힐링페이퍼, 10일부터 강남언니 유출 피해 보상 신청받는다

미용의료 플랫폼 강남언니를 운영하는 힐링페이퍼가 9월 8일 개인정보 유출 사고 2차 입장문을 내고 보상안을 공개했다. 국내 유출 고객에게 1인당 5만원 상당 포인트를 지급하고 해킹과 피싱 등 금융사기로 입은 금전적 손해를 1년간 1인당 최대 1,000만원까지 보장하는 보험을 제공할 예정. 포인트 보상은 10일 오전 10시 앱 내 보상신청 링크를 통해 신청을 받는다.

◇ 이틀 간 두 차례 침입‧유출 고객 21만명 이상=힐링페이퍼는 지난 7일 1차 사과문을 통해 사고를 처음 알렸다. 4일 상담 내역을 조회하는 API에 비정상적인 접근이 시도됐고 이 과정 중 일부 고객 개인정보가 유출됐다는 것. 힐링페이퍼는 이상 징후를 실시간으로 포착한 즉시 해당 접근 경로를 차단하고 시스템 전반에 긴급 보안 조치를 진행했다. 실시간 대응을 이어가던 5일 동일 공격자가 이전과 다른 경로로 재차 접근을 시도한 사실을 확인해 곧바로 해당 경로도 막았다.

회사 측은 정보보호와 보안 투자를 최우선 순위로 두고 한국인터넷진흥원(KISA) 정보보호 공시를 통해 투자와 인력 현황을 공개해왔으며 정보보호 관리체계 인증(ISMS)에 따라 보호조치를 개선해왔다고 밝혔다. 그럼에도 예상치 못한 공격으로 사고가 벌어졌다는 설명이다.

유출 고객은 모두 21만 9,665명이다. 한국 이용자가 16만명으로 가장 많고 일본 4만 8,000명, 대만 4,218명, 태국 1,591명, 중국 481명, 영어권 및 기타 국가 5,308명이 뒤를 이었다.

2차 입장문에는 항목별 유출 인원이 함께 담겼다. 이름이 21만 9,640명, 생년월일과 성별이 21만 9,646명, 기기정보와 IP주소, 서비스 이용기록, 접속 기록이 21만 9,536명이다. 휴대폰번호는 20만 8,040명, 이메일 주소는 3만 1,473명, 국가와 거주지역은 8,820명, 소셜로그인 ID는 391명이다.

민감도가 높은 의료 관련 항목은 사실상 전체 사용자로 번졌다. 상담 의료기관과 상담 신청 내용, 내원 여부와 상담 여부, 시술 및 수술 여부, 시술 예정일, 예약일시는 21만 9,665명 전원이 대상이다. 희망하는 수술 또는 시술 정보는 20만 3,516명, 결제하는 시술 상품 정보와 결제수단 정보, 포인트 사용정보는 20만 2,681명이다. 주문과 구매 식별번호는 14만 7,514명, 상담 때 등록한 사진과 상담 동기는 1,670명, 결제자 성명과 연락처는 452명, 방문자 이름과 연락처는 1명이다. 회사 측은 개인정보처리방침에 적힌 수집항목을 기준으로 정리했다고 밝혔다.

◇ 보상안 마련, 기술적 보안 조치 나서=포인트 보상은 한국 유출 고객이 우선 대상이다. 해외 유출 고객 지급 규모는 따로 공지하고 순차 지급할 방침이다. 보상보험은 개인정보 유출로 발생한 해킹과 피싱 등 금융사기 피해를 보장한다.

기술적 조치는 세 갈래다. 로그인과 API 호출 전반 인증 절차를 다단계로 재정비하고 권한 검증 로직을 재구축해 비정상 접근을 원천 차단하는 구조로 바꿨다. 실시간 이상 징후 모니터링 체계를 고도화해 비슷한 패턴 재시도 공격이 발생하면 곧바로 탐지하고 차단하도록 했다. 상담과 결제, 시술 정보를 다루는 모든 연동 기능과 데이터베이스는 전수 보안 점검을 마쳤고 외부 보안 전문기관과 함께 취약점 점검과 모의 침투 테스트를 추가로 진행하고 있다.

신고 절차도 마무리됐다. 회사는 6일 KISA에 침해사고를 신고한 데 이어 7일 개인정보 유출 사고 신고를 마쳤다. 공격자를 특정할 수 있는 정황을 다수 확보했으며 정확한 경위 파악과 2차 피해 방지를 위해 6일 관할 경찰서에 수사를 의뢰했다는 설명이다.

유출 고객에게는 7일 문자와 이메일로 개별 통지했다. 앱과 홈페이지 팝업으로도 사고 개요와 초기 대응 조치를 알렸다. 홈페이지 입장문과 개인정보 유출 확인 조회 페이지는 게시일로부터 30일간 열람할 수 있다.

2차 피해 예방 수칙도 안내했다. 출처가 불분명한 문자와 전화, 이메일에 유의하고 개인정보나 금융정보를 요구하는 연락에는 응하지 말라는 내용이다. 강남언니나 병원을 사칭해 병원 안내와 할인 혜택을 명목으로 연락하거나 링크 클릭을 유도하는 경우 각별히 주의해달라고 당부했다. 문의와 피해 접수는 이메일(cs@gangnamunni.com)과 유선전화 02-6111-1710으로 받는다. 전화 상담은 평일과 주말 오전 9시부터 18시까지다. 채널톡 1:1 채팅 상담도 운영한다.

홍승일 힐링페이퍼 대표는 “이번 사고를 뼈아픈 교훈으로 삼겠다며 정보보호 투자와 ISMS 기준에 따른 보호조치를 계속 강화하겠다”고 밝혔다. 또 “개선 과정과 진행 상황도 숨김없이 알리겠다”고 덧붙였다.