강남 성형외과 환자 개인정보 유출
이름·생년월일·주소·수술명 외에도
주민번호·혈액형·수술비 내역까지
다크웹 5개월 넘게 DB 판매·유통
피해자 보이스피싱 등 2차 피해 우려
올해 1월 서울 강남의 유명 성형외과에서 모발이식 수술을 받은 김동진(가명)씨는 ‘개인정보 유출 사실을 알고 있었느냐’는 물음에 대답 대신 아내부터 걱정했다. 탈모로 고민하던 김씨는 마흔을 넘긴 기념으로 4000모의 새 머리카락을 자신에게 선물했다. 지방에서 서울까지 먼 길을 올라오는 김에 아내도 함께 병원을 찾았다. 아내는 같은 날 쌍꺼풀 수술을 받았다.
김씨가 병원의 개인정보 유출 사실을 처음 접한 건 지난달 병원 측 안내를 통해서였다. 병원 측은 문자를 통해 “최근 발생한 외부 해킹 공격으로 인해 일부 환자분의 개인정보 유출 정황이 확인됐다”며 “현재 외부 보안전문기관 및 수사기관과 함께 정확한 규모를 면밀히 조사 중”이라고 설명했다. 이 성형외과의 정보 유출 정황은 지난달 개인정보보호위원회에 신고가 접수돼 현재 실제 유출 여부와 경위 등을 조사 중이다.
김씨는 처음에는 대수롭지 않게 여겼다. 쿠팡, SKT 등 최근 개인정보 유출 사고가 워낙 잦았던 탓에 여느 때와 같은 종류의 사고라고 생각했다. 하지만 김씨가 병원으로부터 안내받은 유출된 정보의 범위는 생각보다 더 넓었다. 병원 측은 유출 확인 항목으로 ‘성함·수술명·생년월일·키·주소·연락처·몸무게’라고 안내했다. 김씨는 “이젠 정말 어떻게 해야 할지 모르겠다”고 토로했다.
심지어 이 성형외과에서 유출된 DB에는 환자의 성형 전후 사진까지 있는 것으로 파악됐다. 이 외에도 주민번호, 혈액형, 수술비 입금 내역 등과 함께 구체적으로 어떤 시술을 받았는지 민감한 정보가 다수 포함돼 있었다. 피해 환자 수는 최소 수십명에 이르는 것으로 추정된다. 외국인으로 추정되는 환자 기록도 있었고, 시술 경과를 일자별로 촬영한 영상자료까지 있었다.
지난겨울 같은 병원에서 가슴 보형물 수술을 받은 최지연(가명)씨도 “사진 유출이 너무 걱정된다”며 당혹감을 감추지 못했다. 최씨는 “요즘 딥페이크와 인공지능(AI) 기술이 발달해 사진이 범죄에 악용될까봐 무섭다”고 토로했다. 병원 내부 자료로 보이는 매출·재무정보와 1000만원 이상을 결제한 VIP 고객 명단도 외부로 빠져나간 것으로 파악됐다.
상당수 피해 환자들은 무력감을 토로했다. 자신의 민감한 정보가 다크웹, 텔레그램 등에 암암리에 떠돌고 있어도 당장 개인으로서 대응할 수 있는 것이 없기 때문이다. 김씨는 “보이스피싱처럼 실제로 2차 범죄가 일어나지 않는 한 할 수 있는 게 아무것도 없지 않냐“고 답답해했다.
성형외과 측은 “어떻게 대처해야 할지 몰라서 우리도 너무나 힘든 시간을 보내고 있다”며 “법적으로 필요한 절차와 정부가 안내한 별도 조사를 진행하고 있다”고 밝혔다. 이어 “유출 자료의 진위도 확인하고 있다”며 “재발 방지에 더 신경 쓰겠다”고 말했다.
성형외과 내부 자료가 처음 외부에 공개된 시점은 지난 4월로 추정된다. 랜섬웨어 그룹 A는 성형외과를 공격한 뒤 협상에 응하지 않으면 DB를 외부에 공개한다는 취지로 다크웹에 협박성 게시글을 올렸다. 이 게시글은 지워졌지만, 다크웹에서는 5개월 넘게 해당 자료가 공유되고 있다. 병원의 유출 통지와 관계기관의 조사에도 불구하고 한 번 빠져나간 개인정보가 회수되지 못한 채 수개월째 다크웹을 떠돌고 있는 것이다.
