[뉴스스페이스=이현주 기자] 미용의료 플랫폼 강남언니 운영사 힐링페이퍼가 개인정보 유출 피해 고객에게 1인당 5만원 상당의 앱 포인트와 최대 1000만원 한도의 금융사기 보상보험을 제공하겠다고 내놨지만, 피해자들의 반응은 냉랭하다.

 

이름·연락처 수준을 넘어 어느 병원에서 어떤 시술을 상담·예약·결제했는지, 실제 시술 여부와 일부 상담 사진까지 포함된 고감도 정보가 유출된 사고인 만큼, ‘현금도 아닌 자사 포인트’는 실질적 배상보다 서비스 재이용을 유도하는 조치라는 비판이 커지고 있다.

 

22만명 정보 유출…“단순 연락처 사고가 아니다”

힐링페이퍼는 8일 공개한 개인정보 유출 사고 2차 입장문에서 유출 대상자가 총 21만9665명이라고 밝혔다. 국내 이용자가 약 16만명으로 가장 많고, 일본 4만8000명, 대만 4218명, 태국 1591명, 중국 481명, 영어권·기타 국가 5308명이 포함됐다. 단일 국내 플랫폼의 사고로 끝난 것이 아니라 한국 미용의료 서비스를 이용하거나 탐색한 다국적 이용자에게까지 피해가 확산된 셈이다.

 

그러나 사안의 핵심은 유출 규모보다 정보의 결합성과 민감성이다. 힐링페이퍼 공지 기준으로 상담 의료기관과 상담 신청 내용, 내원·상담 여부, 시술·수술 여부, 시술·수술 예정일, 예약일시는 유출 고객 21만9665명 전원에게서 유출됐다. 희망 시술·수술 정보는 20만3516명, 결제 시술상품·결제수단·포인트 사용정보는 20만2681명, 주문·구매 식별번호는 14만7514명에게서 각각 빠져나갔다. 휴대전화번호는 20만8040명, 이름은 21만9640명, 생년월일·성별은 21만9646명, 기기정보·IP주소·접속기록은 21만9536명 규모다.

 

특히 상담 등록 사진과 상담 동기도 1670명분이 유출됐다. 미용·성형·피부 시술 플랫폼에서 상담 사진은 단순 프로필 이미지와 성격이 다르다. 신체 부위, 외모 콤플렉스, 치료·시술 희망 사유 등 개인의 사적 영역과 연결될 여지가 크기 때문이다. 

 

 

“5만원 포인트, 불안의 값인가”

힐링페이퍼가 제시한 보상안은 국내 유출 고객에게 1인당 5만원 상당의 강남언니 포인트를 지급하고, 개인정보 유출을 이용한 해킹·피싱 등 금융사기로 실질적 금전피해가 발생할 경우 1년간 최대 1000만원까지 보장하는 보험을 제공하는 내용이다. 포인트 보상 신청은 10일 오전 10시부터 앱 내 신청 링크를 통해 받는다. 해외 피해자의 보상 규모와 지급 일정은 “최대한 빠르게 순차 진행하겠다"는 수준으로만 제시됐다.

 

국내 피해자 약 16만명에게 전원이 신청·지급된다고 가정하면 포인트 보상 규모는 최대 약 80억원이다. 다만 이 금액은 현금 지급이 아니라 강남언니 플랫폼 안에서만 사용할 수 있는 포인트다. 피해자가 앱을 떠나고 싶어도 보상 수단을 사용하려면 다시 플랫폼의 서비스·제휴 의료기관·결제 체계 안으로 들어와야 한다는 점에서, 보상보다 ‘재방문 유도’라는 지적이 나오는 이유다.

 

앱 커뮤니티와 스레드 등 SNS에서는 “시술내역과 사진까지 유출됐는데 앱에서만 쓸 수 있는 포인트가 무슨 의미냐”, “더 이상 플랫폼을 이용하기가 불안한데 보상을 받으려면 다시 앱에 접속해야 하느냐”, “이름·생년월일·전화번호에 어느 병원에서 무슨 시술을 했는지까지 연결됐는데 5만원으로 끝낼 일인지 의문”이라는 취지의 불만이 이어졌다. 실제 일부 이용자는 자신이 올린 후기 사진이 유출 대상에 포함됐는지를 우려해 게시물을 삭제하거나 앱 탈퇴에 나선 것으로 전해졌다.

 

피해자 반응의 핵심은 금액 자체만이 아니다. 성형·피부·미용시술 정보는 당사자의 사회생활, 취업, 가족관계, 연인관계, 대인관계에서 원치 않는 낙인이나 수치심으로 이어질 수 있다는 인식이 강하다. 따라서 이용자들은 “정보가 이미 유출된 상황에서 앞으로 발생할 수 있는 피싱·협박·사칭·지인 노출 피해를 1년짜리 보험과 5만원 포인트로 어떻게 산정하느냐”는 문제를 제기하고 있다.

 

‘병원 사칭’ 정교해질 위험

이번 유출 정보는 전화번호와 이름만 있는 명부형 데이터가 아니다. 공격자가 실제로 확보했는지는 수사를 통해 확인돼야 하지만, 회사가 공지한 유출 항목만 놓고 보면 이용자의 시술 관심사, 상담 병원, 예약 시간, 결제·포인트 사용 내역 등이 맞물릴 수 있다. 이런 데이터 조합은 무작위 스미싱보다 훨씬 설득력 있는 표적형 사칭에 악용될 위험이 있다.

