SecurityHeroblog
보안 상식16조회

'엄마가 보냈어'라는 어른 — 강남언니 유출 뒤에 올 전화

미용의료 앱 강남언니 이용자 21만 9천여 명의 정보가 빠져나갔다고 보도됐습니다. 이름과 전화번호만이 아니라 어느 병원에서 어떤 시술을 상담했는지, 상담 사진까지 포함됐습니다. 그 정보를 손에 든 사람이 병원인 척 전화를 걸어올 때 무엇을 해야 하는지 정리했습니다.

초등학교 때 배운 규칙이 하나 있습니다. 교문 앞에서 모르는 어른이 “엄마가 급한 일이 생겨서 나더러 데리러 오라고 했어”라고 하면 따라가지 않는다. 대신 엄마한테 직접 전화한다.

그 어른이 내 이름을 알고 있으면 어떨까요. 우리 반이 몇 반인지, 어제 피아노 학원에 갔던 것까지 알고 있다면요.

규칙은 바뀌지 않습니다. 오히려 더 세게 지켜야 합니다. 나에 대해 많이 안다는 것과, 엄마가 보낸 사람이라는 것은 다른 이야기니까요. 확인하는 방법은 하나뿐입니다. 내가 아는 엄마 번호로, 내가 직접 거는 것.

이번 주에 보도된 사건은 어른들에게 이 규칙을 다시 꺼내게 만듭니다. 이 글은 교문 앞 이야기로 끝까지 갑니다.

먼저, 내 쪽에서 벌어질 수 있는 일

낯선 번호로 전화가 옵니다. 상대가 이렇게 말합니다. 고객님, 지난달 ○○의원에서 받으신 ○○ 시술 사후관리 무료 상담 안내드립니다.

병원 이름이 맞습니다. 시술 이름도 맞습니다. 다녀온 달도 맞습니다. 그리고 확인을 위해 문자로 보낸 링크를 눌러 달라고 합니다. 또는 재방문 할인을 적용해야 하니 카드 정보를 알려 달라고 합니다.

여기서 의심하기는 어렵습니다. 그 병원에 다녀온 걸 아는 사람은 나와 병원뿐이니까요. 그런데 이제 그 전제가 깨졌습니다.

사실 피부·성형 시술 병원을 찾아 상담하고 예약하는 앱 강남언니의 운영사 힐링페이퍼가, 9월 7일 이용자 21만 9,665명의 개인정보가 빠져나갔다고 밝혔습니다. 경향신문 등 4개 매체가 같은 날 보도한 내용입니다.

사실 회사는 유출 사실을 알리면서, 강남언니나 병원을 사칭해 병원 안내나 할인 혜택을 내세워 연락하거나 링크를 누르게 하는 경우를 조심하라고 당부했다고 보도됐습니다. 사칭이란 남의 이름을 빌려 그 사람인 척하는 걸 말합니다. 시술과 상담 정보가 섞여 있어서 병원이나 앱을 사칭한 2차 피해가 우려된다는 지적도 함께 나왔습니다. 2차 피해는 정보가 새어 나간 것(1차) 다음에, 그 정보를 써서 벌어지는 사기 같은 일을 말합니다.

추정 분명히 해 둘 것이 있습니다. 위에 적은 전화는 “올 수 있는” 전화입니다. 실제로 이런 전화가 걸려와 피해가 났다는 보도는 아직 없습니다. 지금은 회사가 “조심하라”고 말한 단계입니다. 다만 사칭 연락을 만들 재료가 빠져나간 것은 보도된 사실이고, 그래서 이 글을 씁니다.

교문 앞으로 옮기면 이렇습니다. 낯선 어른이 내 이름만 아는 게 아닙니다. 우리 반과 어제 다녀온 학원까지 압니다. 그래도 그 사람이 엄마가 보낸 사람이라는 증거는 아직 하나도 없습니다.

왜 통하나 — 상대가 ’나와 병원만 아는 것’을 들고 있어서

이름과 전화번호가 새는 사고는 자주 있었습니다. 이번 건이 다른 점은 무엇이 새어 나갔느냐입니다.

사실 기본 정보로는 이름, 전화번호, 이메일, 생년월일, 성별, 사는 나라와 지역, SNS 로그인 ID, 접속 IP(인터넷에 접속할 때 기기에 붙는 주소), 단말 정보(어떤 휴대폰을 쓰는지)가 유출됐다고 보도됐습니다.

