미용 예약 앱, 시술 이력까지 새는 이유

22만 명의 시술 이력이 한꺼번에 새어나갔다

미용의료 상담 앱 강남언니에서 이용자 21만9665명의 개인정보가 유출됐다. 운영사 힐링페이퍼는 9월 7일 저녁 이 사실을 알렸다. 새어나간 건 이름·전화번호·이메일 같은 기본 정보에 그치지 않는다. 상담한 시술명, 병원명과 의사 이름, 예약 희망 시간, 상담할 때 올린 사진, 실제 받은 시술과 결제 내역까지 포함됐다.

국내 이용자가 약 16만 명으로 가장 많고 일본 4만8000명, 대만·태국·중국·영어권 이용자도 섞여 있다. 힐링페이퍼는 9월 4일 상담내역을 조회하는 연동 기능(API)에 비정상 접근을 확인했고, 하루 뒤 같은 공격자가 다른 경로로 다시 들어오려 한 정황을 파악했다고 밝혔다. 회사는 접근 경로를 막고 개인정보 유출 신고와 경찰 수사 의뢰를 마쳤다.

왜 미용 앱 정보는 유독 위험한가

Photo by Dan Nelson on Unsplash

유출된 항목을 보면 이 정보가 왜 민감한지 드러난다. 어떤 병원에서 어떤 시술을 상담했는지는 그 사람의 외모 고민과 의료 이력을 그대로 보여준다. 개인정보보호법은 건강·의료 정보처럼 새어나갔을 때 피해가 큰 항목을 민감정보로 따로 묶어, 일반 정보와 별개의 동의를 받도록 정하고 있다.

미용·시술 예약 앱은 이런 민감정보를 서비스 구조상 모을 수밖에 없다. 시술을 추천하고 병원을 연결하려면 피부 상태, 관심 시술, 상담 사진이 필요하기 때문이다. 편리함의 대가로 이용자는 신체와 의료에 관한 기록을 한 회사에 몰아주게 된다. 그 기록이 새면 보이스피싱이나 병원 사칭 같은 2차 피해로 번질 수 있다.

같은 사고가 반복되는 구조

이번이 처음도, 한 곳만의 일도 아니다. 뷰티 정보 앱 화해도 9월 2일 아침 외부의 비정상 접근을 확인해 한국인터넷진흥원에 신고했다. 화해에서는 이벤트 배송지 정보와 리뷰에 공개된 닉네임·성별·출생연도·피부 타입이 새어나갔다. 비밀번호나 금융정보는 빠졌다. 비슷한 시기 쇼핑몰 29CM와 팬 플랫폼 위버스에서도 유출이 잇따랐다.

공통점은 외부 서비스와 데이터를 주고받는 통로인 API가 뚫렸다는 점이다. 강남언니는 상담 조회 API, 29CM는 주문 조회 API가 진입점이 됐다. 보안 업계에서는 이용자를 직접 상대하는 플랫폼일수록 이 API가 가장 약한 고리라고 본다. 앱이 커지고 연동 기능이 늘수록 공격받을 통로도 함께 늘어나는 셈이다.

가입 전후, 이 항목만은 확인하자

이용자가 유출 자체를 막을 수는 없다. 다만 넘기는 정보의 양은 줄일 수 있다. 가입과 이용 단계에서 다음을 점검해 두면 피해 범위를 좁힐 수 있다.

• 동의 화면에서 필수와 선택을 구분한다. 마케팅 수신, 제3자 제공 같은 선택 항목은 체크를 풀어도 서비스 이용에 지장이 없다.
• 상담 사진과 SNS 계정 연동은 꼭 필요할 때만 올린다. 한 번 넘긴 사진은 되돌리기 어렵다.
• 개인정보 처리방침에서 보관 기간과 파기 시점을 확인한다. 탈퇴하면 곧바로 지우는지, 일정 기간 남기는지가 회사마다 다르다.
• 더 쓰지 않는 앱은 탈퇴로 마무리한다. 계정을 방치하면 그 안의 정보도 유출 위험에 함께 남는다.

이미 강남언니나 화해를 썼다면, 병원이나 앱을 사칭해 링크를 보내거나 결제를 유도하는 연락을 특히 조심해야 한다. 유출된 정보를 근거로 그럴듯하게 접근하는 사기가 뒤따르기 때문이다.

출처

1. 강남언니 22만명 개인정보 유출…시술·상담·결제 정보까지 털렸다
2. 성형 사진부터 피부타입까지 털렸다... 강남언니·화해 고객 정보 유출