 

가령 공격자가 “○○의원에서 예약하신 ○○시술 상담 일정이 변경됐다”며 링크 클릭이나 선결제를 유도할 경우, 수신자는 자신의 실제 상담·예약 맥락과 맞아떨어지는 연락으로 받아들일 가능성이 있다. 시술명·의료기관·예약일시·연락처가 결합될수록 사칭 메시지의 신뢰도는 높아진다. 이는 실제 유출 데이터의 외부 유통이나 악용 사실이 확인됐다는 뜻은 아니다. 다만 공개된 유출 항목의 조합상 발생 가능한 2차 피해 시나리오다.

 

힐링페이퍼 역시 출처가 불분명한 문자·전화·이메일에 응하지 말고, 병원 안내·할인 혜택을 내세워 링크 클릭을 유도하는 강남언니 또는 병원 사칭 연락에 유의해 달라고 안내했다. 회사가 스스로 ‘병원 사칭’ 위험을 경고한 것은 이번 사고가 일반적인 계정정보 유출보다 정교한 사회공학 공격으로 번질 가능성을 의식한 조치로 읽힌다.

 

문제는 보상보험의 발동 조건이다. 최대 1000만원 보장은 피싱·해킹 등으로 인해 실제 금융사기 피해가 발생한 경우에 적용되는 구조다. 하지만 시술 사실이나 상담 사진의 유출로 인한 정신적 고통, 원치 않는 노출, 협박 우려, 연락처 변경 비용, 피싱 대응에 드는 시간과 비용 등은 보험의 보장 범위 밖일 가능성이 높다. 세부 약관, 자기부담금, 보장 제외 사유, 피해 입증 절차는 현 시점에서 공지문만으로 확인하기 어렵다. 보험사명·약관·보상 청구 절차의 추가 공개가 필요하다.

 

 

법적 쟁점은 ‘안전조치’와 ‘민감도’

법조계는 API 인증·접근권한 관리 등 사전 안전조치가 적정했는지, 유출 정보가 얼마나 민감하게 결합됐는지를 핵심 쟁점으로 보고 있다. 개인정보보호법은 개인정보처리자에게 접근통제, 내부관리계획, 암호화 등을 포함한 안전성 확보 조치를 요구한다. 강남언니는 의료기관이 아니라 플랫폼 사업자이므로 의료법보다 개인정보보호법상 의무 위반 여부가 중심이 될 가능성이 크다는 분석이다.

 

개인정보보호법 체계상 정보주체는 개인정보처리자의 고의 또는 과실로 개인정보 유출 피해를 입은 경우 손해배상을 청구할 수 있으며, 구체적 손해액 산정이 곤란한 경우 법정손해배상으로 최대 300만원을 청구할 수 있다. 다만 이는 자동 지급 기준이 아니라 법원의 판단을 거쳐야 하며, 사업자가 고의·과실이 없음을 입증하면 책임을 면할 여지가 있다. 최근 판례 흐름상 유출 사실만으로 배상이 당연히 인정되는 것도 아니고, 정신적 손해 등을 포함한 법적으로 배상할 손해의 발생 여부가 다툼이 될 수 있다.

 

이 때문에 5만원 포인트가 향후 법적 손해배상 범위를 확정하거나 피해자의 권리행사를 제한하는 것은 아니다. 회사가 포인트를 받는 대가로 면책·합의 동의를 요구하는지 여부는 신청 화면과 약관을 통해 별도로 확인해야 한다. 면책 또는 소송·분쟁조정 권리 포기 조항이 있다면 이용자에게 명확히 고지돼야 한다.

 

사과문 이후 더 필요한 것

힐링페이퍼는 로그인과 API 호출 인증 절차의 다단계 재정비, 권한 검증 로직 재구축, 이상 징후 모니터링 고도화, 상담·결제·시술 관련 API와 데이터베이스 전수 점검, 외부 보안 전문기관을 통한 취약점 점검 및 모의침투 테스트 등을 진행하고 있다고 밝혔다.

 

다만 피해자들이 요구하는 것은 추상적인 ‘보안 강화’ 선언만이 아니다. 신뢰 회복을 위해서는 다음과 같은 구체적 공개가 뒤따라야 한다고 주장한다.

 

▲비정상 접근이 가능했던 API의 취약점 유형과 접근통제 실패 원인 ▲공격자가 실제로 열람·복제·반출한 데이터의 범위와 로그 분석 결과 ▲외부 전문기관의 조사 주체, 조사 범위, 완료 시점, 핵심 개선 권고 ▲1000만원 보상보험의 보험사명, 약관, 보장·면책 범위, 청구 절차 ▲해외 피해자의 국가별 보상 기준과 통지·상담 체계 ▲피해자에게 현금성 보상 또는 실질적인 신용·피싱 모니터링 서비스를 선택권으로 제공할 방안 ▲상담 사진·시술 정보처럼 민감도가 높은 정보의 최소수집·보관기간·파기 체계 전면 재점검 결과 등이다.

 

기업보안분야 전문가는 "이번 사태는 22만명이라는 숫자만으로 평가하기 어려운 개인정보 유출 사건이다. 미용의료 서비스 이용 기록은 개인의 외모·건강·경제활동·사회관계와 맞닿아 있고, 상담 내용과 예약·결제·시술 정보가 결합될수록 사칭과 협박, 평판 훼손의 위험은 커진다"면서 "‘5만원 포인트’는 회사가 사과의 표시로 제시한 최소 조치일 수는 있어도, 고객이 느끼는 불안과 이탈 의사를 잠재우기에는 지나치게 작고 폐쇄적인 보상이라는 평가를 피하기 어렵기 때문에 피해자들이 분노하는 이유"라고 분석했다.