강남언니, 국내외 이용자 22만명 개인정보 유출

(zdnet.co.kr)

ZDNet Korea2026년 9월 7일정책·규제

미용의료 플랫폼 강남언니에서 API 취약점을 악용한 공격으로 국내외 이용자 약 22만 명의 민감한 시술 및 결제 정보가 유출됨에 따라, 글로벌 확장을 추진하는 데이터 집약적 스타트업의 보안 거버넌스 재정립이 시급한 과제로 떠올랐습니다.

이 글의 핵심 포인트

1강남언니 이용자 약 21만 9,665명의 개인정보 유출 발생
2한국(16만 명), 일본(4.8만 명) 등 국내외 이용자 데이터 포함
3이름, 연락처, 시술 정보, 결제 정보, 상담 내역 등 민감 정보 포함
4상담 내역 조회 API의 비정상적 접근이 유출의 주요 원인
5KISA 자진 신고 및 관할 경찰서에 수사 의뢰 완료

이 글에 대한 공공지능 분석

왜 중요한가?

단순한 인적 사항을 넘어 사용자의 시술 내역, 사진, 결제 정보 등 극도로 민감한 의료 관련 데이터가 포함되었습니다. 이는 보이스피싱이나 의료 사기 등 정교한 2차 범죄로 이어질 수 있는 치명적인 유출입니다.

어떤 배경과 맥락이 있나?

최근 플랫폼 비즈니스는 다양한 서비스 연동을 위해 API 활용을 극대화하고 있으나, 이 과정에서 권한 검증(Authorization) 로직의 허점이 공격자의 주요 타깃이 되고 있습니다. 특히 서비스 확장기에 보안 인프라 투자가 기능 개발 속도를 따라가지 못하는 전형적인 사례입니다.

업계에 어떤 영향을 주나?

헬스케어, 뷰티, 핀테크 등 민감 데이터를 다루는 스타트업들에게 보안 사고는 단순한 운영 사고를 넘어 브랜드의 존립을 위협하는 '존립 위기'임을 시사합니다. 특히 글로벌 시장 진출을 노리는 기업들에게는 GDPR 등 국제적 규제 준수 실패가 시장 퇴출로 이어질 수 있음을 경고합니다.

한국 시장에 어떤 시사점이 있나?

K-스타트업의 글로벌 확장이 가속화되는 상황에서, 초기 설계 단계부터 보안을 고려하는 'Security by Design' 원칙이 필수적입니다. 보안을 단순 비용이 아닌 제품의 핵심 품질(Quality)로 인식하는 문화적 전환이 필요합니다.

이 글에 대한 큐레이터 의견

이번 사고는 API 보안 설계의 미비가 어떻게 대규모 데이터 유출로 이어질 수 있는지를 보여주는 전형적인 사례입니다. 스타트업 창업자들은 '빠른 기능 출시'와 '강력한 보안' 사이의 트레이드오프 상황에서 보안을 후순위로 미루는 경향이 있는데, 이는 성장을 가속화하는 대신 기업의 근간을 흔드는 부메랑이 될 수 있습니다. 특히 API 연동 기능은 사용자 편의성을 높이지만, 권한 검증 로직이 부실할 경우 공격자에게는 가장 손쉬운 침투 경로가 됩니다.

물론 초기 단계의 스타트업이 대기업 수준의 완벽한 보안 체계를 구축하기는 현실적으로 어렵고, 과도한 보안 절차는 사용자 경험(UX)을 저해할 위험이 있습니다. 그러나 이번 사례처럼 민감한 의료 정보를 다루는 서비스라면, '보안은 비용이 아니라 제품의 핵심 기능'이라는 인식이 필요합니다. 개발 단계부터 보안을 고려하는 설계와 함께, 이상 징후 탐지 시스템(FDS)과 같은 최소한의 방어 기제를 구축하는 실행 가능한 전략이 요구됩니다.

원문 보기 →