미용의료 정보 플랫폼 강남언니 운영사 힐링페이퍼가 지난 4일 상담 내역 조회 연동 기능(API)에 비정상 접근이 발생해 국내외 이용자 약 22만 명의 개인정보가 유출됐다고 7일 공지했다. 유출된 정보에는 이름, 연락처, 생년월일뿐 아니라 상담 병원과 시술 부위, 상담 과정에서 올린 신체·얼굴 사진, 실제 시술 내역과 결제 정보 등 민감 정보가 포함됐다. 이번 사고는 고의·중과실 반복 위반 시 매출의 10%까지 과징금을 부과하는 개정 개인정보보호법 시행(11일)을 앞두고 발생해 플랫폼 기업의 보안 관리 실태가 도마에 올랐다.
힐링페이퍼는 10일 오전 10시부터 강남언니 앱 내 보상 신청 링크를 통해 국내 피해자에게 1인당 5만 원 상당의 앱 포인트 지급 신청을 받기 시작했다. 포인트와 함께 해킹·피싱 등 개인정보 유출에 따른 금융사기 피해를 보상하는 보험을 포함한 개인정보보호 서비스를 1년간 무료로 제공한다. 보험 보장 한도는 1인당 최대 1천만 원이다. 다만 해외 유출 고객에 대한 보상 규모와 지급 일정은 아직 구체화되지 않았으며, 추후 순차적으로 안내할 예정이라고 회사 측은 10일 밝혔다.
힐링페이퍼는 지난 6일 한국인터넷진흥원(KISA)에 침해사고를 신고하고, 7일 개인정보 유출 사고 신고를 완료했으며, 관할 경찰서에 사이버 범죄 수사를 의뢰했다. 회사 측은 사고 인지 즉시 접근 경로를 차단하고 전체 시스템 전수 점검을 완료했으며, 로그인 및 API 호출 인증 절차를 다단계로 재정비하고 권한 검증 로직을 재구축하는 등 인증·접근 체계를 강화했다고 설명했다. 홍승일 힐링페이퍼 대표는 "2차 피해 방지 및 사고 재발 방지를 위한 추가 시스템 및 데이터베이스 보안·모니터링 강화에 전력하고 있다"며 "정보보호 투자와 관리체계 인증(ISMS) 기준에 따른 보호조치를 지속적으로 강화하고 개선 과정을 투명하게 안내하겠다"고 말했다.
다만 이번 사고는 개정 개인정보보호법 시행 이전에 발생해 징벌적 과징금 조항이 소급 적용되지는 않는다. 해외 피해자에 대한 구체적인 보상 규모와 지급 시기는 아직 정해지지 않았으며, 당국이 힐링페이퍼의 보안 관리 부실을 고의 또는 중과실로 인정할지 여부와 이에 따른 행정 제재 수준은 아직 확인되지 않았다.
