티스토리 뷰
목차
솔직히 저는 공공서비스 앱에 개인정보를 입력할 때 별다른 걱정을 한 적이 없었습니다. 자전거 타려고 가입하는 앱인데, 설마 내 몸무게까지 털릴 거라고는 생각도 못했으니까요. 그런데 2026년 7월, 따릉이 회원 462만 명의 개인정보가 유출됐다는 소식을 접했을 때, 가장 먼저 든 생각은 "나도 거기 있었겠구나"였습니다. 그리고 그 뒤에 날아온 보상 안내가 5,000원짜리 30일 이용권 한 장이라는 걸 알았을 때, 그냥 씁쓸했습니다.
대규모 유출 — 462만 명, 무슨 일이 있었나
사건의 시작은 2024년 6월로 거슬러 올라갑니다. 10대 해커 2명이 따릉이 서버에 무단으로 침입해 회원 데이터를 빼돌렸습니다. 문제는 이 사실이 곧바로 알려지지 않았다는 점입니다. 서울경찰청이 수사를 통해 유출 사실을 확인한 건 2025년 2월이었고, 서울시설공단은 그때서야 경찰 통보를 받고 사태를 파악했다고 밝혔습니다.
유출된 정보는 단순한 이름이나 나이 수준이 아니었습니다. 휴대전화 번호, 이메일 주소, 그리고 이용자가 건강 관리 목적으로 직접 앱에 입력한 체중 정보까지 포함됐습니다. 여기서 개인식별정보(PII, Personally Identifiable Information)란 특정 개인을 직접 또는 간접적으로 식별할 수 있는 모든 정보를 의미합니다. 이름이나 연락처뿐 아니라 신체 정보처럼 조합하면 개인을 특정할 수 있는 데이터까지 포함됩니다. 체중 정보는 그 자체로 민감하기도 하지만, 다른 정보와 결합됐을 때 위험성이 커지는 대표적인 PII입니다.
제가 직접 따릉이 앱을 사용해본 입장에서 돌이켜보면, 체중 입력란이 있다는 건 알고 있었지만 그걸 "선택 입력"이라고만 생각했지, 입력하면 서버에 영구적으로 남는다는 걸 크게 의식하지 않았습니다. 이번 사건을 보고 나서야 '내가 앱에 남긴 정보가 얼마나 오래, 어디에, 어떤 형태로 저장되어 있는지' 실제로 알기 어렵다는 현실을 다시 실감했습니다.
서울시는 공단이 유출 사실을 알고도 적절한 조치를 취하지 않았다며 관계자들을 경찰에 수사 의뢰했고, 개인정보보호위원회(출처: 개인정보보호위원회)도 현재 조사를 진행 중입니다. 책임 소재가 여러 방향으로 얽혀 있는 상황입니다.
- 유출 시점: 2024년 6월 (해킹 발생)
- 유출 확인: 2025년 2월 (서울경찰청 수사 결과)
- 유출 규모: 따릉이 회원 462만 명
- 유출 정보: 휴대전화 번호, 이메일 주소, 체중 등
- 수사·조사 기관: 서울경찰청, 개인정보보호위원회
보상 논란 — 5,000원이 말해주는 것
서울시설공단이 내놓은 보상책은 다음 달부터 사용할 수 있는 30일 이용권, 즉 5,000원 상당의 정기권 한 장이었습니다. 유효 기간은 3개월입니다. 실제 피해가 확인되지 않았다는 이유에서입니다. 이 소식을 접했을 때, 저는 솔직히 "이게 사과인지 쿠폰 이벤트인지 모르겠다"는 생각이 먼저 들었습니다.
물론 아직 금전적 피해가 입증되지 않은 상황에서 보상 규모를 결정하는 게 쉽지 않다는 건 이해합니다. 그런데 피해가 아직 확인되지 않았다는 것과 피해 가능성 자체가 없다는 건 전혀 다른 이야기입니다. 스미싱(Smishing)이란 SMS와 피싱(Phishing)의 합성어로, 문자메시지를 이용해 악성 링크 클릭을 유도하거나 개인정보를 탈취하는 사기 방식을 말합니다. 휴대전화 번호가 유출된 순간, 해당 번호로 정교하게 설계된 스미싱 문자가 날아올 수 있고, 이메일 주소가 유출됐다면 피싱 메일의 표적이 될 수 있습니다. 이런 2차 피해는 유출 직후가 아니라 몇 달, 몇 년 뒤에 나타나기도 합니다.
저도 예전에 출처를 알 수 없는 스미싱 문자를 받은 적이 있는데, 그때 얼마나 찜찜하고 불안했는지 아직도 기억납니다. 이번처럼 462만 명의 연락처가 한꺼번에 빠져나간 상황이라면, 이용자들이 느끼는 불안은 5,000원짜리 이용권으로 해소될 수 있는 수준이 아닙니다.
더 근본적인 문제는 공공기관과 민간기업 사이의 과징금 체계 차이입니다. 과징금이란 법령 위반에 대해 행정기관이 부과하는 금전적 제재를 말합니다. 현행 개인정보보호법상 민간기업은 전체 매출액의 최대 3%까지 과징금을 부과받을 수 있어 상한선이 사실상 없습니다. 반면 매출액을 산정하기 어려운 공공기관은 최고 20억 원까지만 부과할 수 있습니다(출처: 국가법령정보센터 개인정보보호법). 같은 규모의 유출이 발생해도 공공기관이 받는 제재가 구조적으로 가벼울 수밖에 없는 겁니다. 지난해 공공기관의 개인정보 유출 신고 건수가 128건으로 전년(104건) 대비 23%나 늘었다는 사실도 이와 무관하지 않아 보입니다.
