[보안 이슈] 따릉이 462만 명 유출, 공단은 2년을 숨겼습니다 — 주민번호는 빠졌지만 스미싱 위험은 더 커졌습니다

2024년에 뚫렸고, 2026년에야 문자가 왔습니다

유출은 2024년 6월 28~30일 따릉이 앱이 디도스(DDoS·분산서비스거부, 서버에 트래픽을 몰아 마비시키는 공격)를 받던 시기에 발생했습니다. 공격 과정에서 웹 취약점이 뚫렸고, 서버 관리를 맡은 KT가 2024년 7월 유출 정황 보고서를 공단에 제출했습니다. 그런데 공단이 462만 명에게 개별 안내 문자를 보내기 시작한 건 2026년 7월입니다. 인지 시점부터 약 2년이 비어 있었고, 서울시가 공단을 수사 의뢰하는 상황까지 갔습니다.

범인은 뜻밖에도 10대 2명이었습니다. 중학생이던 2024년 서버에 침입했고, 경찰이 별건 수사 중 유출 파일을 발견해 추적한 끝에 2026년 2월 불구속 송치됐습니다. 정보를 판매한 정황은 확인되지 않았지만, “팔리지 않았다”가 “유출되지 않았다”는 뜻은 아닙니다. 데이터가 어디까지 복제됐는지는 아무도 확언할 수 없습니다.

주민번호는 없지만, 조합이 무기가 됩니다

공단은 주민등록번호와 결제 정보는 애초에 저장하지 않아 유출되지 않았다고 밝혔습니다. 다행이지만 털린 항목을 보면 안심하긴 이릅니다. 가입 시기에 따라 범위가 다른데, 확인된 항목은 다음과 같습니다.

핵심은 ‘조합’입니다. 전화번호 하나만 털리면 흔한 스팸이지만, 내 생일·주소·앱 이름까지 아는 문자는 차원이 다릅니다. “○○님, 7월 ○일 따릉이 이용 건 환불 대상입니다”처럼 날아오면 의심 없이 링크를 누르게 됩니다. 아이디·이메일 재사용 계정을 노린 공격은 신한은행 2만5천 명 유출 사건에서도 핵심 위협으로 지목됐습니다.

지금 당장 할 세 가지

주민번호가 안 털렸다고 넘길 일이 아닙니다. 아래 세 가지는 오늘 안에 끝내길 권합니다.

공공 서비스라고 더 안전하지는 않습니다

이번 사건의 교훈은 ‘운영 주체가 정부·지자체라고 보안이 더 튼튼하진 않다’는 점입니다. 오히려 이용자가 많아 유출 규모가 커지고 통지도 느려지는 경향이 있습니다. 보상이 30일 정기권(5,000원 상당)에 그쳐 “내 정보값이 자전거 이용권이냐”는 불만이 나온 것도 같은 맥락입니다.

※ 참고: 서울시설공단, 「따릉이 회원정보 유출 관련 개인별 안내 내용」