사실 여기까지는 다른 유출 사고와 비슷합니다. 문제는 그 다음입니다. 상담 신청과 관련된 항목으로 이벤트·시술명, 병원명, 의사명, 상담 사진이 유출됐다고 이데일리가 보도했습니다.

사실 아시아경제 보도에 따르면 어떤 시술에 관심을 갖고 신청했고 실제로 받았는지, 병원에 간 날짜와 시술 날짜, 결제한 금액과 결제 수단과 결제 시각도 일부 유출됐습니다.

추정 우리가 사칭 전화를 가려내는 방법은 대개 하나입니다. 저쪽이 나에 대해 얼마나 아는지 보는 겁니다. 이름만 대면 의심하고, 내 병원과 시술과 날짜와 결제 금액까지 대면 믿습니다. 그런데 이번에 빠져나간 게 바로 그 목록입니다. 그래서 “이렇게 자세히 아는 걸 보니 병원이 맞다”는 판단이 이번 건에서는 작동하지 않습니다. 자세히 안다는 것이 병원이라는 증거가 아니라, 유출된 정보를 들고 있다는 신호일 수 있습니다.

사실 빠져나간 경위는 이렇게 보도됐습니다. 9월 4일, 상담 내역을 조회하는 연동 기능(API)에 비정상적인 접근이 있었습니다. API는 앱과 서버가 자료를 주고받는 창구입니다. 9월 5일에는 같은 공격자가 다른 경로로 다시 들어오려는 것을 확인해 막았다고 합니다. 회사는 9월 6일 경찰에 수사를 의뢰했습니다. 수사 의뢰는 “이 일을 조사해 달라”고 경찰에 공식으로 요청하는 것입니다.

추정 왜 그 창구가 열려 있었는지, 어떻게 뚫렸는지는 공개되지 않았습니다. 이 글은 방법을 추측하지 않습니다. 독자가 알아야 할 건 방법이 아니라, 무엇이 나갔고 그래서 무엇을 조심해야 하는지입니다.

숫자로 본 크기

숫자를 표로 놓겠습니다. 셋째 칸을 같이 봐 주세요. 모두 회사 발표를 옮긴 보도이고, 우리가 회사 공지문 원문을 직접 확인한 것은 아닙니다.

숫자 무엇 출처
219,665명 유출 대상 전체 경향신문 (보도)
약 16만 명 그중 한국 이용자 경향신문 (보도)
약 4만 8천 · 4,218 · 1,591 · 481 · 5,308 일본 · 대만 · 태국 · 중국 · 기타 경향신문 (보도)
30일 홈페이지에서 내 유출 항목을 조회할 수 있는 기간 아시아경제 (보도)
9월 4일 · 5일 비정상 접근이 있던 날 · 다시 접근을 시도한 날 뉴스핌 (보도)

사실 21만 9천이라는 수가 잘 안 잡힐 겁니다. 하루에 천 명씩 전화를 돌린다 해도 일곱 달이 넘게 걸리는 수입니다. 그리고 열 명 중 일곱이 한국 이용자입니다. 한국에서 이 앱으로 상담이나 예약을 해 봤다면, 나도 그 안에 있다고 보는 게 맞습니다.

사실 다만 이 숫자는 정보가 빠져나간 사람의 수이지, 사기를 당한 사람의 수가 아닙니다. 둘은 다른 값입니다. 교문 앞에 낯선 어른이 서 있을 수 있는 학생이 21만 명이라는 뜻이지, 따라간 학생이 21만 명이라는 뜻이 아닙니다.

사실 날짜도 봐 주세요. 비정상 접근은 9월 4일, 회사 발표는 9월 7일입니다. 사흘 뒤입니다. 오늘은 9월 12일이니 정보가 나간 지 8일째입니다.

추정 사칭 연락이 온다면 정보가 나간 직후부터 시작될 수 있습니다. 그래서 “언젠가 조심해야지”가 아니라 지금부터입니다. 조회 창구 30일도 마찬가지입니다. 기간이 언제부터 세어지는지는 보도에 없지만, 발표일부터라면 남은 날은 이미 줄고 있습니다. 미루면 창구가 닫힙니다.

그래서 지금 할 일

두 가지입니다. 둘 다 오늘 할 수 있습니다.

하나. 30일 안에, 내 정보 중 무엇이 나갔는지 직접 본다.

