서울시 공공자전거 서비스 '따릉이' 회원 462만 명의 개인정보가 유출된 사실이 알려진 이후 논란이 확산되고 있다. 특히 민감한 개인정보인 체중 정보까지 포함된 것으로 확인된 데다, 피해 회원들에게 제공되는 보상이 5000원 상당의 30일 이용권 한 장에 그치면서 "생색내기 수준의 보상"이라는 비판이 이어지고 있다.
따릉이 이용자 A씨는 23일 서울시설공단으로부터 개인정보 유출 사실을 알리는 안내 문자를 받았다. 공단은 "시민님의 소중한 개인정보가 유출되는 사고가 발생했다"고 안내하며, A씨의 경우 아이디를 비롯해 생년월일, 성별, 휴대전화 번호, 이메일, 체중 정보가 외부로 유출됐다고 설명했다. 하루 전 같은 안내를 받은 B씨 역시 아이디와 휴대전화 번호, 이메일, 체중 정보가 포함된 사실을 확인했다.
또 다른 이용자 C씨는 "개인정보 유출 문자가 오지 않아 괜찮은 줄 알았는데 직접 조회해 보니 아이디, 이메일, 생년월일, 성별, 휴대전화 번호, 몸무게까지 유출된 것으로 나왔다"며 "이름만 제외하면 사실상 모든 개인정보를 가져간 것 아니냐"고 불만을 나타냈다.
최근 SK텔레콤과 KT를 비롯해 티빙, 쿠팡 등 여러 기업에서 개인정보 유출 사고가 잇따르면서 이용자들의 피로감이 커진 상황이다. 이런 가운데 이번에는 민감한 신체 정보인 체중까지 유출된 사실이 알려지자 이용자들의 불쾌감은 더욱 커지고 있다.
따릉이 애플리케이션 회원정보 관리 메뉴에서는 비밀번호와 휴대전화 번호 변경뿐 아니라 체중 정보도 입력할 수 있다. 입력된 체중은 자전거 이용 후 소모 칼로리와 탄소 저감량을 계산하는 기준으로 활용된다. 별도로 입력하지 않을 경우 기본값인 65㎏을 기준으로 계산되며, 보다 정확한 운동량 측정을 위해 체중을 등록한 회원들의 정보가 이번 사고로 함께 유출된 것이다.
온라인에서는 "너무 수치스럽다", "체중 정보까지 유출된 건 선을 넘었다", "다른 개인정보는 이미 여러 번 털렸지만 체중은 처음이다", "몸무게는 남편도 모르는 정보"라는 반응이 이어졌다. 한편 "다이어트 약 상담 전화까지 오는 것 아니냐", "따릉이에 가입하지 않아서 몸무게는 지켰다"는 등 씁쓸한 농담 섞인 반응도 적지 않았다.
이와 함께 서울시설공단이 내놓은 보상안도 도마에 올랐다. 공단은 피해 회원들에게 약 5000원 상당의 따릉이 30일 이용권을 지급하기로 했지만, 이용자들은 "개인정보가 유출됐는데 겨우 5000원짜리 이용권이냐", "민감한 정보까지 모두 털렸는데 정기권 한 장으로 끝내려 한다"며 강한 불만을 드러냈다. 유출 규모와 개인정보의 민감성을 고려하면 보상 수준이 지나치게 부족하다는 지적이다.
이번 개인정보 유출은 지난해 2024년 6월 28일부터 29일까지 이틀 동안 발생한 것으로 조사됐다. 그러나 서울시설공단이 경찰로부터 개인정보 유출 의심 정황을 전달받은 시점은 사고 발생 후 1년 7개월이 지난 올해 1월 27일이었다. 서울시는 공단이 유출 정황을 인지하고도 적절한 대응을 하지 않았을 가능성이 있다고 보고 관련 관계자들을 경찰에 수사 의뢰했다.
수사 결과 해킹을 저지른 인물은 정보보안을 독학한 중학생 2명으로 확인됐다. 이들은 공단 서버의 보안 취약점을 이용해 회원 개인정보를 빼낸 것으로 조사됐다. 이들 가운데 1명은 경찰 조사에서 "호기심과 과시욕 때문에 범행했다"는 취지로 진술한 것으로 알려졌다. 당시 중학생이었던 두 사람은 현재 고등학생으로, 최근 정보통신망 침해 등의 혐의로 검찰에 불구속 송치됐다.
서울시설공단은 현재까지 유출된 개인정보가 제3자에게 유통되거나 각종 범죄에 악용된 사례는 확인되지 않았다고 밝혔다. 한국영 서울시설공단 이사장은 "이번 개인정보 유출 사고로 시민 여러분께 걱정과 불편을 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다"며 "보안 시스템을 전면적으로 재정비해 시민들이 안심하고 따릉이를 이용할 수 있도록 최선을 다하겠다"고 말했다.
