[뉴스스페이스=김희선 기자] 미용의료 플랫폼 강남언니에서 국내외 이용자 21만9665명의 개인정보가 유출됐다. 이름과 휴대전화 번호 수준을 넘어 상담 사진, 관심 시술, 병원 및 의사 이름, 예약 희망시간, 실제 시술 여부와 결제 관련 정보까지 포함된 것으로 알려지면서, 이번 사고는 통상의 온라인 쇼핑·회원정보 유출과는 차원이 다른 사건으로 번지고 있다. 미용의료 소비자의 신체 이미지와 건강·시술 이력, 지출 수준, 지역과 생활 패턴을 한꺼번에 추론할 수 있는 민감 데이터가 외부로 빠져나갔다는 점에서다.
강남언니 운영사 힐링페이퍼(대표이사 홍승일)에 따르면 비정상 접근은 지난 9월 4일 상담내역 조회용 연동 기능(API)을 겨냥해 발생했다. 회사는 최초 접근 경로를 차단한 뒤에도, 공격자가 다음 날인 5일 다른 경로로 재차 침입을 시도한 정황을 확인했다고 밝혔다. 이는 단일 취약점 차단 여부만으로 설명할 수 없는 문제다. 공격자가 한 번의 우회 시도에 그치지 않고 다른 접근 지점을 탐색했다면, API 인증·권한검증·접근 로그 모니터링·비정상 조회 탐지 등 전반적인 보안통제의 실효성을 따져야 한다는 지적이 나온다.
이번 유출 규모는 한국 약 16만명, 일본 약 4만8000명, 대만 4218명, 태국 1591명, 중국 481명, 영어권 및 기타 국가 5308명이다. 단순 합계로도 전체 피해자의 약 72.8%가 한국 이용자이고, 약 21.9%가 일본 이용자다. 한국과 일본 이용자가 약 94.7%를 차지하는 구조여서, 힐링페이퍼의 국내 보안 대응뿐 아니라 해외 이용자 통지와 국가별 개인정보 보호 규제 대응도 부담으로 작용할 수 있다.
더 큰 문제는 유출된 정보의 조합이다. 공개된 유출 항목에는 이름, 전화번호, 이메일, 생년월일, 성별, 거주 국가·지역, 소셜 로그인 ID, 접속 IP, 이용 단말 정보 등이 포함됐다. 여기에 이용자가 상담을 신청한 이벤트와 시술명, 병원명, 의사명, 예약 희망시간, 상담 동기, 상담 진행 상태, 상담 등록 사진이 더해졌다. 일부 보도에 따르면 관심·신청·실제 시술 관련 정보, 병원 방문 및 시술 일시, 시술 담당자, 결제금액·수단·시간까지 유출 대상에 포함됐다.
이 정보들은 개별적으로도 위험하지만, 결합될 경우 피해 양상이 달라진다. 전화번호와 시술명, 병원명, 예약시간을 확보한 범죄자는 “○○의원 ○○시 예약 건입니다”라는 식의 정교한 사칭 문자를 만들 수 있다. 여기에 이용자가 올린 상담 사진과 상담 동기까지 유출됐다면, 불안·수치심·외모 콤플렉스를 자극하는 협박성 메시지나 표적형 피싱의 재료가 될 가능성도 배제하기 어렵다.
특히 미용시술 정보는 개인이 가족·직장·지인에게 공개하지 않았을 수 있는 사적 영역이라는 점에서, 금전 피해를 넘어 평판 훼손과 심리적 피해로 이어질 위험이 있다. 이는 유출 정보의 실제 악용 여부와 별개로, 이용자가 감당해야 할 사생활 침해의 범위가 이미 매우 넓다는 뜻이다.
미용의료 플랫폼의 데이터는 일반 이커머스 데이터보다 더 높은 보안 기준으로 관리돼야 한다. 이용자의 ‘어떤 제품을 샀는가’가 아니라 ‘어떤 신체 부위와 외모 고민으로 어떤 의료기관을 찾았으며, 실제로 무엇을 시술받았는가’에 관한 정보이기 때문이다. 의료기관이 보유한 진료기록과 법적 성격이 정확히 동일한지 여부는 개별 데이터 항목과 처리 방식에 따라 법률적 판단이 필요하다. 다만 상담·시술·결제·사진 정보가 결합되면 개인의 건강상태, 신체 특성, 경제력, 사적 생활을 폭넓게 추론하게 한다는 점에서 고위험 개인정보로 봐야 한다는 데 이견이 적다.
