여기어때 해킹 개인정보 유출 사건 (2017)

2017년 3월 여기어때를 운영하는 위드이노베이션의 '마케팅센터 웹페이지'가 해커의 SQL 인젝션 공격을 받았다. 해커는 데이터베이스에 저장돼 있던 관리자 세션값을 탈취했고, 이 세션값을 이용해 외부에 노출돼 있던 '서비스 관리 웹페이지'에 관리자 권한으로 우회 접속했다. 이를 통해 예약정보와 제휴점 정보, 회원정보에 광범위하게 접근할 수 있었다. 취약한 접근통제와 세션 관리가 대규모 유출의 통로가 된 것이다. 이 침해는 숙박이라는 민감한 사생활 정보가 얽혀 있어 더욱 심각하게 받아들여졌다.

조사 결과 91만여 명의 숙박 예약 정보 323만 9000여 건과 회원 7만 8000여 명의 개인정보가 유출된 것으로 드러났다. 유출된 항목에는 객실명과 예약일, 입·퇴실 시간, 전화번호 등 사생활과 직결되는 정보가 포함됐다. 숙박업 특성상 이용자의 동선과 만남 정보까지 노출될 수 있어 피해의 질이 특히 나빴다. 단순 계정 정보 유출을 넘어 개인의 사적 영역이 통째로 새어 나간 셈이다. 이는 국내 O2O 서비스 개인정보 관리 부실 논란의 대표 사례로 남았다.

유출 사실이 알려진 직후 해커들은 탈취한 개인정보를 악용해 이용자들에게 협박성·음란성 문자메시지 4000여 건을 발송했다. 이들은 숙박 예약 내역을 근거로 이용자를 특정해 겁을 주거나 조롱하는 방식으로 2차 피해를 유발했다. 또한 소셜미디어(SNS)에는 유출된 개인정보 5000건가량이 그대로 게시되기도 했다. 피해자들은 자신의 사생활이 낱낱이 노출됐다는 공포에 시달렸다. 이 사건은 정보 유출이 곧바로 협박과 인격 침해로 이어질 수 있음을 보여준 대표적 사례가 됐다.

피해 규모가 커지자 방송통신위원회와 경찰이 여기어때의 개인정보 보호조치 위반 여부와 해킹 경위에 대한 조사에 착수했다. 당국은 관리자 세션 관리 부실, 접근통제 미비 등 기술적·관리적 보호조치가 제대로 이행됐는지를 집중 점검했다. 회사 측은 보안을 강화하고 피해자 지원에 나서겠다고 밝혔지만 비판 여론은 가라앉지 않았다. 개인정보를 대량으로 다루는 플랫폼 기업의 책임 문제가 도마 위에 올랐다. 이후 회사는 개인정보보호법 위반 혐의로 형사 절차를 밟게 됐다.

여기어때 전 부대표와 여기어때컴퍼니(위드이노베이션)는 개인정보를 부실하게 관리한 혐의로 재판에 넘겨졌다. 1심 재판부는 이들에게 각각 벌금 2000만원을 선고했고, 2022년 10월 7일 항소심 재판부 역시 벌금 2000만원을 유지했다. 재판부는 회사가 기본적인 보호조치 의무를 다하지 않아 대규모 유출을 초래했다고 판단했다. 형사 책임이 인정되면서 플랫폼 사업자의 개인정보 관리 의무가 다시 한번 확인됐다. 이 판결은 O2O 업계 전반에 경종을 울렸다.

형사 처벌과 별개로 진행된 민사 손해배상 소송에서 법원은 여기어때가 피해 고객에게 배상 책임이 있다고 판단했다. 재판부는 유출된 정보의 민감성과 협박 문자 등 2차 피해 정황을 고려해 피해자 1인당 최대 40만원을 배상하라고 결정했다. 숙박 정보라는 사생활 핵심 영역이 노출된 점이 배상액 산정에 반영됐다. 이는 개인정보 유출 사건에서 상대적으로 높은 수준의 위자료가 인정된 사례로 평가됐다. 여기어때 사건은 이후 플랫폼 기업 개인정보 소송의 참고 판례로 활용됐다.