[기획] '강남언니' 22만 명 유출 사고, 쟁점은 'API 권한 검증 부실'과 '민감정보 보호 실패'

미용의료 정보 플랫폼 '강남언니'를 운영하는 힐링페이퍼에서 국내외 이용자 약 22만 명의 개인정보가 해킹으로 유출된 가운데, 정보보호 업계와 법조계에서는 이번 사고를 단순 침해 사고가 아닌 'API 권한 검증 부실'과 '민감정보 보호조치 미흡'에 따른 중대 보안 실패로 규정하고 있다.

힐링페이퍼는 지난 6일 한국인터넷진흥원(KISA)에 침해사고를 신고하고, 7일 이용자 통지 및 경찰 수사를 의뢰했다고 밝혔다. 그러나 유출 항목에 내밀한 의료·상담 데이터가 대거 포함되면서 개인정보보호위원회(이하 개보위)의 고강도 조사와 행정처분이 불가피할 전망이다.

• 기술적 원인: 전형적인 API 인증·인가 취약점(BOLA/IDOR) 의혹
사측 공지에 따르면 이번 사고는 상담 내역을 조회하는 API에 대한 비정상 접근에서 시작됐다. 사측은 1차 차단 조치 후 이튿날 동일 공격자가 다른 경로로 재침투했다고 밝혔으며, 재발 방지책으로 "API 호출 전반의 다단계 인증 재정비 및 권한 검증 로직 재구축"을 제시했다.

보안 전문가들은 이를 두고 '부적절한 객체 수준 권한 부여(BOLA)' 또는 '안전하지 않은 직접 객체 참조(IDOR)' 취약점을 공격자가 악용한 전형적인 패턴으로 분석한다. 인증된 토큰이나 식별자를 변조해 타인의 상담 내역 파라미터를 무차별 호출(무차별 대입 및 크롤링)하는 비정상 트래픽을 초기 단계에서 차단하지 못했다는 지적이다.

• 법적 쟁점: 민감정보(건강·시술) 취급과 안전조치의무 위반 여부
이번 유출 사태에서 가장 치명적인 대목은 유출된 데이터의 속성이다. 단순 식별 정보 외에도 다음과 같은 데이터가 포함됐다.

시술·수술 정보 및 예약 내역: 21만 9,665명

희망 수술 및 시술 정보: 20만 3,516명

상담 사진 및 상담 동기: 1,670명

「개인정보 보호법」상 개인의 신체·건강 및 의료 상담에 관한 정보는 엄격한 보호가 요구되는 '민감정보'에 준하여 관리되어야 한다. 개보위 조사에서는 다음 사항이 핵심 쟁점이 될 것으로 보인다.

제29조(안전조치의무): API 호출 시 접근 통제 조치 및 비정상 트래픽 탐지·차단 체계 적정성

암호화 및 분리 보관: 상담 사진, 상담 동기 등 식별성이 높은 내밀 정보의 암호화 저장 및 전송 구간 암호화 준수 여부

개정 개인정보 보호법상 과징금 규정: 안전조치의무 위반으로 인한 유출 확인 시, 전체 매출액 기준(위반행위와 관련 없는 매출 제외) 최대 3%까지 부과될 수 있는 과징금 산정 여부

• 보상안 실효성 논란: 현금 아닌 '자사 포인트' 지급… 2차 피해 우려
힐링페이퍼는 한국 피해 고객을 대상으로 1인당 5만 원 상당의 '강남언니 포인트'와 1년 무료 피싱 보험을 지원하겠다고 발표했다.

그러나 피해자들 사이에서는 "민감한 성형 상담 정보가 털린 플랫폼을 다시 이용하라는 것이냐"는 비판이 쏟아지고 있다. 플랫폼 재이용을 유도하는 '락인(Lock-in)형 보상'은 피해 구제의 본질에 어긋난다는 지적이다. 특히 유출된 데이터가 피싱, 협박, 스팸 마케팅 등 2차 피해로 직결될 위험이 큰 만큼, 향후 집단분쟁조정 신청이나 손해배상 청구 소송으로 비화할 가능성이 높다.

보안업계 관계자는 "버티컬 플랫폼들이 API를 확장하는 과정에서 인증·인가 통제를 개발 편의성에 밀려 소홀히 다루는 경우가 빈번하다"며, "의료·미용 등 사생활 침해 위험이 극도로 높은 데이터를 다루는 사업자는 API 게이트웨이 보안과 정기적 모의해킹 등 기술적 보호조치를 컴플라이언스 기준 이상으로 끌어올려야 한다"고 강조했다.