강남언니 홈페이지에서 본인의 유출 항목을 조회할 수 있게 열어 두었다고 보도됐습니다. 대상자에게는 개별 통지, 그러니까 한 사람 한 사람에게 따로 알림도 보냈다고 합니다. 통지를 받았다면 내가 대상자라는 전제로 움직이면 됩니다. 조회해서 병원 이름이나 시술 정보가 포함돼 있다면, 그 병원 이름을 대며 걸려오는 연락은 앞으로 전부 의심 목록에 올립니다. 낯선 어른이 우리 반 번호까지 알고 있다는 걸 미리 알아 두는 것과 같습니다. 알고 있으면 놀라지 않습니다.

둘. 병원이나 강남언니 이름으로 먼저 걸려온 전화는, 그 자리에서 답하지 않는다.

끊습니다. 그리고 내가 알고 있는 병원 대표번호나 앱 안의 공식 채널로 내가 직접 겁니다. 그쪽에서 정말 연락한 게 맞는지 물어봅니다. 진짜 병원이라면 이 확인을 싫어할 이유가 없습니다.

특히 이런 요구가 나오면 그 순간 사칭으로 봅니다. 링크를 눌러 달라. 앱을 설치해 달라. 카드나 계좌 정보를 알려 달라. 인증번호를 불러 달라. 인증번호는 은행이나 앱이 문자로 보내 주는 일회용 숫자인데, 본인 확인용이라 남에게 불러 주는 순간 내 계정을 넘겨주는 것과 같습니다. 병원 사후관리 안내에 이 네 가지가 필요한 경우는 없습니다.

추정 교문 앞 규칙 그대로입니다. 저쪽이 나를 얼마나 잘 아는지는 판단 기준이 아닙니다. 누가 먼저 다가왔는가가 기준입니다. 먼저 다가온 쪽은 따라가지 않습니다. 내가 아는 번호로 내가 겁니다. 이 규칙은 초등학생에게도, 시술 상담 기록이 새어 나간 어른에게도 똑같이 통합니다.

우리가 모르는 것

이 블로그는 확인되지 않은 걸 확인된 것처럼 쓰지 않습니다. 이번 건에서 아직 모르는 것들입니다.

  • 누가, 왜 했는지 모릅니다. 공격 주체와 목적은 보도되지 않았습니다. 빠져나간 정보가 실제로 팔리거나 퍼졌는지도 보도된 바 없습니다. 그래서 이 글에는 국적도 조직 이름도 없습니다.
  • 실제 사칭 피해가 났는지 모릅니다. 지금은 “우려”와 회사의 주의 당부 단계입니다. 이 글의 전화 장면은 “올 수 있는” 일이지 “이미 벌어진” 일이 아닙니다.
  • 상담 사진이 몇 명분인지, 얼굴을 알아볼 수 있는 사진인지 모릅니다. 보도에 없습니다.
  • API에 어떻게 비정상 접근이 가능했는지 모릅니다. 인증이 허술했는지, 계정이 탈취됐는지 공개되지 않았습니다.
  • 개인정보보호위원회에 신고했는지, 조사가 시작됐는지 모릅니다. 확인한 기사 어디에도 나오지 않습니다.
  • 회사의 공식 공지문 원문을 직접 보지 못했습니다. 강남언니 홈페이지 공개 페이지에서 본문을 찾지 못했고, 앱 안이나 개별 통지로 제공된 것으로 보입니다. 이 글의 세부 항목은 전부 보도 기준입니다.

확인되지 않은 것: 회사 공지문 원문, 개인정보보호위원회 신고 여부, 실제 사칭 피해 발생 여부, 공격 주체와 원인. 이 글의 수치와 유출 항목은 4개 매체 보도를 서로 대조한 것으로, 인원·국가별 분포·항목·날짜·30일 조회·수사 의뢰 내용이 모두 일치했습니다.

출처

1차 출처는 힐링페이퍼(강남언니)가 이용자에게 보낸 유출 통지문입니다. 공개 페이지에서 원문을 확인하지 못해 아래 보도로 대신합니다.

이 글은 우리 관측이 아니라 남의 취재를 재료로 씁니다. 그래서 공격 타임라인·MITRE·IOC 블록이 없습니다 — 없는 자료를 만들어 넣지 않습니다. 모든 사실은 2026년 9월 7일 회사 발표를 전한 보도를 기준으로 적었고, 회사 공지문 원문은 직접 확인하지 못했으므로 본문에서 “보도됐습니다”로 구분했습니다. 유출 인원 219,665명은 정보가 빠져나간 사람의 수이지 피해자 수가 아닙니다. 공격 주체·원인·국적은 확인되지 않았으므로 적지 않았습니다. 따라 할 수 있는 명령어·주소·절차는 싣지 않습니다. 관측일·발행일 2026-09-12.