강남언니 22만명 유출, API 하나가 뚫렸다

무슨 일이 있었나

미용의료 플랫폼 강남언니 운영사 힐링페이퍼가 약 22만 명 규모의 개인정보 유출을 인정했다. 회사 설명에 따르면 사고는 지난 4일 상담 내역을 조회하는 연동 기능, 즉 API에 비정상적인 접근이 발생하면서 시작됐다. 이후 9일 회사는 2차 입장문을 내고 피해 고객 보상안과 추가 보안 강화 조치를 공개했다.

보상안의 핵심은 1인당 5만 원 보상과 최대 1000만 원 보험 지원이다. 유출된 정보에는 이름·연락처 같은 기본 항목을 넘어 시술명과 상담 과정에서 올린 사진까지 포함된 것으로 전해졌다.

왜 이번 유출이 특히 민감한가

일반적인 쇼핑몰 유출과 이번 건은 성격이 다르다. 유출 항목에 시술명과 상담 사진이 들어갔기 때문이다. 어떤 시술을 상담했는지는 개인정보보호법이 특별히 두텁게 보호하는 건강 관련 정보의 성격을 띠고, 성형·미용 영역에서는 본인이 주변에 알리고 싶지 않은 경우가 대부분이다. 신용카드 번호는 재발급하면 되지만, "누가 어떤 시술을 상담했다"는 사실은 되돌릴 수 없다.

여기에 상담 사진이 더해지면 문제는 더 커진다. 얼굴 사진은 그 자체로 생체정보에 준하는 식별력을 갖는다. 유출된 데이터가 2차 유통될 경우 협박이나 표적 마케팅에 쓰일 여지가 있다는 점에서, 단순 수치상 22만 명보다 실질적 피해 강도가 클 수 있다.

API가 뚫린다는 것의 의미

주목할 부분은 침입 경로가 서버 해킹이나 직원 계정 탈취가 아니라 정상적으로 열려 있던 연동 API였다는 점이다. 최근 플랫폼 서비스는 앱, 웹, 제휴 병원용 시스템이 각각 API로 데이터를 주고받는 구조라 API 수가 빠르게 늘어난다. 문제는 인증은 통과했지만 "이 사용자가 이 데이터를 볼 권한이 있는가"를 요청 단위로 검증하지 않는 설계 결함이 흔하다는 것이다. 조회 파라미터의 식별자만 바꿔 남의 데이터를 긁어오는 방식이 대표적이다.

국내에서도 최근 몇 년간 대형 유출 사고의 상당수가 방화벽을 뚫은 정교한 공격이 아니라 이런 권한 검증 누락, 비정상적 대량 조회 미탐지에서 비롯됐다. 대량 조회 자체를 이상 징후로 잡아내는 모니터링이 없으면, 공격자는 정상 트래픽처럼 보이는 요청을 반복하며 데이터베이스를 그대로 복사해 갈 수 있다.

보상 5만 원은 적절한가

국내 개인정보 유출 사고의 자율 보상은 통상 쿠폰이나 소액 포인트에 그쳤던 전례를 감안하면, 현금성 5만 원 일괄 보상은 상대적으로 신속하고 구체적인 편이다. 최대 1000만 원 보험은 2차 피해가 실제로 발생했을 때의 안전장치 성격에 가깝다.

다만 보상액의 적정성은 유출 정보의 민감도로 따져야 한다. 과거 법원은 유출 사고 손해배상에서 정보의 민감도와 사업자의 과실 정도를 함께 봤다. 이번처럼 건강·외모 관련 정보와 사진이 포함된 경우, 별도의 민사 소송에서 다른 판단이 나올 여지가 남아 있다. 개인정보보호위원회 조사 결과에 따라 과징금 산정도 뒤따를 가능성이 있다.

이용자는 지금 무엇을 해야 하나

첫째, 자신이 유출 대상인지 개별 통지를 확인해야 한다. 개인정보보호법상 사업자는 유출 사실과 항목을 당사자에게 알릴 의무가 있다. 둘째, 유출된 연락처를 노린 스미싱·보이스피싱 시도를 경계해야 한다. "유출 보상 신청"을 사칭한 링크는 사고 직후 가장 흔한 2차 공격 패턴이다. 공식 앱과 공지 채널 외의 링크는 열지 않는 것이 안전하다.

셋째, 같은 비밀번호를 다른 서비스에서 재사용 중이라면 즉시 변경하는 것이 좋다. 이번 사고에서 비밀번호가 유출됐는지와 무관하게, 유출된 이메일·연락처는 다른 서비스 대상 크리덴셜 스터핑 공격의 출발점이 되기 쉽다.

업계에 남는 숙제

민감정보를 다루는 버티컬 플랫폼은 의료, 심리상담, 금융 등으로 계속 확장되고 있다. 이들 서비스는 편의성을 위해 병원·제휴사와 데이터를 실시간 연동하는데, 그 연결 지점마다 API 권한 검증과 조회량 제한이 걸려 있어야 한다. 접근 통제와 이상 탐지가 핵심이며, 어느 쪽 하나만으로는 대량 유출을 막기 어렵다. 이번 사고는 서비스 성장 속도에 맞춰 보안 설계를 다시 점검하지 않으면 어떤 대가를 치르는지 보여주는 사례로 남을 것으로 보인다.