강남언니 개인정보 유출 — 22만명 이름·시술 이력까지 다 빠져나갔다
솔직히 이 뉴스 보고 진짜 소름 돋았는데요. 미용의료 플랫폼 강남언니에서 국내외 이용자 21만 9,665명의 개인정보가 유출됐습니다. 단순히 이름이나 전화번호 정도가 아니라, 어떤 병원에서 어떤 시술을 받았는지까지 외부로 빠져나간 거거든요. 이 정도면 그냥 보안 사고가 아니라 꽤 심각한 수준이에요.
강남언니를 운영하는 힐링페이퍼는 7일 홈페이지 공지를 통해 사고 경위를 밝혔는데요. 지난 4일, 상담 내역을 조회하는 연동 기능, 즉 API에 비정상적인 접근이 발생했다고 합니다. 이상 징후를 포착하고 바로 차단에 들어갔지만, 문제는 그 다음 날인 5일에 같은 공격자가 다른 경로로 또 접근을 시도했다는 거예요. 그것도 성공적으로.
이 사실을 알게 된 후 힐링페이퍼는 전체 시스템 전수 점검에 들어갔고, 인증 절차 강화와 이상 접근 탐지체계 고도화, 권한 검증 로직 재정비 등 기술적 조치를 완료했다고 밝혔습니다. 한국인터넷진흥원(KISA)에도 자진 신고했고, 유출 대상 이용자에게는 개별 통지까지 했다고 하는데요. 공격자를 특정할 만한 정황도 다수 확보했다며, 지난 6일 관할 경찰서에 수사 의뢰까지 접수했습니다.
강남언니 개인정보 유출 — 나라별 피해 규모는?
근데 이번 유출이 국내만의 문제가 아니에요. 강남언니가 해외에서도 많이 쓰이는 앱이다 보니까, 피해가 여러 나라에 걸쳐 있더라고요. 아래 표에서 국가별 유출 인원을 한눈에 확인해보세요.
| 한국 | 약 16만명 |
| 일본 | 약 4만 8,000명 |
| 영어권 및 기타 | 5,308명 |
| 대만 | 4,218명 |
| 태국 | 1,591명 |
| 중국 | 481명 |
위 표를 보면 한국 이용자가 약 16만명으로 압도적으로 많고, 일본 이용자도 거의 5만명에 달합니다. 강남언니가 아시아권 의료관광 수요를 타고 해외에서도 꽤 활발하게 쓰이고 있다는 걸 다시 한번 실감하게 되는데요. 그만큼 이번 사고의 파장도 단순히 국내에 그치지 않는다는 게 더 걱정이에요.
강남언니 개인정보 유출 — 어떤 정보가 빠져나갔나?
이번 유출에서 제일 충격적인 부분이 사실 '범위'예요. 그냥 이름이랑 전화번호만 빠져나갔으면 어느 정도 안심할 수도 있는데, 이번 건은 그게 아니거든요. 유출 항목을 종류별로 정리해보면 이렇습니다.
| 기본 신원정보 | 이름, 전화번호, 이메일, 생년월일, 성별, 거주 국가·지역 |
| 서비스 이용정보 | 소셜로그인 ID, 내부 식별 ID, 이용 단말 정보, 앱 버전, 접속 IP |
| 상담 관련 정보 | 이벤트·시술명, 의사명, 병원명, 상담 진행 상태, 상담 등록 사진, 예약 희망 시간, 상담 동기 |
| 결제 정보 | 가격, 결제 금액·방법·시각, 결제자 이름·연락처, 사용 포인트, 주문 식별번호 |
| 시술 정보 | 관심·신청·실제 시술 정보, 내원 및 시술 일시, 시술 의사 식별 값 |
위 표에서 보듯이, 유출된 정보가 단순한 연락처 수준을 훌쩍 넘어섰습니다. 어떤 병원에서, 어떤 의사에게, 어떤 시술을 받았는지까지 알 수 있는 정보가 그대로 노출됐다는 건데요. 저도 이런 플랫폼 한 번쯤 써봤던 입장에서, 이게 만약 내 정보라고 생각하면 솔직히 좀 무섭더라고요. 성형이나 미용 시술은 꽤 민감한 영역이잖아요.
2차 피해 가능성 — 피싱 사기 특히 주의해야
이번 강남언니 개인정보 유출에서 가장 우려되는 게 바로 2차 피해예요. 병원명이나 시술명, 예약 일시 같은 구체적인 정보까지 유출된 상황이니까, 마치 실제 그 병원인 것처럼 접근하는 피싱 문자나 전화가 올 수 있거든요. "OO성형외과입니다. 예약 변경 관련해서 링크 눌러주세요" 이런 식으로요.
힐링페이퍼 측은 이용자들에게 강남언니나 병원을 사칭한 문자·전화·이메일에 절대 응하지 말아달라고 당부했는데요. 특히 링크 클릭을 유도하거나 개인정보·금융정보를 요구하는 경우는 무조건 무시하는 게 맞습니다.
강남언니 개인정보 유출 — 회사 측 대응 조치 정리
사고가 발생한 후 힐링페이퍼가 취한 조치들을 정리해보면 이렇습니다.
| 9월 4일 | API 비정상 접근 감지 → 즉시 경로 차단 |
| 9월 5일 | 공격자 재접근 시도 확인 → 추가 차단 조치 |
| 9월 6일 | 경찰서 수사 의뢰 접수 |
| 9월 7일 | KISA 자진 신고, 이용자 개별 통지, 홈페이지 공지 |
위 표를 보면 사고 발생 후 비교적 빠르게 움직인 건 맞는데요. 그래도 결과적으로 이틀 동안 공격이 이어졌다는 점은 아쉬울 수밖에 없습니다. 홍승일 힐링페이퍼 대표는 사과문을 통해 "이번 사고를 엄중하게 받아들이고 있으며, 강남언니를 믿고 이용해주시는 고객께 진심으로 사과드린다"고 밝혔습니다.
유출 대상 이용자는 강남언니 홈페이지에서 공지 게시일로부터 30일간 본인의 유출 항목을 직접 조회할 수 있습니다. 혹시 강남언니를 이용한 적 있다면 꼭 확인해보시길 추천드려요.
이번 사태를 보면서 플랫폼 보안이 얼마나 중요한지 다시 한번 느끼게 됩니다. 특히 미용의료처럼 민감한 영역의 정보를 다루는 서비스라면 더더욱요. 이용자 입장에서는 지금 당장 할 수 있는 게 별로 없긴 하지만, 일단 의심스러운 연락에는 절대 응하지 말고, 비밀번호 변경이나 2차 인증 설정 등을 점검해두는 게 좋을 것 같습니다.