'따릉이 회원정보 462만건 유출' 10대 2명 불구속 송치

462만건 유출…가입자 인증 없이 정보 조회 취약점 악용

비밀번호, 메일 주소, 주소지, 생년월일, 성별, 체중 등 유출

서울시, 시설공단 관계자 수사 의뢰…입건 전 조사 진행 중

[서울=뉴시스] 이명동 기자 = 서울시 공공자전거 '따릉이' 가입자 개인정보 약 462만건 유출한 혐의를 받는 10대 2명이 검찰에 넘겨졌다. 사진은 서울경찰청 청사. 2025.12.01. [email protected].

[서울=뉴시스] 조성하 기자 = 서울시 공공자전거 '따릉이' 가입자 개인정보를 약 462만건 유출한 혐의를 받는 10대 2명이 검찰에 넘겨졌다.

서울경찰청 사이버수사과는 23일 정보통신망법 위반 혐의로 10대 남성 A군과 B군을 불구속 송치했다고 밝혔다.

경찰에 따르면 이들은 2024년 6월 28일부터 29일 사이 서울시설공단이 운영하는 '서울자전거 따릉이' 서버에 침입해 가입자 정보를 빼돌린 혐의를 받는다.

수사 결과 이들은 가입자 인증 없이도 정보 조회가 가능한 서버 취약점을 이용해 아이디와 휴대전화번호 등 개인정보 약 462만건을 유출한 것으로 드러났다.

유출 정보에는 이메일 계정 주소와 주소지, 생년월일, 성별, 체중 등도 포함됐다.

경찰은 B군에겐 2024년 4월 9일부터 13일 사이 또 다른 공유 모빌리티 대여업체 서버에 약 47만회의 대량 신호를 보내 서비스 장애(디도스 공격)를 일으키고, 장비 대여 업무를 방해한 혐의도 적용했다.

경찰은 당시 4월 말 디도스 공격과 관련한 진정을 접수해 수사에 착수했고 같은 해 10월 초 B군을 특정해 검거했다.

이후 압수한 전자기기 포렌식 과정에서 따릉이 개인정보 파일을 확인하고 유출된 개인정보 약 462만건의 파일을 회수했다.

경찰은 압수물 정밀 분석을 통해 범행을 주도한 텔레그램 계정을 특정, 추적 끝에 올해 1월 말 A군을 계정 사용자로 특정했다. 다만 A군은 진술을 거부한 것으로 전해졌다.

이에 경찰은 두 차례 구속영장을 신청했으나 소년범인 점 등을 고려해 검찰이 영장을 청구하지 않았다고 설명했다.

한편 서울시는 이번 개인정보 유출과 관련한 관리 책임을 물어 서울시설공단 관계자를 개인정보보호법 위반 등 혐의로 지난 9일 수사 의뢰했으며, 현재 입건 전 조사(내사)가 진행 중이다.

서울경찰청 관계자는 "개인정보보호위원회와 협력해 재발 방지 대책을 마련하고 2차 피해 방지 등 국민 불안 해소를 위해 최선을 다하겠다"며 "출처가 불분명한 연락이나 금융거래 요구엔 각별한 주의를 기울여달라"고 당부했다.


◎공감언론 뉴시스 [email protected]