따릉이 462만 명 정보, 중학생에게 뚫렸다…공단은 2년간 방치했다

서울시 공공자전거 '따릉이'를 이용하는 시민 462만 명의 개인정보가 중학생들의 해킹에 의해 대규모로 유출되는 초유의 사태가 발생했다. 유출된 정보에는 아이디와 휴대전화 번호뿐만 아니라 생년월일, 주소, 심지어 '체중'까지 포함되어 충격을 더하고 있다.

더욱이 해당 기관이 유출 사실을 인지하고도 2년 가까이 아무런 조치를 취하지 않았다는 정황이 드러나며 법적 책임 공방이 거세질 전망이다.

중학생 '호기심'에 뚫린 462만 명의 일상... 구멍 뚫린 공공 보안

사건의 시작은 지난 2024년 6월로 거슬러 올라간다. 당시 중학생이었던 A군과 B군은 이틀에 걸쳐 서울시설공단의 따릉이 서버에 침입했다. 이들은 보안의 허점을 이용해 가입자 대부분인 약 462만 건의 계정 정보를 통째로 내려받았다. 조사 결과, B군은 "호기심과 과시욕 때문에 범행했다"고 진술했으며, 주범 격인 A군은 현재까지 묵비권을 행사하고 있다.

이들의 범행이 가능했던 이유는 따릉이 서버의 치명적인 보안 결함 때문이었다. 통상적으로 가입자 정보에 접근하려면 암호화된 '인증 토큰'이 필요하지만, 당시 따릉이 서버는 특정 호출만 하면 인증 절차 없이도 정보를 내주는 상태였다. 경찰 관계자가 "고난도 해킹이 아니다"라고 언급했을 만큼 기본적인 보안망조차 갖춰지지 않았던 셈이다.

이들의 덜미가 잡힌 것은 다른 사건을 수사하던 중이었다. 2024년 4월, 민간 공유 모빌리티 업체에 디도스(DDoS) 공격을 가한 혐의로 B군을 검거한 경찰은 그의 전자기기에서 따릉이 회원 정보 파일을 발견했다. 이후 텔레그램 대화 내용을 분석해 공범 A군까지 올해 1월 추가로 검거하며 사건의 전말이 드러났다.

"알고도 2년 숨겼나" 서울시설공단 향하는 수사 칼날

이번 사건에서 독자들이 가장 분노하는 지점은 서울시설공단의 대응이다. 서울시는 공단 측이 개인정보 유출 사실을 인지하고도 약 2년 동안 이를 알리지 않고 방치한 정황을 포착해 경찰에 수사를 의뢰했다.

현재 경찰은 공단 관계자들을 대상으로 입건 전 조사(내사)를 진행하며 보안 관리 부실과 조직적 은폐 여부를 집중적으로 들여다보고 있다.

해킹을 주도한 A군과 B군은 정보통신망법 위반 혐의로 검찰에 불구속 송치된 상태다. 다만 범행 당시 이들이 미성년자였던 점이 변수로 작용하고 있다. 검찰은 A군이 소년범이라는 점 등을 고려해 경찰이 신청한 구속영장을 반려하기도 했다.

'인증 토큰' 없는 서버는 무방비 상태... 법이 말하는 보안의 의무

법조계에서는 이번 사건의 핵심 쟁점으로 서울시설공단의 '안전조치 의무 위반'을 꼽는다. 개인정보 보호법 제29조에 따르면 개인정보처리자는 정보가 유출되지 않도록 기술적·관리적 조치를 해야 한다. 특히 대법원 판례(대법원 2015. 2. 12. 선고 2013다43994 판결)는 보안 조치 여부를 판단할 때 '사회통념상 합리적으로 기대 가능한 정도의 보호조치'를 다했는지를 기준으로 삼는다.

따릉이 서버처럼 기본적인 인증 절차인 '인증 토큰' 검증조차 없었던 것은 명백한 법 위반에 해당할 가능성이 높다. 또한 유출 사실을 알게 된 즉시 정보주체에게 알려야 하는 통지 의무(개인정보 보호법 제34조)를 2년이나 어긴 점은 과태료 처분을 넘어 민사상 손해배상액을 높이는 결정적인 요인이 될 수 있다.

"내 정보의 가치는 얼마?" 역대 판례로 본 배상금 전망

그렇다면 피해를 입은 시민들은 보상을 받을 수 있을까? 과거 대규모 유출 사고였던 '카드사 개인정보 유출 사건'(서울중앙지방법원 2016. 11. 24. 선고 2014가합528787 판결)에서 법원은 사측의 안전조치 의무 위반을 인정해 피해자들에게 각 10만 원의 위자료를 지급하라고 판결한 바 있다.

반면 '옥션'이나 '네이트' 사건처럼 해킹 기술이 매우 고도화되었고 기업이 법적 보안 기준을 준수했다고 판단된 경우에는 배상 책임이 부정되기도 했다. 하지만 이번 따릉이 사건은 '고난도 해킹이 아니었다'는 점과 '2년간의 은폐 정황'이 뚜렷하다는 점에서 공단의 책임을 피하기 어려울 것으로 보인다.

특히 개인정보 보호법 제39조의2에 따른 '법정손해배상' 제도를 통해 피해자들은 구체적인 손해액을 입증하지 않더라도 300만 원 이하의 범위에서 배상을 청구할 수 있는 길이 열려 있다.

462만 명이라는 대규모 인원이 집단 소송에 나설 경우, 서울시설공단이 짊어져야 할 법적·경제적 부담은 가늠하기 힘들 정도로 커질 전망이다.