사진=따릉이 홈페이지 갈무리
사진=따릉이 홈페이지 갈무리

[다이어리포인트=김정훈 기자] 서울시 공공자전거 '따릉이'의 회원 정보 450만 건 이상이 해킹으로 유출된 것으로 드러났다. 누적 회원 수 512만 명 중 대부분의 정보가 외부로 유출되면서 시민들의 불안이 커지고 있다.

서울시설공단이 보관하던 따릉이 회원 정보 중 이름, 전화번호, 생년월일, 주소 등 개인정보가 대거 유출된 것으로 파악됐다. 서울경찰청 사이버수사대는 현재 해킹에 의한 것으로 보고 유출자와 유출 경로를 추적 중이다.

따릉이를 이용하려면 앱에 아이디와 휴대전화 번호를 필수로 입력해야 하며 이메일, 생년, 성별, 체중 등은 선택 입력 사항이다. 이번 유출에는 필수 입력 정보는 물론 회원이 임의로 입력한 개인정보도 포함된 것으로 보인다.

서울시설공단 측은 주민등록번호나 결제정보 등 민감 정보는 데이터베이스에 저장하지 않기 때문에 유출을 피한 것으로 주장했다. 그러나 이름과 전화번호, 주소 등만으로도 명의 도용이나 보이스피싱 등 2차 피해 가능성이 있어 우려가 제기되고 있다.

경찰은 다른 사건을 수사하던 중 유출된 따릉이 회원 정보가 존재하는 사실을 포착하고 지난 27일 오후 서울시설공단에 회원 정보 유출 정황을 유선으로 통보했다. 공단은 경찰의 통보를 받기 전까지 정보 유출 정황을 인지하지 못했던 것으로 확인됐다.

공단 측 늑장 대응도 도마에 올랐다. 개인정보보호법에 따르면 정보 유출 정황을 인지한 지 72시간 이내에 관계기관에 신고해야 한다. 공단은 경찰 통보를 받은 지 사흘 만인 30일에야 개인정보보호위원회와 한국인터넷진흥원에 신고를 완료했다.

정보 유출 시점은 2024년으로 추정된다. 당시 따릉이 시스템이 디도스(DDoS·분산서비스거부) 공격을 받았던 시기와 맞물려 있어 해당 공격 과정에서 해킹이 이뤄진 것으로 보인다.

서울시설공단은 서울시와 합동으로 유출사고에 대한 분석 및 대응을 총괄하는 비상 대응센터를 가동하고 따릉이 앱 및 홈페이지 운영체계 전반에 대한 시스템 보안 강화에 들어갔다고 밝혔다.

개인정보보호위원회도 30일 서울시설공단에 대한 조사에 착수했다. 개인정보위는 조사를 통해 정확한 사고 경위와 개인정보 유출 여부, 개인정보보호법 위반 여부 등을 면밀히 확인하고 법 위반 사항 발견 시 관련 법에 따라 처분할 예정이다.

피해 의심 사례는 서울다산콜센터(☎02-120), 서울시설공단 공공자전거운영처 콜센터(☎1599-0120) 또는 이메일(seoulbike@sisul.or.kr)로 접수할 수 있다.

쿠팡과 이동통신사에 이어 공공 서비스까지 해킹에 노출되면서 개인정보 보호에 대한 우려가 커지고 있다. 전문가들은 유출된 정보를 활용한 보이스피싱이나 스미싱 등 2차 피해에 각별히 주의할 것을 당부했다.