462만명 개인정보 털렸는데…따릉이 보상은 5000원짜리 30일권

(서울=뉴스1) 구진욱 기자 =

서울시 공공자전거 '따릉이' 회원 462만명의 개인정보가 유출됐지만 피해자에게 돌아가는 보상은 5000원 상당의 30일 이용권 한 장에 그치는 것으로 나타났다.

휴대전화번호와 생년월일은 물론 일부 회원의 체중과 주소, 보호자 정보까지 유출된 데 비해 보상 규모가 지나치게 작다는 비판이 나온다.

23일 서울시설공단에 따르면 공단은 개인정보가 유출된 회원 약 462만명에게 따릉이 30일 정기권을 일괄 지급할 예정이다.

보상 이용권은 하루 1시간씩 따릉이를 이용할 수 있는 상품으로 판매 가격은 5000원이다. 개인정보 유출 범위나 항목, 실제 따릉이 이용 여부와 관계없이 피해자 모두에게 같은 이용권이 지급된다.

쿠폰은 다음 달 따릉이 애플리케이션을 통해 제공된다. 지급일부터 3개월 안에 등록해야 하며, 기존 정기권 이용자는 현재 이용권이 만료된 뒤 사용할 수 있다.

이번 사고로 유출된 정보에는 아이디와 휴대전화번호, 생년월일, 성별, 체중, 이메일, 우편번호, 주소 등이 포함됐다. 일부 회원은 보호자 휴대전화번호와 생년월일, 성별까지 유출됐다.

개인별 유출 항목은 가입 시기와 가입 경로 등에 따라 다르다. 공단은 지난 21일부터 하루 약 120만건씩 실제 유출 항목과 사고 경위, 피해 예방 수칙을 담은 문자메시지를 순차적으로 발송하고 있다.

개인정보 유출은 2024년 6월28일부터 29일까지 이틀간 발생했다. 해킹범들이 따릉이 서버의 보안 취약점을 이용해 그해 6월30일 이전 가입한 회원의 개인정보를 무단으로 수집한 것으로 조사됐다.

하지만 공단이 경찰로부터 유출 의심 정황을 전달받은 것은 사고 발생 1년 7개월 뒤인 올해 1월27일이었다. 경찰은 정보보안을 독학한 중학생 2명이 공단 서버의 취약점을 이용해 개인정보를 빼낸 것으로 파악했다.

서울시는 공단이 개인정보 유출 정황을 인지하고도 적절한 조치를 하지 않은 의혹이 있다며 공단 관계자들을 경찰에 수사 의뢰했다. 경찰도 공단의 서버 관리와 보안 조치가 적절했는지를 들여다보고 있다.

개인정보보호위원회 역시 사고 경위와 공단의 안전조치 의무 위반 여부 등을 조사하고 있다. 현행 개인정보 보호법상 개인정보처리자에게는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 매출액이 없거나 산정하기 어려운 경우 과징금 상한은 20억원이다.

공단은 사고 원인이 된 웹 취약점을 보완하고 이상 접속 모니터링을 강화했다고 밝혔다. 정기 보안 진단과 모의 침투 테스트도 정례화하고 시스템 재구축을 위한 인력과 예산 확보에 나설 계획이다.

현재까지 유출된 개인정보가 제3자에게 유통되거나 범죄 등에 악용된 사례는 확인되지 않았다.

한국영 서울시설공단 이사장은 "이번 개인정보 유출 사고로 시민 여러분께 걱정과 불편을 드린 점을 다시 한번 깊이 사과드린다"며 "보안 체계를 전면 재정비하고 시민들이 안심하고 따릉이를 이용할 수 있도록 총력을 다하겠다"고 말했다.