강남언니 유출, 왜 연락처 유출보다 위험한가
강남언니에서 21만9665명의 개인정보가 유출됐는데 시술명·병원명·결제 내역 같은 민감정보가 함께 새어 나갔다. 실제 상담 내용을 아는 사칭 연락은 이름·전화만 있을 때보다 속기 쉬워 위험의 성격이 다르다. 유출 항목을 앱에서 확인하고, 링크나 본인인증을 요구하는 연락은 공식 경로로 되짚어 확인해야 한다.
유출된 건 전화번호만이 아니다
미용의료 앱 강남언니에서 21만9665명의 개인정보가 빠져나갔다. 운영사 힐링페이퍼 공지에 따르면 9월 4일 상담내역을 조회하는 연동 기능(API)에 비정상적인 접근이 있었고, 같은 공격자가 5일 다른 경로로 재차 침입을 시도했다. 회사가 이 사실을 공식 공지한 것은 7일이다.
문제는 유출된 항목의 성격이다. 이름·전화번호·이메일·생년월일·성별·거주 지역·SNS 로그인 아이디·접속 IP 같은 기본정보에 더해, 이용자가 상담을 신청한 이벤트·시술명, 병원명, 의사명, 예약 희망 시간, 상담 동기, 상담 등록 사진까지 포함됐다. 일부는 실제 시술 정보와 내원·시술 일시, 결제 금액·수단·시각도 함께 새어 나갔다.
전화번호 유출은 '누구에게 연락할 수 있는가'를 넘겨준다. 이번 건은 '그 사람이 어느 병원에서 무슨 시술을 상담하고 결제했는가'까지 넘어갔다. 성형·미용 상담 이력은 개인정보보호법이 별도로 보호하는 건강 관련 민감정보에 가깝다. 정보가 붙어 다닌다는 점에서 위험의 결이 다르다.
이 정보가 악용되는 경로
Photo by Jonas Leupe on Unsplash
가장 현실적인 위험은 정밀 사칭이다. 공격자가 실제 병원명·시술명·예약 시간을 알고 있으면, 병원이나 강남언니를 사칭한 문자·전화가 훨씬 진짜처럼 보인다. 회사도 공지에서 "병원이나 플랫폼을 사칭해 할인 혜택이나 병원 안내를 내세우며 링크 클릭, 개인정보·금융정보 제공을 요구하는" 연락을 조심하라고 경고했다.
여기에 결제 금액·수단·시각까지 결합되면 사칭의 신빙성은 더 올라간다. "○월 ○일 결제하신 건 확인 차 연락드렸다"는 식의 접근은, 상대가 실제 결제 내역을 알고 있을 때 의심을 흐린다.
상담 이력 자체가 노출된다는 점도 가볍지 않다. 어떤 시술을 알아봤는지는 당사자가 밝히고 싶지 않을 수 있는 사생활이다. 유출 사실만으로도 사칭·협박에 쓰일 소지가 생긴다. 정리하면 이름과 전화만 있을 때보다 사기 성공률이 높은 조건이 갖춰졌다. 상대가 내 실제 상담 내용을 알고 접근하기 때문이다.
민감정보가 샜다면 확인 순서
당장 해야 할 일은 분노보다 점검이다. 아래 순서로 확인하는 편이 낫다.
- 내 유출 항목부터 본다. 강남언니는 유출 항목을 30일간 앱에서 조회할 수 있게 했다. 결제·시술 정보가 내 계정에 포함됐는지가 이후 대응의 우선순위를 정한다.
- 사칭 연락을 경계한다. 병원이나 강남언니 이름으로 온 문자·전화·이메일이 링크 접속, 계좌 입금, 본인인증을 요구하면 응하지 말고 공식 앱이나 대표번호로 다시 확인한다.
- 계정을 잠근다. SNS 로그인 아이디가 유출된 만큼, 같은 비밀번호를 쓰는 계정은 모두 바꾸고 2단계 인증을 켠다.
- 결제 정보가 포함됐다면 카드사에 이상 결제 여부를 확인하고, 필요하면 금융감독원 1332로 상담한다.
- 신고 창구를 활용한다. 한국인터넷진흥원(KISA) 개인정보침해 신고센터(국번 없이 118)에 신고할 수 있고, 개인정보분쟁조정위원회에 조정을 신청할 수 있다.
행동 기준은 단순하다. 먼저 연락해 온 쪽이 링크나 인증을 요구하면 일단 멈추고, 내가 아는 공식 경로로 되짚어 확인한다.
아직 확정되지 않은 것
개인정보보호위원회의 조사 결과나 과징금 여부는 아직 나오지 않았다. 공격에 이용된 API의 구체적 취약점도 회사가 상세히 공개하지 않았다. 유출 규모가 더 늘어날지, 유출 데이터가 실제 거래되고 있는지도 현재로선 확인되지 않는다. 다만 유출 항목이 이미 공지된 만큼, 확정된 사실에 맞춰 사칭 연락을 경계하는 것이 지금 할 수 있는 가장 확실한 대응이다.