서울시 공공자전거 '따릉이' 개인정보 유출 사건 총정리

 

<연합뉴스>

서울시 공공자전거 서비스인 따릉이에서 회원 462만 명의 개인정보가 유출된 사건이 밝졌습니다. 핵심 정보를 한눈에 파악할 수 있도록 사건의 경과, 원인, 유출 항목 및 보상 대책을 정리했습니다.

<한겨레>

1. 사건 핵심 요약 (TLDR)

• 피해 규모: 약 462만 명 (전체 이용자의 90% 이상)
• 서울시설공단
• 발생 시점: 2024년 6월 28일 ~ 29일
• 연세대학교 바른ICT연구소
• 인지 시점: 2026년 1월 (경찰 수사를 통해 뒤늦게 확인)
• 피해 보상: 이용자 대상 '30일 정기권(5,000원 상당)' 지급  <비즈워치+ 1>

2. 유출 내용 및 유출 항목

사이버 공격으로 인해 유출된 항목과 안전한 데이터는 아래와 같습니다.

🔴 유출된 개인정보 항목

• 기본 정보: 아이디, 휴대전화번호, 이메일 주소  <연합뉴스>
• 신상 정보: 생년월일, 성별, 주소, 체중 데이터

🟢 안전한 정보 (유출 미포함)

• 이름, 주민등록번호, 비밀번호, 결제 카드 및 금융 정보

비고: 2차 피해 및 제3자 거래 정황은 경찰 수사 결과 확인되지 않았습니다.

3. 해킹 원인 및 은폐 논란

[2024.06] 해킹 발생 ──> [당시 공단 대응] 디도스 장애로만 인식/보고 누락 ──> [2026.01] 경찰 통보로 뒤늦게 유출 인지

1. 기술적 취약점: 서버 측에서 본인 인증 토큰을 정상 검증하지 않는 보안 허점이 존재했으며, 피의자(10대 청소년)가 이를 이용해 대량 데이터를 추출했습니다.
2. 보고 누락 및 방치: 2024년 시스템 장애 발생 당시 운영 기관인 서울시설공단은 단순 디도스(DDoS) 공격으로 판단하고 사후 조치를 소홀히 하여 약 1년 7개월 동안 유출 사실이 방치되었습니다.

4. 피해자 보상 및 대응 조치

• 피해 보상 지급: 서울시설공단은 피해 대상 회원 462만 명에게 개별 안내 문자를 발송하고 '따릉이 30일 정기권'을 제공하고 있습니다. <매일경제>
• 사용자 주의사항: 유출된 휴대전화번호와 이메일을 악용한 스미싱(문자 사기) 및 피싱 메일이 기승을 부릴 수 있으므로, 출처가 불분명한 URL 링크 클릭을 자제해야 합니다. <서울시설공단>

 

개인정보 유출 피해 예방 및 대처 가이드 (SEO 최적화)

3초 핵심 요약 (Featured Snippet)

최근 연이은 대규모 개인정보 유출 사고로 2차 피해(크리덴셜 스터핑, 명의도용, 스미싱) 위험이 커졌습니다. 1) 사이트별 비밀번호 다변화, 2) 2단계 인증(MFA) 설정, 3) Msafer 명의도용 차단 서비스, 4) 털린 내 정보 찾기 서비스의 4가지 핵심 조치를 취하면 유출 피해를 90% 이상 예방할 수 있습니다. 피해 발생 시에는 **118(개인정보 침해신고센터)**을 통해 즉시 신고 및 대응해야 합니다.

목차 (Table of Contents)

1. 개인정보 유출, 왜 위험할까요? (2차 피해 종류)
2. 개인정보 유출 사전 예방 5대 수칙
3. 개인정보 유출 피해 발생 시 즉시 대처 가이드
4. 한눈에 보는 개인정보 보호 체크리스트
5. 자주 묻는 질문 (FAQ)

1. 개인정보 유출, 왜 위험할까요? (2차 피해 종류)

단순히 이름, 전화번호, 이메일이 노출된 것에 그치지 않고 유출된 데이터가 조합되면 심각한 2차 피해로 이어집니다.

• 크리덴셜 스터핑 (Credential Stuffing): 한곳에서 유출된 ID/PW를 다른 주요 사이트(네이버, 카카오, 금융 앱 등)에 무작위 대입하여 계정을 탈취하는 공격 방식입니다.
• 타겟형 스미싱 & 보이스피싱: 유출된 실제 이용 서비스 정보, 이름, 생년월일을 바탕으로 "정기권 환불", "보상금 지급" 등의 문자를 보내 악성 앱 설치를 유도합니다.
• 명의도용 대포폰 개통: 유출된 개인정보를 악용해 알뜰폰을 무단 개통한 뒤, 휴대폰 소액결제나 금융 대출을 실행하는 피해가 빈번합니다.

