강남언니, 22만명 개인정보 유출…민감정보·해외 이용자 포함

[SWTV 유호경 기자] 미용의료 정보 플랫폼 ‘강남언니’에서 22만명의 개인정보가 유출되는 보안사고가 발생했다. 특히 유출 항목에는 이용자의 의료정보와 얼굴 사진은 물론 외국인 6만명이 포함돼 큰 파장이 예상된다.

강남언니 운영사인 힐링페이퍼에 따르면, 지난 4일 상담 내역 조회 연동 기능(API)에 비정상적 접근이 발생해 대규모 개인정보가 유출됐다. 공격자는 이튿날에도 다른 경로를 통해 재차 시스템 침투를 시도한 것으로 확인됐다.

▲ 강남언니 누리집 갈무리.

이번 사고로 개인정보가 유출된 이용자는 모두 21만9665명이다. 이름·연락처·생년월일 같은 기본 식별정보 수준이 아니다. 상담을 신청한 이벤트와 시술명, 병원명, 의사명, 상담 등록사진, 관심·신청·실제 시술 내용과 내원 일시, 결제 금액과 방법까지 고스란히 털렸다.

더욱 큰 문제는 이들 항목을 결합하면 특정 이용자가 언제 어느 병원에서 어떤 시술을 받았고 얼마를 결제했는지까지 파악할 수 있다.

최경진 가천대 법학과 교수는 “개인정보보호법 제23조가 규정한 건강정보의 대표적 예가 의료정보이고, 의료 관련 정보가 축적돼 있다면 민감정보에 해당할 수 있다”며 민감한 의료 관련 정보가 대거 포함된 만큼 법적 책임의 무게가 다를 것이라고 설명했다.

현행법상 안전조치 의무 위반으로 개인정보가 유출된 경우 전체 매출액의 최대 3%에 달하는 과징금이 부과될 수 있다.

이번 사태는 국내를 넘어 글로벌 법적 분쟁으로 번질 수도 있다. 전체 피해자 가운데 해외 이용자가 6만명에 육박하고, 이 가운데 일본인 이용자만 4만8000여명에 달한다. 이외 대만(4218명), 태국(1591명), 중국(481명) 등 아시아권 이용자도 다수 포함됐다.

특히 일본 개인정보보호법은 역외 적용을 통해 자국민에게 서비스를 제공하는 해외 사업자가 대규모 유출 사고를 냈을 경우 일본 개인정보보호위원회 신고와 피해자 개별 통지를 해야 한다. 따라서 국내 개인정보보호위원회의 조사와 별개로 일본 등 해외 감독당국의 제재를 받을 수도 있다.

한편 힐링페이퍼는 한국인터넷진흥원(KISA) 신고와 함께 국내 이용자에게 개별 통지를 진행 중이라고 밝혔다. 하지만 일본 등 해외 감독당국에 대한 신고 여부 및 대응책에 대해서는 명확한 입장을 내놓지 않아 향후 글로벌 이용자들과 관련된 법적 리스크가 증폭될 전망이다.