[사진=챗GPT 생성 이미지]

[디지털데일리 채성오기자] 특정 관심사와 서비스를 중심으로 이용자를 빠르게 모은 플랫폼에서도 잇따라 보안 사고가 발생하고 있다.

서비스가 성장할수록 플랫폼에 쌓이는 데이터는 많아지지만 이를 지키기 위한 접근통제와 취약점 관리가 같은 속도로 따라가지 못하면 피해는 결국 정보를 맡긴 이용자에게 돌아간다는 지적이 뒤따른다.

9일 정보기술(IT)업계에 따르면, 최근 미용의료 플랫폼 '강남언니'와 팬덤 플랫폼 '위버스'에서 각각 개인정보 유출이 확인됐다.

미용의료 플랫폼 강남언니 운영사 힐링페이퍼는 지난 4일 웹 일부 응용프로그램인터페이스(API)에 비정상적인 접근이 발생하면서 국내외 고객 21만9665명의 개인정보가 외부로 빠져나간 사실을 확인했다. 한국 이용자가 약 16만명으로 가장 많았으며 일본과 대만, 태국 이용자도 피해 범위에 포함됐다.

문제는 유출된 정보의 성격이다. 이름과 전화번호, 이메일, 생년월일뿐 아니라 일부 이용자의 경우 상담을 요청한 시술이나 병원·의사 정보, 상담 과정에서 올린 사진, 실제 시술 및 결제 관련 정보까지 노출됐다.

각각의 데이터만 놓고 보면 일반적인 서비스 이용정보처럼 보일 수 있지만 서로 결합될 경우 특정 이용자가 어떤 의료·미용 서비스를 알아봤는지까지 짐작할 수 있다.

공격이 한 번에 끝난 것도 아니다. 힐링페이퍼가 최초 비정상 접근이 이뤄진 경로를 막은 뒤 다음 날 동일 공격자가 다른 경로를 통해 재차 접근을 시도한 사실이 확인됐다. 회사는 이후 관련 경로를 추가 차단하고 시스템 전반에 대한 보안 조치를 강화했다.

팬덤 플랫폼 위버스에서도 최근 대규모 정보 유출이 확인됐다. 위버스컴퍼니는 지난 3일 한국인터넷진흥원(KISA)을 통해 외부 제보자의 취약점 신고를 전달받아 점검에 나선 결과 계정 ID 기준 42만2584건의 정보가 노출된 사실을 파악했다.

유출 정보에는 이용자를 서비스 내부에서 구분하는 식별값과 함께 결제수단, 결제대행사(PG), 통화, 구매·취소 금액과 거래 시점 등의 정보가 포함됐다.

위버스 측은 "이름이나 연락처처럼 해당 식별값 자체만으로 개인을 바로 특정할 수 있는 구조는 아니며, 노출된 정보만 가지고 결제를 위조하거나 돈을 빼내기는 어렵다"는 입장이다.

강남언니와 위버스의 피해 수준을 단순 비교하기는 어렵다. 실제로 강남언니에서는 개인을 직접 식별할 수 있는 정보와 의료·미용 이용 내역이 함께 노출된 반면 위버스에서는 서비스 내부 식별값과 구매 관련 정보가 주로 문제가 됐다.

그럼에도 두 사고가 던지는 신호는 비슷하다는 것이 업계의 중론이다. 플랫폼이 외부 기능과 데이터를 주고받기 위해 활용하는 API 등 서비스 접점이 제대로 통제되지 않으면 공격자의 진입로가 될 수 있다는 이유에서다.

이용자가 편리하게 결제하고 상담하고 상품을 구매하도록 만든 연결 구조가 관리가 느슨해지는 순간 보안의 약점으로 뒤집힐 수 있다.

플랫폼과 온라인 서비스 업체의 개인정보 유출은 이전부터 반복돼 왔다. 앞서 2024년 재테크·부동산 교육 서비스를 운영하는 월급쟁이부자들은 해킹으로 이용자 10만7518명의 개인정보가 유출돼 개인정보보호위원회의 제재를 받았다.

당시 문제는 공격 기술의 복잡성보다 시스템을 지키는 기본 장치에 가까웠다. 개인정보위 조사에서는 데이터베이스(DB)에 접근할 수 있는 외부 IP를 제한하는 방화벽이 마련되지 않았고, 외부에서 DB로 접속할 때 별도의 추가 인증 절차도 없었던 것으로 확인됐다.

관리자 계정에는 비밀번호조차 설정되지 않았다. 개인정보위는 이에 과징금 5110만원과 과태료 270만원을 부과했다.

중고 렌터카 매매 중개 플랫폼 박차컴퍼니에서도 비슷한 경고가 나왔다. 공격자가 웹사이트의 입력값 처리 허점을 파고드는 SQL 삽입 방식을 이용하면서 회원 4004명의 개인정보가 유출됐고 장애등급 등의 정보도 포함됐다.

조사 과정에서는 외부 침입을 차단할 보안장비가 제대로 갖춰지지 않았고, 악의적인 입력값이 서버 명령으로 실행되지 않도록 걸러내는 절차도 부족했던 것으로 나타났다. 보유기간이 지난 개인정보를 파기하지 않거나 일부 계좌번호를 암호화하지 않은 문제도 함께 확인됐다.

개인정보위에 따르면, 지난해 접수된 개인정보 유출 신고는 447건으로 전년보다 45.6% 증가했다. 이 가운데 해킹에 따른 사고가 276건으로 전체의 62%를 차지했다. 민간부문 조사·처분 사례 가운데 절반이 중소기업이었다는 점도 눈에 띈다.

플랫폼의 위험은 단순히 '회원 수'에서 끝나지 않는다. 한 서비스 안에 구매와 상담, 결제, 예약, 이용기록이 차곡차곡 쌓이면서 여러 정보를 연결했을 때 한 개인의 취향과 행동을 재구성할 수 있는 데이터가 만들어진다. 개인정보 한두 항목을 잃는 문제보다 플랫폼이 보유한 정보의 결합 가능성을 함께 봐야 하는 이유가 여기에 있다.

이에 대해 전문가들은 보안 역시 사고가 난 뒤 문제의 경로 하나를 막는 방식에 머물러서는 안 된다고 지적했다.

IT업계 관계자는 "API마다 어떤 정보까지 제공할지 최소화하고 접근권한을 세분화하는 한편 관리자 인증, 이상 접속 탐지, 입력값 검증, 불필요한 개인정보 파기 같은 기본 조치를 서비스 설계 단계부터 적용해야 한다"고 제언했다.

그러면서 "플랫폼이 이용자를 모으고 서비스를 확장하는 만큼 정보를 지키는 역량까지 키우지 못한다면 사고가 반복될 때마다 피해를 떠안는 쪽은 결국 이용자 뿐"이라고 말했다.