462만 명의 생년월일·주소·성별·체중까지 통째로 빠져나갔습니다. 공단은 1년 7개월간 이 사실조차 몰랐습니다.

2024년 6월 28일부터 29일 사이, 서울시설공단이 운영하는 서울시 공공자전거 '따릉이' 서버에 해커가 침입해 회원 개인정보 약 462만 건을 외부로 빼냈습니다. 누적 회원 512만 명의 대부분에 해당하는, 사실상 전수 유출입니다. 그런데 공단은 2026년 1월 경찰이 통보해 줄 때까지 유출 사실 자체를 알지 못했습니다.

이번 사고는 공공기관이 기본적인 안전조치 의무를 저버렸기 때문에 발생했습니다.

1. 무엇이 유출되었나? 몸무게까지 털렸습니다

- 아이디, 휴대전화 번호, 이메일 주소

- 생년월일, 성별, 주소지(우편번호 포함)

- 체중: 신체·건강 상태를 드러내는 정보로, 민감정보에 해당할 수 있는 가장 사적인 정보 (일부 회원은 보호자 정보까지)

생년월일·주소·성별·체중이 휴대전화 번호와 결합되면 개인을 특정한 맞춤형 피싱·스미싱·보이스피싱에 그대로 악용될 수 있습니다. 실제로 이 정보들은 이미 2년 넘게 어디에서 어떻게 유통되었는지조차 확인되지 않고 있습니다.

2. 서울시설공단의 과실

- 인증 없는 개인정보 접근 허용: 본래 가입자는 본인 인증으로 받은 토큰이 있어야 개인정보를 호출할 수 있어야 하는데, 따릉이 서버는 이런 절차 없이도 개인정보에 접근할 수 있도록 방치되어 있었습니다. 당시 중학생이던 10대 2명이 독학한 기법만으로 462만 건을 내려받았을 정도입니다.

- 1년 7개월간 유출 미인지: 공단은 2024년 6월 유출 이후 2026년 1월 경찰 통보 전까지 유출 정황을 전혀 인지하지 못했고, 통보를 받고도 유출 경로와 규모조차 특정하지 못했습니다.

- 추가 노출 사고: 2026년 1월에는 개발 오류로 홈페이지에 내부자료 850여 건이 노출되어 주민등록번호 등이 검색엔진에 무방비로 드러나는 사고까지 겹쳤습니다.

3. 우리는 정당한 손해배상을 요구합니다

개인정보 보호법은 개인정보가 유출된 피해자가 실제 손해액을 증명하지 않아도 300만 원 이하의 범위에서 배상을 청구할 수 있도록 정하고 있고(법 제39조의2), 공단이 스스로 고의·과실 없음을 증명하지 못하면 책임을 면할 수 없습니다.

공단이 제공하는 30일 정기권(5,000원 상당)은 유출로 입은 정신적 고통에 대한 배상이 아닙니다. 정기권을 받으셔도 소송 참여에는 아무런 지장이 없습니다.

로피드 법률사무소는 서울시설공단의 과실을 근거로 이번 유출로 회원들이 입은 정신적 고통에 대한 정당한 위자료를 청구합니다. 지금 소송에 참여하여 여러분의 권리를 찾으십시오.