서울시 공공자전거 따릉이 개인정보 유출

경찰에 따르면 10대 남성 2명은 2024년 6월 28일부터 29일 사이 서울시 공공자전거 따릉이 서버에 침입해 약 462만 건에 달하는 회원 개인정보를 빼낸 혐의를 받는다. 이 침입은 당시 곧바로 드러나지 않았고 상당 기간 방치됐다. 유출 규모가 회원 수 기준으로 462만 건에 이르는 대규모 사고였다. 침입 사실은 훗날 경찰의 별개 사건 수사 과정에서 뒤늦게 포착됐다. 공공 서비스의 개인정보 보안이 얼마나 취약했는지를 보여준 근본 원인이었다.

2026년 1월 23일에는 해킹이 아닌 개발 오류로 따릉이 홈페이지에 내부자료 850여 건이 노출됐고 그 안에 주민등록번호 등 민감 정보가 포함돼 있었다는 단독 보도가 나왔다. 서울시설공단 측의 관리 부실로 개인정보가 그대로 외부에 노출된 것이다. 해킹 정황과 별개로 시스템 운영상의 오류까지 겹치면서 따릉이의 개인정보 관리 전반에 대한 불신이 커졌다. 주민등록번호가 노출됐다는 점에서 사안의 심각성이 컸다. 공공기관의 기본적인 정보 보호 체계에 구멍이 뚫렸다는 비판이 제기됐다.

서울시설공단은 2026년 1월 27일 서울경찰청 사이버수사대로부터 따릉이 회원 정보가 유출된 것으로 의심되는 정황을 전달받았다. 경찰이 별개 사건을 수사하는 과정에서 2024년의 서버 침입과 대규모 정보 유출 정황을 확인한 것이다. 공단은 이때 비로소 사고의 규모와 심각성을 인지하게 됐다. 유출이 발생한 지 1년 반이 넘어서야 관리 주체가 사실을 파악한 셈이었다. 뒤늦은 인지 시점은 이후 늑장 대응 논란으로 이어졌다.

서울시설공단은 2026년 1월 30일 따릉이 회원 정보 유출 정황을 공식 확인하고 비상대응센터를 가동했다고 밝혔다. 공단은 유출 규모와 경위를 파악하고 회원 피해를 최소화하기 위한 대응에 나섰다. 대규모 개인정보가 오랜 기간 유출된 채 방치됐다는 사실이 공개되자 이용자들의 불안이 커졌다. 서울시 산하 공공기관에서 벌어진 사고인 만큼 파장은 더욱 컸다. 뒤늦은 발표와 대응은 이용자 신뢰에 적지 않은 타격을 줬다.

유출된 개인정보 항목에는 아이디, 휴대전화 번호, 이메일 계정, 주소지, 생년월일, 성별은 물론 체중 같은 신체 정보까지 포함된 것으로 확인됐다. 자전거 이용 서비스 특성상 수집된 신체 정보까지 함께 새어 나가면서 민감성이 더 컸다. 이 정보들은 보이스피싱이나 명의도용 등 2차 피해에 악용될 우려가 제기됐다. 대규모 회원의 상세 개인정보가 통째로 유출된 만큼 파장이 광범위했다. 이용자들은 자신의 정보가 어디까지 유출됐는지 확인을 요구하며 불안을 호소했다.

유출 사실이 공식화되자 개인정보보호위원회가 따릉이 개인정보 유출 사고에 대한 조사에 착수했다. 위원회는 유출 경위와 규모, 서울시설공단의 안전조치 의무 이행 여부 등을 들여다봤다. 개인정보 보호법 위반이 확인되면 과징금 등 제재가 뒤따를 수 있는 사안이었다. 공공기관의 대규모 개인정보 유출인 만큼 조사 결과에 관심이 쏠렸다. 규제기관의 개입으로 사고의 책임 소재를 가리는 절차가 본격화됐다.

따릉이 개인정보 유출이 2024년에 발생했음에도 2년 가까이 방치되다 뒤늦게 확인된 사실이 알려지면서 서울시와 서울시설공단의 늑장 대응에 비판이 쏟아졌다. 사고를 조기에 인지하고 회원에게 통지했다면 2차 피해를 줄일 수 있었다는 지적이 나왔다. 관리 주체가 유출 사실조차 파악하지 못한 채 서비스를 운영해온 점이 도마에 올랐다. 뒤늦은 조치는 사후 대응의 실효성마저 떨어뜨렸다. 공공 서비스의 개인정보 보호 책임을 둘러싼 근본적 문제 제기가 이어졌다.

경제정의실천시민연합 등 시민단체는 따릉이 개인정보 유출 사태에 대한 입장을 내고 철저한 진상 규명과 재발방지 대책을 촉구했다. 이들은 대규모 개인정보를 다루는 공공 서비스가 기본적인 보안조차 갖추지 못했다고 비판했다. 유출 피해자에 대한 신속한 통지와 구제, 책임자 문책을 요구하는 목소리도 나왔다. 공공기관의 개인정보 관리 체계 전반을 점검해야 한다는 여론이 형성됐다. 시민사회의 문제 제기로 사건은 단순 사고를 넘어 제도 개선 논의로 확산됐다.