강남언니 운영사 힐링페이퍼가 이용자 21만9,665명의 개인정보 유출 사실을 7일 알렸다. 상담과 시술 관련 항목뿐 아니라 일부 결제 정보까지 함께 새어나간 것으로 나타났다.
국내 통신사가 전한 공지에 따르면 지난 4일 일부 API에서 비정상적인 외부 접근이 확인됐다. 회사는 해당 경로를 차단하고 보안 조치를 강화했으나 이튿날 재접근 시도도 포착했다.
회사는 개인정보 유출을 관계 당국에 신고하고 경찰 수사를 의뢰한 뒤 대상자 통지를 시작했다. 유출 대상에는 한국 이용자 약 16만명과 일본 이용자 약 4만8,000명이 포함됐다.
유출된 정보는 이름과 연락처, 이메일, 생년월일, 성별, 거주지역 등 기본 인적사항에 그치지 않는다. 소셜 로그인 식별자와 접속 IP, 단말기 관련 식별 정보까지 명단에 들어갔다.
상담 내역과 결제 정보 유출에 따른 사칭 피해 위험
상담 신청 과정에서 작성한 이벤트 및 시술명, 병원과 의사 이름, 희망 예약 시간도 함께 빠져나갔다. 여기에 이용자가 올린 사진과 상담 이유, 진행 상태도 유출 대상에 올랐다.
모든 이용자의 정보가 일괄 유출된 것은 아니며 개인마다 유출 항목에는 차이가 있다. 단순 인적사항만 빠져나간 사례가 있는 반면, 상담 내용과 사진까지 포함된 사례도 존재한다.
일부 이용자는 실제 시술 명칭과 내원 시각, 담당 의사, 결제 금액과 수단, 결제 시점 항목이 유출됐다. 유출 목록에 카드번호나 비밀번호 같은 핵심 금융 정보는 포함되지 않았다.
이용자가 실제로 방문했거나 상담을 요청한 의료기관과 시술 내용이 드러난 점이 이번 유출의 특징이다. 상대방이 병원 이름과 관심 진료를 알고 접근하면 정상 안내로 착각하기 쉽다.
회사는 병원을 사칭해 할인 혜택을 제시하거나 외부 링크를 보내 금전을 요구하는 사칭 피해 가능성을 공지했다. 상담 사실을 앞세운 접근에 넘어가 금융 정보를 건넬 위험이 크다.
이번 공지는 향후 우려되는 2차 피해 유형을 안내한 내용이며 실제 금전 피해 사례가 확인된 것은 아니다. 다만 민감한 의료 상담 기록이 유출된 만큼 사전 대비가 요구된다.
예약 병원을 정확히 말하더라도 발신자가 실제 병원 관계자인지 메시지만으로는 확인하기 어렵다. 할인이나 일정 변경을 빌미로 결제를 유도할 경우 공식 대표번호로 직접 대조해야 한다.
상담 사진은 개인의 신체 및 진료 상담을 위해 직접 올린 자료여서 일반적인 연락처 유출과 무게가 다르다. 노출된 정보의 구체성이 높을수록 사칭 수법 역시 정교해질 수 있다.
30일 조회 서비스 운영과 공식 경로를 통한 정보 확인
회사는 이용자가 자신의 세부 유출 항목을 확인할 수 있는 조회 기능을 30일 동안 운영한다. 전체 공지의 포괄적인 목록 대신 개별 조회를 거쳐야 자신의 노출 항목을 알 수 있다.
유출 내역을 확인하는 과정에서 주민등록번호나 계좌 정보를 추가로 요구하는 외부 링크는 연결하지 않아야 한다. 회사가 안내한 공식 조회 창구 외에 전달되는 요청은 배제해야 한다.
희망 시술과 상담 단계, 예약 일정은 단순한 회원 명부를 넘어 개별적인 서비스 이용 흐름을 담고 있다. 플랫폼이 보관해온 의료 상담 데이터의 범위가 그대로 드러난 셈이다.
향후 수사와 조사 과정을 통해 구체적인 해킹 경로와 전체적인 정보 유출 규모가 규명될 예정이다. 회사가 차단 조치를 취했으나 보안 시스템의 보완과 후속 조사가 이어져야 한다.
