[단독]'462만명 정보 유출' 따릉이…해킹 위험 정보 모두 삭제

(서울=뉴스1) 한지명 기자 = 약 462만명의 개인정보가 유출된 서울시 공공자전거 '따릉이'가 해킹 피해를 키울 수 있는 기존 회원의 이름과 성별, 이메일 주소 등을 모두 삭제했다. 앞으로 신규 가입 때는 출생연도와 휴대전화번호, 아이디, 비밀번호만 받는다.

28일 뉴스1 취재를 종합하면 서울시는 기존 회원의 이름과 생년월일 중 월·일, 성별, 이메일 주소를 순차적으로 삭제했다. 현재 해당 정보는 모두 삭제된 상태다.

올해 7월 말 기준 따릉이 전체 가입자는 534만 명이다. 서울시는 특정 시점에 기존 회원정보를 한꺼번에 지운 것이 아니라 개인정보 수집항목을 줄이는 과정에서 순차적으로 삭제했다.

오는 9월에는 따릉이 이용약관도 개정한다. 개정 이후 서울시는 신규 가입자에게서 출생연도와 휴대전화번호, 아이디, 비밀번호 등 4개 정보만 필수로 받는다. 이름과 생년월일 중 월·일, 성별, 이메일 주소는 더 이상 수집하지 않는다.

개인정보의 보유기간이 지나거나 처리 목적을 달성해 해당 정보가 필요하지 않게 되면 지체 없이 파기한다는 내용도 개정 약관에 담긴다. 기존 약관은 회원 탈퇴 시 개인정보를 삭제하도록 규정했지만, 개정 약관에는 탈퇴 전이라도 보유할 필요가 없어진 정보를 파기한다는 원칙을 명시한다.

따릉이 회원정보 관리방식이 바뀐 배경에는 올해 초 드러난 대규모 유출 사고가 있다.

경찰은 다른 사이버 공격 사건을 수사하던 중 유출된 따릉이 회원정보를 발견해 지난 1월 서울시설공단에 통보했다. 당시에는 450만 건 이상의 정보가 유출됐다는 정황만 알려졌다.

경찰 수사 결과 당시 중학생이던 2명이 2024년 6월 28일부터 이틀 동안 따릉이 서버에 침입해 약 462 계정의 개인정보를 빼돌린 것으로 파악됐다. 경찰은 지난 2월 이들을 정보통신망법상 정보통신망 침해 등 혐의로 불구속 송치했다.

유출 정보에는 아이디와 휴대전화번호, 생년월일, 성별, 체중, 이메일 주소, 주소 등이 포함됐다. 이름과 주민등록번호는 유출되지 않았다.

해킹 수법은 복잡하지 않았다. 경찰은 따릉이 서버에 별도의 인증 절차 없이 특정 정보를 호출하면 개인정보가 제공되는 취약점이 있었다고 설명했다.

서울시설공단은 지난 7월 피해자 약 462만 명에게 개인별 유출 항목을 문자메시지로 안내하고, 5000원 상당의 '30일 정기권'을 지급하기로 했다.

이후 피해자 23명은 지난 22일 서울시설공단을 상대로 1인당 30만 원을 요구하는 손해배상 소송을 서울중앙지법에 제기했다. 피해자 측은 공단이 인증 절차 없이 개인정보에 접근할 수 있는 취약한 시스템을 방치했다고 주장했다.

서울시 관계자는 "개인정보 수집항목을 최소화하면서 기존 회원정보를 순차적으로 삭제해 왔다"며 "기존 회원의 이름 등 해당 정보는 현재 삭제된 상태로 관리되고 있다"고 말했다.

hjm@news1.kr