2024년 6월 서버 취약점 악용한 무단 수집으로 아이디·연락처 등 새어나가
경찰 수사 결과, 제3자 유출 및 2차 피해 정황은 현재까지 확인되지 않아
피해 회원 대상 따릉이 30일권 쿠폰 지급 및 비상대응센터 가동

[보안뉴스 조재호 기자] 서울시설공단이 공공자전거 따릉이 서버 보안 취약점을 악용한 무단 수집으로 462만명의 회원정보가 유출됐다고 21일 밝혔다. 이번 공지는 지난 1월 수사기관으로부터 유출 의심 정황을 통보받은 이후 관계기관과 함께 사실관계를 확인한 결과에 따른 조치다.


▲따릉이 개인정보유출 안내 공지 [출처:서울시설공단]

이번 따릉이 정보 유출 대상은 2024년 6월 30일 이전 가입한 회원 중 일부로 파악됐다. 공격자들은 6월 28일과 29일 양일간 따릉이 서버의 취약점을 악용해 회원정보를 무단 수집했다.

유출된 항목은 ID·휴대폰 번호·생년월일·성별·체중·이메일·우편번호·주소·보호자 휴대폰 번호·생년월일·성별 등으로 회원마다 유출 항목은 상이하다. 다만, 경찰수사 결과 제3자 유출이나 유통 및 실제 피해 정황은 확인되지 않았다.

서울시설공단은 사고 인지 후 경찰 수사에 협조하고, 서울시와 합동으로 비상대응센터를 가동했다. 외부 보안 기관을 통한 정밀 점검을 시행하고, 사고의 원인이 된 웹 취약점에 대해 보안 조치를 하고 이상 접속 모니터링을 강화했다. 재발 방지를 위해 정기적인 보안 진단과 모의 침투 테스트도 정례화 했다.

공단은 이번 유출로 불편을 겪은 회원 대상으로 따릉이 30일권(1시간) 이용 쿠폰을 지급한다. 쿠폰은 8월 중 지급되며, 지급 시점 기준 3개월 이내에 사용할 수 있다. 구체적 일정과 이용법은 내달 14일 공식 홈페이지와 앱을 통해 안내될 예정이다.

서울시설공단 관계자는 “소중한 개인정보가 유출되어 불안과 불편을 겪은 회원들께 깊이 사과드린다”며 “사칭 문자나 출처가 불분명한 URL 클릭에 유의하고 피해가 의심될 경우 공공자전거운영처나 관련 기관에 즉시 신고해 달라”고 밝혔다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>