2. 개인정보 유출 사전 예방 5대 수칙

① 계정별 개별 비밀번호 및 2단계 인증(MFA) 필수 설정

• 비밀번호 재사용 금지: 모든 사이트에 동일한 비밀번호를 사용하면 한 곳만 해킹당해도 모든 계정이 위험해집니다.
• 2단계 인증(MFA) 활성화: 아이디와 비밀번호를 알더라도 OTP나 승인 알림 없이는 로그인할 수 없도록 보안 강화를 해야 합니다.

② 명의도용 사전 차단 서비스 (Msafer) 신청

• 신규 개통 차단: 한국정보통신진흥협회(KAIT)에서 제공하는 Msafer(명의도용방지서비스)에 접속하여 '가입제한 서비스'를 설정하세요. 본인 명의의 알뜰폰 및 통신사 신규 개통을 사전에 원천 차단할 수 있습니다.

③ '털린 내 정보 찾기' 활용 및 휴면 계정 탈퇴

• 유출 이력 점검: 개인정보보호위원회와 KISA가 운영하는 [털린 내 정보 찾기]에서 사용 중인 ID/PW가 다크웹 등에 유출되었는지 정기적으로 확인하세요.
• 불필요한 계정 정리: 가입 후 이용하지 않는 오래된 웹사이트는 해킹의 표적이 되므로 즉시 회원탈퇴를 진행합니다.

④ 출처 불분명한 문자/이메일 링크(URL) 클릭 금지

• 스미싱 주의: 택배, 과태료, 정부 지원금, 서비스 보상 안내 등을 빙자한 문자 내 링크는 절대로 누르지 마세요.
• 공식 앱 마켓 이용: 모든 앱은 구글 플레이스토어나 Apple 앱스토어 등 공식 출처에서만 다운로드해야 합니다.

⑤ 기기 보안 업데이트 및 백신 실시간 감시

• OS 자동 업데이트: Windows, Android, iOS 등 운영체제의 최신 보안 패치를 항상 적용하세요.
• 모바일 백신 실행: 스마트폰 및 PC 백신 프로그램의 실시간 감시 기능을 켜두고 정기 검사를 실시합니다.

3. 개인정보 유출 피해 발생 시 즉시 대처 가이드

이미 유출 통지를 받았거나, 2차 피해가 의심되는 상황이라면 다음 단계에 따라 신속하게 대응해야 합니다.

Step 1. 동일 비밀번호 사이트 전체 변경

유출된 사이트의 비밀번호는 물론, 동일하거나 유사한 비밀번호를 사용하는 모든 웹사이트의 비밀번호를 즉시 변경하세요.

Step 2. 금융 거래 일시 중단 및 지급정지 요청

• 계좌 유출이나 금전 피해가 의심될 경우 해당 금융사 고객센터 또는 경찰청에 즉시 계좌 지급정지를 요청하세요.
• 금융감독원의 '파인(FINE)' 사이트에서 '명명의사 계좌정보통합관리서비스'를 통해 본인 명의로 개설된 계좌 및 대출을 조회하세요.

Step 3. 전문 기관 신고 및 도움 요청

• 개인정보 침해신고센터: 국번없이 ☎ 118 (개인정보 유출 신고 및 상담)
• 경찰청 사이버범죄 신고: 국번없이 ☎ 1441 (피싱/스미싱 금전 피해 신고)
• 금융감독원 불법금융피해: 국번없이 ☎ 1332

4. 한눈에 보는 개인정보 보호 체크리스트

점검 영역	상세 실천 항목	이행 여부
비밀번호	영문+숫자+특수문자 조합 10자리 이상, 사이트별 다변화	[ ]
보안 인증	포털·금융·소셜 계정 2단계 인증(MFA) 설정	[ ]
명의 보호	Msafer 접속 후 본인 명의 통신 개통 차단 설정	[ ]
계정 관리	'털린 내 정보 찾기' 조회 및 미사용 웹사이트 회원탈퇴	[ ]
기기 보안	스마트폰/PC 보안 자동 업데이트 및 백신 실시간 감시	[ ]

5. 자주 묻는 질문 (FAQ)

Q1. 개인정보가 유출되었다는 문자를 받았는데 진짜인가요?

A. 해당 기업의 공식 홈페이지나 공식 고객센터를 통해 유출 사실을 직접 확인해야 합니다. 문자 안에 포함된 URL 링크는 스미싱 피싱일 가능성이 높으므로 절대 클릭하지 마세요.

Q2. 2단계 인증(MFA)을 꼭 해야 하나요?

A. 네, 필수입니다. 비밀번호가 유출되더라도 2단계 인증이 설정되어 있다면 타인이 내 계정에 로그인할 수 없습니다.

Q3. 유출된 정보로 누군가 알뜰폰을 개통하면 어떻게 하나요?

A. 즉시 Msafer 웹사이트에 접속하여 '가입사실현황조회'를 해보시고, 유출 전 미리 '가입제한 서비스'를 신청해 두는 것이 가장 안전합니다.