강남언니 사이트 화면

미용의료 플랫폼 ‘강남언니’에서 국내외 이용자 21만9665명의 개인정보가 유출됐다. 이름과 연락처뿐 아니라 상담 내용과 실제 시술 정보, 일부 결제 정보 등 민감한 개인정보도 포함된 것으로 확인됐다.

강남언니 운영사 힐링페이퍼는 7일 공지를 통해 지난 4일 상담 내역을 조회하는 연동 기능(API)에 비정상적인 접근이 발생해 일부 고객의 개인정보가 유출됐다고 밝혔다.

회사는 이상 징후를 실시간으로 확인한 뒤 해당 접근 경로를 차단하고 긴급 보안 조치를 진행했다. 그러나 5일 동일 공격자가 다른 경로를 통해 재차 접근을 시도한 사실을 확인해 해당 경로도 차단했다.

이후 유사한 접근이 가능한 지점이 남아 있을 가능성에 대비해 전체 시스템을 점검하고 인증 절차 강화, 이상 접근 탐지체계 고도화, 권한 검증 로직 재정비 등의 조치를 했다고 설명했다.

유출된 이용자는 모두 21만9665명이다. 국가별로는 한국 이용자가 약 16만명으로 가장 많았고 일본 약 4만8000명, 대만 4218명, 태국 1591명, 중국 481명, 영어권 및 기타 국가 5308명 등이다.

유출 항목에는 이름·전화번호·이메일·생년월일·성별·국가 및 거주 지역과 소셜 로그인 ID, 접속 IP, 이용 단말 정보, 앱 버전 등이 포함됐다.

특히 상담 신청 과정에서 입력한 이벤트·시술명과 병원명, 의사명, 방문자 정보, 예약 희망 시간, 상담 동기, 상담 진행 상태, 상담 등록 사진 등도 유출 대상에 포함됐다.

이용자가 관심을 보이거나 신청한 시술 정보와 실제 시술 내용, 내원 및 시술 일시, 시술 의사명도 일부 유출됐다. 결제 가격과 결제 방법 및 시각, 결제자 정보 등 결제 관련 정보도 포함된 것으로 나타났다.

힐링페이퍼는 이번 사고와 관련해 공격자를 특정할 수 있는 정황을 확보했다며 지난 6일 관할 경찰서에 수사를 의뢰했다. 한국인터넷진흥원(KISA)에도 개인정보 유출 사실을 자진 신고했다.

회사는 유출 대상 이용자에게 개별적으로 통지했으며, 강남언니 홈페이지에서 30일 동안 자신의 개인정보 중 어떤 항목이 유출됐는지 확인할 수 있도록 했다.

힐링페이퍼는 강남언니나 병원을 사칭해 할인 혜택이나 병원 안내를 내세우면서 링크 클릭이나 개인정보·금융정보 제공을 요구하는 문자와 전화, 이메일에 응하지 말 것을 당부했다.

홍승일 힐링페이퍼 대표는 “힐링페이퍼는 이번 사고 발생에 대해 엄중하게 받아들이고 있으며 유사 사고 재발 방지를 위해 경찰 수사 및 관계기관 조사에 적극 협조하겠다”며 “기존 보호조치의 실효성을 전면 재점검하고 필요한 추가 투자와 재발 방지 대책을 신속히 이행할 수 있도록 최선을 다하겠다”고 밝혔다.