어느 병원에서 무슨 시술을 상담했는지, 상담용으로 올린 사진까지 빠져나갔습니다.

2026년 9월 4일, 미용의료 플랫폼 '강남언니'(운영사 힐링페이퍼)의 상담내역 조회 연동 기능(API)에 비정상적인 접근이 발생해 이용자 219,665명의 개인정보가 유출됐습니다. 회사는 이상 징후를 포착한 즉시 접근 경로를 차단했으나, 다음 날 같은 공격자가 다른 경로로 재차 접근을 시도한 사실이 확인됐습니다. 9월 6일 관할 경찰서에 수사가 의뢰되고, 한국인터넷진흥원(KISA)에 유출 사실이 자진 신고됐습니다.

1. 무엇이 유출되었나? 시술 이력과 상담 사진입니다

• 상담·시술 정보: 상담 신청 이벤트 및 시술명, 병원명, 의사명, 방문자명·연락처, 상담 등록 사진, 예약 희망 시간, 상담동기, 관심·신청·실제 시술 정보, 내원·시술 일시 (가장 치명적)

• 이름, 전화번호, 이메일, 생년월일, 성별, 국가 및 거주 지역, 소셜로그인 ID, 내부 식별 ID

• 결제 정보: 가격, 사용 포인트, 주문·거래 식별번호, 결제 금액·방법·시각, 결제자 이름·연락처

• 이용 단말 정보, 앱 버전, 접속 IP

시술을 상담한 사실과 그 병원·의사, 상담용으로 올린 사진은 건강에 관한 민감정보에 해당합니다(개인정보 보호법 제23조). 이름과 연락처만 유출된 사건과는 성격이 다릅니다.

2. 힐링페이퍼의 과실

• 본인만 볼 수 있어야 하는 조회 기능이 뚫렸습니다: 상담내역 조회 API를 통해 22만 명의 상담 내역이 빠져나갔습니다. 회사가 사고 후 '인증 절차 강화, 권한 검증 로직 재정비'를 완료했다고 밝힌 것은, 사고 당시 그 검증이 충분하지 않았다는 뜻입니다.

• 차단 다음 날 같은 공격자가 다시 들어왔습니다: 첫 차단이 근본 원인을 막지 못했다는 정황입니다.

• 민감정보를 일반 조회 기능과 같은 경로에 두었습니다: 시술명·병원명·상담 사진이 한꺼번에 유출됐습니다.

3. 우리는 정당한 손해배상을 요구합니다

개인정보 보호법은 구체적인 금전 피해를 증명하지 못해도 유출 사실 자체를 근거로 배상을 청구할 수 있도록 하고 있으며(제39조의2), 회사가 고의 또는 과실이 없음을 증명하지 못하면 책임을 면할 수 없도록 하고 있습니다(제39조 제1항).

로피드 법률사무소는 유출된 정보가 건강에 관한 민감정보에 해당한다는 점을 근거로, 이용자들이 입은 정신적 고통에 대한 정당한 위자료를 청구합니다.