공공기관 책임 — 앞으로 우리가 요구해야 할 것
이번 사건에서 제가 가장 불편하게 느낀 건 보상 금액이 작다는 것보다, 이용자가 사후에 할 수 있는 일이 너무 없다는 현실이었습니다. 이미 외부로 빠져나간 휴대전화 번호나 이메일, 체중 정보는 회수할 방법이 없습니다. 비밀번호를 바꾸는 것 정도가 현실적으로 할 수 있는 전부입니다.
그렇다면 기관이 해야 할 일은 무엇일까요. 저는 쿠폰보다 투명한 정보 공개가 먼저라고 생각합니다. 유출 사실을 언제 인지했는지, 어떤 경위로 대응이 지연됐는지, 실제로 어떤 정보가 어느 범위까지 빠져나갔는지를 이용자가 명확히 알 수 있어야 합니다. 그래야 각자가 필요한 보안 조치를 취할 수 있습니다.
제 경험상 이런 종류의 공지는 보통 지나치게 추상적이거나 "현재까지 피해 사례는 확인되지 않았습니다"라는 한 줄로 마무리되는 경우가 많습니다. 이번 따릉이 안내 문자도 크게 다르지 않았을 것 같습니다. 하지만 이용자 입장에서 정말 필요한 건 "내 어떤 정보가 유출됐고, 지금 당장 무엇을 해야 하는가"에 대한 구체적인 안내입니다.
데이터 최소화 원칙(Data Minimization)이라는 개념이 있습니다. 서비스 제공에 꼭 필요한 최소한의 개인정보만 수집하고 보관해야 한다는 원칙으로, 유럽 GDPR(일반 개인정보보호규정)이 강조하는 핵심 원칙 중 하나입니다. 쉽게 말해, 체중 정보가 자전거 대여 서비스 운영에 반드시 필요한 정보가 아니라면 수집 자체를 재검토해야 한다는 이야기입니다. 공공기관이 개인정보를 수집할 때 이 기준을 더 엄격하게 적용해야 한다고 생각합니다.
시민들은 공공서비스를 이용할 때 민간 앱보다 더 신뢰하고 정보를 제공하는 경향이 있습니다. 바로 그렇기 때문에 공공기관의 개인정보 보호 책임은 오히려 더 무거워야 합니다. 이번 사건이 공공기관의 보안 관리 기준과 유출 이후 보상 체계를 현실적으로 정비하는 계기가 됐으면 합니다.
자주 묻는 질문
Q. 따릉이 개인정보 유출, 나도 해당되는지 어떻게 확인하나요?
A. 서울시설공단이 유출 대상 회원에게 직접 문자메시지로 안내를 발송했습니다. 문자를 받으셨다면 해당자이고, 받지 못하셨다면 따릉이 앱 고객센터에 직접 문의하는 것이 가장 확실합니다. 저도 비슷한 상황이었다면 문자 한 통만 믿기보다 직접 확인하는 쪽을 선택했을 것 같습니다.
Q. 개인정보가 유출됐을 때 당장 뭘 해야 하나요?
A. 유출된 정보가 이메일·전화번호라면 우선 연계된 주요 서비스의 비밀번호를 변경하고, 2단계 인증을 설정하는 것이 좋습니다. 그리고 출처가 불명확한 문자나 이메일에 포함된 링크는 절대 클릭하지 않는 게 기본입니다. 스미싱은 유출된 번호를 활용해 아주 정교하게 설계되기 때문에, 익숙한 기관 이름으로 온 문자도 한 번 더 의심하는 습관이 필요합니다.
Q. 5,000원 보상 외에 추가 피해 보상을 받을 수 있나요?
A. 현재 개인정보보호위원회가 조사를 진행 중이며, 수사 결과에 따라 추가적인 행정처분이나 민사 손해배상 청구 가능성도 열려 있습니다. 다만 실제 금전적 피해를 입증하는 것이 쉽지 않기 때문에, 향후 절차를 지켜보는 것이 현실적입니다. 집단 소송 움직임이 생긴다면 참여를 검토해볼 수도 있습니다.
Q. 공공기관은 왜 민간기업보다 과징금이 낮은가요?
A. 현행 개인정보보호법은 민간기업의 경우 매출액 기준 최대 3%까지 과징금을 부과할 수 있지만, 매출 개념이 적용되기 어려운 공공기관은 상한선이 20억 원으로 고정되어 있습니다. 구조적으로 책임의 무게가 다를 수밖에 없는 셈인데, 이를 개선해야 한다는 목소리가 이번 사건을 계기로 다시 커지고 있습니다.
결론
개인정보는 공짜로 제공하는 정보가 아닙니다. 시민이 공공서비스를 이용하기 위해 신뢰를 바탕으로 건넨 정보입니다. 그 신뢰를 지키지 못했다면, 5,000원짜리 쿠폰 한 장으로 책임을 다했다고 보기는 어렵습니다. 저는 이번 사건을 계기로 앱 가입 시 입력하는 정보를 다시 한 번 점검하게 됐고, 사용하지 않는 서비스는 탈퇴하거나 정보를 삭제하는 것부터 시작했습니다.
우리가 요구해야 할 것은 더 큰 금액의 보상만이 아닙니다. 유출 사실을 신속하고 투명하게 공개하는 것, 이용자가 스스로 피해를 예방할 수 있도록 실질적인 정보를 제공하는 것, 그리고 공공기관의 개인정보 관리 기준을 지금보다 훨씬 엄격하게 적용하는 것입니다. 이번 따릉이 사건이 그 변화를 앞당기는 계기가 되길 바랍니다.