다.

개인정보보호위원회는 힐링페이퍼에 대한 조사를 진행 중이며, 조사 결과 플랫폼 사업자의 중대한 과실이나 법적 의무 위반이 확인될 경우 개정 개인정보 보호법에 의거해 관련 법령에 따른 엄정한 행정 처분을 검토할 것으로 전망된다. 한국인터넷진흥원 역시 악의적 해커가 활용한 취약점의 상세 메커니즘을 분석하여 유관 플랫폼 기업들에 보안 보안 권고안을 전파하고 2차 피해 모니터링을 지원하고 있다.

동시에 경찰청 사이버수사대도 본격적인 침해 사고 원인 규명에 나섰다. 경찰은 힐링페이퍼가 제출한 자료를 바탕으로 해커 조직의 실체를 쫓고 있다. 사이버수사대는 유출된 상담 내역 및 사진이 불법 유통되거나 금전 갈취에 이용되는지 집중 모니터링을 전개하고 있으며, 추가적인 범죄 피해를 막기 위해 수사력을 집중하고 있다.

바비톡 등 O2O 플랫폼 업계 초비상… 연동망 전수 점검 및 자정 대책

국내 1위 미용의료 플랫폼 강남언니의 대규모 해킹 사태는 동종 O2O 플랫폼 업계 전체에 커다란 충격파를 던졌다. 성형·피부 시술 정보 시장에서 경쟁을 벌이고 있는 바비톡을 비롯한 주요 헬스케어 및 뷰티 플랫폼 운영사들은 연이은 사생활 침해 논란에 자사 인프라망의 보안 실태를 예의주시하고 있다.

이번 사태를 계기로 병원 전자의무기록(EMR) 시스템 및 외부 제휴사와의 데이터 송수신을 담당하는 연동 API 엔드포인트에 대한 전수 보안 점검의 중요성이 대두되고 있다. 타사 플랫폼 기업들은 이번 유출 경로로 지목된 비정상 매개변수 호출 공격을 방어하기 위해 외부 호출 트래픽 검증 로직을 제로 트러스트(Zero Trust) 수준으로 강화하고, 웹 방화벽(WAF)의 차단 규칙을 최신 위협 패턴으로 일제히 정기 점검해야 할 과제를 안게 됐다. 아울러 혹시 모를 침투 시도에 대비해 비정상 세션 생성 및 비인가 대량 데이터 조회 탐지 시스템을 24시간 풀가동 체제로 유지할 필요성이 제기된다.

연동 API의 구조적 취약점 노출은 미용의료 플랫폼 생태계 전반에 대한 소비자 불신이 극에 달할 것으로 보인다. 주요 플랫폼 기업들은 이용자들의 불안감을 해소하기 위해 민감한 상담 내역과 결제 정보를 안전하게 보호할 수 있는 실효성 있는 대책 마련에 나서야 한다. 외부 연동 API가 플랫폼 서비스의 최대 보안 아킬레스건으로 떠오른 만큼, 개별 기업 단위의 방어를 넘어 플랫폼 협회 차원의 공통 보안 가이드라인 마련과 상시 점검 체계 도입이 시급한 과제로 떠오르고 있다.

당신이 좋아할만한 기사

어깨 승모근 종양의 정체와 치료법, 단순 근육통인 줄 알았는데 혹시 암일까?