길길인사이트
강남언니 22만 명 개인정보 유출 사고 발생
국내외 이용자 22만 명에 달하는 미용의료 플랫폼 '강남언니'의 개인정보가 외부 공격으로 인해 유출되는 사고가 발생했습니다. 강남언니 운영사 힐링페이퍼는 지난 12월 7일 홈페이지 공지사항을 통해 관련 사실을 공식 인정했습니다.
이번에 유출된 회원은 총 21만 9,665명입니다. 국가별로는 한국 이용자가 약 16만 명으로 가장 많고, 일본 4만 8,000명, 대만 4,218명, 태국 1,591명, 중국 481명, 영어권 및 기타 국가 5,308명 순으로 집계되었습니다.
유출된 항목은 단순한 연락처를 넘어 상세한 서비스 이용 기록까지 포함되어 있습니다. 이름, 전화번호, 이메일, 생년월일, 성별, 국가, 소셜로그인 ID뿐만 아니라, 상담 신청 항목과 예약 확정 시각, 결제 금액, 실제 시술 정보 및 내원 일시까지 포함된 것으로 확인되었습니다.
저는 이번 유출 항목 중에서 '시술 정보'와 '상담 내역'이 포함되었다는 점을 무겁게 봅니다. 일반 쇼핑몰과 달리 의료·미용 플랫폼의 특성상 타인에게 공개하기 꺼려지는 민감한 개인 프라이버시가 담겨 있기 때문입니다. 유출된 데이터의 민감도를 고려할 때, 2차 피해 발생 가능성에 대해 각별한 주의가 필요합니다.
API 취약점을 노린 연속적인 해킹 공격
발표에 따르면 해커는 지난 12월 4일 강남언니의 상담 내역을 조회하는 연동 기능인 API(Application Programming Interface)에 비정상적인 방식으로 접근을 시도했습니다. 운영사는 이상 징후를 실시간 감지해 즉시 차단했다고 밝혔습니다.
하지만 공격자는 다음 날인 12월 5일, 이전과 다른 새로운 경로를 통해 재차 접근을 시도한 것으로 확인되었습니다. 강남언니 측은 해당 경로를 다시 차단한 뒤 전체 시스템 전수 점검을 실시하고 인증 절차 강화, 권한 검증 로직 재정비 등 기술적 조치를 완료했다고 설명했습니다.
개발자 입장에서 이 과정을 복기해 보면, 1차 차단 이후에도 즉시 우회 경로를 찾아내 재공격했다는 점에서 공격자가 시스템 구조를 상당 부분 파악하고 있었던 것으로 보입니다. API 보안 로직 설계 단계에서 권한 검증(Authorization)에 허점이 없었는지 면밀한 사후 분석이 있어야 할 것입니다.
KISA 신고 및 경찰 수사 의뢰 진행 상황
강남언니 측은 유출 사고 인지 후 한국인터넷진흥원(KISA)에 자진 신고를 마쳤으며, 피해를 입은 고객들에게 개별 통지 및 안내를 시작했습니다. 또한 공격자를 특정할 수 있는 다수의 정황 정보를 확보하여 12월 6일 관할 경찰서에 수사를 의뢰한 상태입니다.
홍승일 힐링페이퍼 대표는 이번 사고를 엄중하게 받아들이고 있으며, 서비스를 믿고 이용해 준 고객들에게 진심으로 사과드린다는 입장을 표명했습니다.
회사가 경찰에 확보된 정황을 넘긴 만큼 신속한 피의자 검거가 이루어질지 지켜봐야겠습니다. 다만 이미 유출된 개인정보는 회수가 불가능하므로, 사후 조치 못지않게 즉각적인 피해 방어 대책이 시급합니다.
피해자 대응 요령과 예상되는 2차 피해 우려
유출된 상세 정보에 실제 시술 내역과 내원 일시, 결제 금액이 포함되어 있어 이를 악용한 정교한 스미싱이나 보이스피싱 시도가 발생할 우려가 매우 높습니다. 시술 병원이나 강남언니 고객센터를 사칭해 '환불 처리', '예약 오류 변경' 등을 명목으로 링크 클릭이나 송금을 유도하는 시나리오가 대표적입니다.
저는 이용자분들이 당분간 강남언니 혹은 피부과·성형외과 명의로 발송되는 문자메시지 내 웹링크(URL)는 절대 클릭하지 말아야 한다고 봅니다. 의심스러운 연락을 받았을 때는 메시지에 적힌 번호가 아닌, 병원 공식 번호나 플랫폼 공식 채널을 통해 직접 사실 여부를 재확인하는 습관이 안전을 지키는 가장 확실한 방법입니다.