개인정보처리자는 개인정보 유출 사실을 알게 된 경우 원칙적으로 72시간 이내 정보주체에게 유출 항목, 발생 경위, 피해 최소화 조치 등을 통지해야 한다. 유출 규모가 1000명 이상이거나 민감정보 또는 고유식별정보가 유출된 경우, 외부의 불법적 접근으로 유출된 경우 등은 개인정보보호위원회 또는 대통령령상 전문기관에 신고해야 한다. 다만 개별 사안의 신고·통지 의무와 법 위반 여부는 유출 경위와 정보 항목, 인지 시점 등에 대한 관계기관 조사로 최종 판단된다.
힐링페이퍼는 KISA에 신고하고 경찰에 수사를 의뢰했으며, 대상 이용자에게 개별 통지했다고 밝혔다. 강남언니 홈페이지에서는 공지일로부터 30일간 이용자가 자신의 유출 항목을 확인할 수 있도록 했다. 회사는 접근경로 차단, 시스템 전반 긴급 보안조치, 인증 강화, 이상접근 탐지 고도화, 권한검증 로직 개편 등을 진행했다고 설명했다. 다만 이용자 관점에서 중요한 것은 ‘조치를 했다’는 선언이 아니라, 왜 상담 조회 API가 외부 공격자의 대량 열람 또는 탈취 경로가 됐는지, 접근권한 검증이 어떤 방식으로 실패했는지, 어떤 데이터가 어떤 기간까지 얼마나 내려받아졌는지에 대한 구체적 설명이다.
이번 사태의 본질은 API 자체가 아니라, 플랫폼이 이용자의 민감한 인생 기록을 얼마나 넓게 모으고, 얼마나 오래 보관하며, 어떤 권한 체계로 접근시키고 있었는가에 있다. API는 서비스를 연결하고 자동화하는 필수 기술이지만, 인증 토큰 관리, 호출 횟수 제한, 사용자별 객체 접근권한 검증, 데이터 마스킹, 이상 행위 탐지와 같은 기본 통제가 느슨하면 대량 유출의 통로가 될 수 있다. 특히 상담 기록처럼 사진과 서술형 사유, 예약·시술 이력이 함께 쌓이는 데이터베이스라면 최소 권한 원칙과 민감정보 분리, 조회 이력의 실시간 감시가 핵심 통제장치가 돼야 한다.
강남언니 측은 “기존 보호조치의 실효성을 전면 재점검하고 추가 투자와 재발 방지 대책을 신속히 이행하겠다”고 밝혔다. 그러나 22만명에 가까운 고객 정보가 빠져나간 뒤의 ‘재점검’만으로는 신뢰 회복이 쉽지 않다. 향후 조사에서는 공격자의 침입 방식뿐 아니라 API 설계·운영 과정에서의 권한관리, 취약점 점검 주기, 외부 보안감사 여부, 데이터 보관 기간, 민감정보 암호화와 분리 저장 수준, 침해 탐지 시점과 내부 의사결정 과정이 검증 대상이 될 가능성이 크다.
개인정보보호위원회는 최근 대규모 개인정보 유출 사건에서 기업의 안전조치 의무 이행 여부와 통지 지연 여부를 엄격하게 들여다보고 있다. 실제로 개인정보위는 2026년 8월 GS리테일의 약 166만명 규모 개인정보 유출 사건과 관련해 과징금 128억3600만원과 과태료 300만원을 부과했으며, 추가 유출 대상자 1599명에 대한 통지가 정당한 이유 없이 72시간을 넘긴 점도 문제로 판단했다.
이제 이용자에게 필요한 것은 막연한 주의가 아니라 즉각적인 방어 조치다. 강남언니 또는 병원 명의를 내세운 연락이라도 링크 클릭, 앱 설치, 본인인증번호 전달, 계좌·카드정보 제공을 요구하면 우선 사칭을 의심해야 한다. 특히 “예약 변경”, “환불”, “시술 할인”, “상담 사진 확인”, “개인정보 재인증” 같은 표현은 이번 유출 정보와 결합될 경우 신뢰도를 높이는 미끼가 될 수 있다. 해당 병원이나 강남언니 앱·공식 홈페이지에서 직접 고객센터 번호를 확인해 역으로 연락하는 방식이 안전하다. 힐링페이퍼 역시 강남언니가 문자나 전화로 개인정보를 요구하지 않는다고 안내했다.
이번 사건은 ‘미용 플랫폼 해킹’이라는 단발성 사고가 아니라, 플랫폼이 의료·외모·결제·이미지 데이터를 동시에 다루는 시대에 어떤 수준의 보안 책임을 져야 하는지를 묻는 시험대다. 이용자는 예뻐지기 위해 정보를 남겼지만, 그 기록이 유출되는 순간 자신의 사생활과 사회적 평판까지 담보로 잡힐 수 있다. 힐링페이퍼가 내놓아야 할 답은 사과문이 아니라, 유출 데이터의 범위와 공격 경로, 보관·권한관리 구조, 피해구제 원칙을 이용자가 검증할 수 있는 언어로 공개하는 일이다.
