강남언니, 상담 API 뚫려 회원 22만 명 개인정보 유출

출처: 힐링페이퍼(강남언니 운영사) 공식 안내문
원문: https://stray-prong-71918885.figma.site/
작성자: 팔복소프트-김팔복

한눈에 보기

• 2026년 9월 4일, 강남언니의 상담내역 조회 API에 비정상 접근이 발생해 일부 회원의 개인정보가 유출됐다.
• 다음 날인 9월 5일 같은 공격자가 다른 경로로 다시 접근을 시도했고, 운영사는 이를 차단했다.
• 유출 규모는 총 219,665명이며, 이 중 한국 이용자가 약 16만 명, 일본이 약 4.8만 명이다.
• 이름·연락처 같은 기본 정보뿐 아니라 시술명, 병원명, 의사명, 상담 사진, 결제 내역까지 유출 항목에 포함됐다.
• 운영사는 KISA에 자진 신고하고 대상자에게 개별 통지했으며, 9월 6일 경찰에 수사를 의뢰했다.
• 본인 유출 여부는 공지일로부터 30일간 강남언니 홈페이지에서 조회할 수 있다.

배경

강남언니는 성형·피부 시술 정보를 모아 보여주고, 병원에 상담을 신청하고 예약·결제까지 이어주는 플랫폼이다. 한국뿐 아니라 일본, 대만 등 해외 이용자도 상당수다. 서비스 특성상 "어떤 시술에 관심이 있고, 어느 병원에서, 어떤 의사에게 상담을 받았는지"가 곧 데이터이기 때문에, 일반적인 커머스 서비스의 회원 정보 유출과는 민감도가 다르다.

주요 내용

무슨 일이 있었나

운영사 힐링페이퍼가 공개한 안내문에 따르면, 사고의 진입점은 상담내역을 조회하는 연동 기능(API)이었다. 9월 4일 이 API에 정상적이지 않은 접근이 들어왔고, 운영사는 이상 징후를 실시간으로 잡아 해당 경로를 막았다고 밝혔다. 그러나 대응 중이던 9월 5일, 동일한 공격자가 앞서와 다른 경로로 다시 접근을 시도한 사실이 확인됐고 이 역시 차단됐다.

이후 운영사는 전체 시스템을 전수 점검하고 인증 절차 강화, 이상 접근 탐지 체계 고도화, 권한 검증 로직 재정비 등의 기술 조치를 마쳤다고 설명했다. 공격자를 특정할 수 있는 정황을 다수 확보했다고 밝혔으며, 9월 6일 관할 경찰서에 수사를 의뢰했다.

유출 규모

한국 이용자가 대부분이지만 일본 이용자만 4.8만 명에 달한다. 해외 이용자 비중이 이 정도면 국내 개인정보보호법뿐 아니라 해당 국가의 규제 대응까지 따라올 수 있다.

유출 항목

안내문에 열거된 항목을 성격별로 나누면 다음과 같다. 이용자마다 실제 유출된 항목은 다르며, 홈페이지의 조회 기능으로 개별 확인해야 한다.

카드번호 같은 금융 정보는 목록에 없다. 대신 "누가 어떤 시술을 언제 어디서 받았는지"와 상담용 사진이 함께 나갔다는 점이 이번 사고의 핵심이다.

운영사가 당부한 것

운영사는 출처가 불분명한 문자·전화·이메일을 주의하고, 개인정보나 금융정보를 요구하는 연락에 응하지 말라고 안내했다. 특히 강남언니나 병원을 사칭해 병원 안내, 할인 혜택을 내세우며 링크 클릭을 유도하는 사례를 경계하라고 했다. 문의는 이메일(cs@gangnamunni.com), 유선전화(02-6111-1710, 평일 9시~18시), 채널톡으로 받는다.

팔복소프트 관점

진입점이 "상담내역 조회 API"였고 후속 조치에 "권한 검증 로직 재정비"가 들어 있다는 점을 눈여겨봐야 한다. 원문이 공격 방식을 명시하지는 않았지만, 이 두 가지를 놓고 보면 인증 자체가 뚫렸다기보다 인증된 상태에서 다른 사용자의 데이터를 조회할 수 있었던 유형(OWASP API Security Top 10에서 1위로 꼽는 객체 수준 권한 검증 누락, 흔히 IDOR라 부르는 문제)을 의심하게 된다. 이는 편집자의 추정이지 확인된 사실은 아니다. 다만 국내 스타트업 API에서 가장 자주 발견되는 취약점 유형이라는 점은 분명하다.

ISMS 인증과 정보보호 공시가 애플리케이션 로직 결함을 막아주지는 않는다. 원문은 KISA 정보보호 공시와 ISMS 인증을 언급하며 보안 투자를 강조하지만, 이런 체계는 관리 절차와 인프라 통제에 초점이 맞춰져 있다. 개별 API 엔드포인트가 "이 상담 ID의 주인이 요청자인가"를 확인하는지는 코드 리뷰와 API 테스트로만 잡힌다. 자사 서비스의 조회성 API가 리소스 ID만 바꿔 넣으면 남의 데이터가 나오는 구조는 아닌지, 이번 기회에 점검할 만하다.

대응 속도는 평가할 만하다. 4일 발생, 5일 재접근 차단, 6일 수사 의뢰, 그리고 자진 신고와 개별 통지까지 짧은 시간 안에 이뤄졌다. 국내 개인정보보호법상 유출 인지 후 72시간 내 신고 의무를 생각하면 이례적으로 빠른 편은 아니지만, 첫 접근을 실시간으로 포착해 차단했다는 대목은 이상 탐지 체계가 실제로 작동했다는 뜻이다. 모니터링 없이 몇 달 뒤 외부 제보로 알게 되는 사고와는 결이 다르다.

아쉬운 점은 두 가지다. 첫째, 안내문이 검색엔진 색인을 막은(noindex) 별도 도메인의 임시 페이지 형태라 이용자가 공식 안내인지 확인하기 어렵고, 이는 오히려 사칭 피싱에 악용될 여지를 만든다. 둘째, 첫 차단 이후 다음 날 다른 경로로 재접근이 가능했다는 것은 첫 대응이 특정 경로만 막는 데 그쳤다는 뜻이다. 동일 데이터에 접근하는 경로가 여럿(앱용 API, 웹용 API, 파트너 병원용 연동 등)인 서비스라면 사고 직후 전 경로를 한 번에 재점검하는 절차가 미리 준비돼 있어야 한다.

시술·상담 데이터를 다루는 팀이라면 이 데이터가 개인정보보호법상 건강 관련 민감정보에 해당할 수 있다는 점을 전제로 저장·조회 권한 설계를 다시 봐야 한다. 상담 사진처럼 한 번 유출되면 되돌릴 수 없는 항목은 보관 기간 자체를 줄이는 것이 가장 확실한 대책이다.

정리

이번 사고에서 기억할 것은 "API 하나의 권한 검증이 서비스 전체 데이터의 마지막 방어선일 수 있다"는 점이다. 유출 항목이 시술·병원·사진처럼 되돌릴 수 없는 정보였다는 사실이 피해의 무게를 결정했다. 강남언니 이용자라면 30일 안에 유출 여부를 조회하고, 병원이나 강남언니를 사칭한 연락을 의심해야 한다. 서비스를 운영하는 개발자라면 남의 일이 아니라 자기 API의 조회 엔드포인트를 오늘 한 번 더 확인해 볼 사례다.

• 강남언니
• 개인정보유출
• API보안
• 힐링페이퍼
• 보안사고