사건 개요

공격자들은 2024년 6월 28일부터 29일까지 서울 공공자전거 따릉이 서버의 보안 취약점을 이용해 회원정보를 무단 수집했습니다.

서울시설공단은 2026년 1월 27일 서울경찰청 사이버수사과로부터 회원정보 유출 의심 정황을 통보받았습니다. 공단은 1월 30일 앱과 홈페이지를 통해 유출 정황을 알렸고, 관계기관과 사실관계를 확인한 뒤 7월 21일부터 대상자에게 개인별 유출 항목을 안내했습니다.

유출 대상

서울시설공단은 2024년 6월 30일 이전에 가입한 회원 가운데 약 462만 명의 회원정보 일부가 유출됐다고 밝혔습니다.

유출된 정보

공개된 유출 항목에는 계정정보, 연락처, 신체정보, 주소정보, 보호자 정보가 포함됐습니다. 피해자별 유출 항목은 가입 시점과 경로에 따라 다릅니다.

확인된 피해 정황

서울시설공단은 경찰 수사와 관계기관 확인 결과, 2026년 7월 공개 시점까지 유출 정보가 제3자에게 추가 유출·유통됐거나 실제 2차 피해로 이어진 사례는 확인되지 않았다고 밝혔습니다.

서울시설공단의 조치

서울시설공단은 서울시와 비상대응센터를 가동하고 사고 원인이 된 웹 취약점을 보완했습니다. 이상 접속 모니터링을 강화하고 정기 보안 진단과 모의 침투 테스트를 정례화했습니다.

피해 대상자에게는 개인별 유출 항목이 포함된 안내 문자를 순차 발송했습니다. 문자 수신이 어려운 이용자는 따릉이 콜센터나 이메일을 통해 본인의 유출 항목을 확인할 수 있도록 했습니다.

• 웹 취약점 보완
• 이상 접속 모니터링 강화
• 정기 보안 진단과 모의 침투 테스트 시행
• 약 462만 명 대상 개인별 안내 문자 발송
• 따릉이 30일 정기권 이용쿠폰 지급

이용자가 확인할 일

• 서울시설공단 또는 따릉이를 사칭한 전화와 문자에 개인정보와 금융정보를 제공하지 않습니다.
• 출처가 확인되지 않은 URL과 앱 설치 파일을 열지 않습니다.
• 주소, 생년월일, 보호자 정보를 알고 접근하는 연락도 공식 콜센터에서 다시 확인합니다.
• 안내 문자를 받지 못한 대상자는 따릉이 콜센터를 통해 유출 항목을 확인합니다.
• 피해가 의심되면 경찰과 개인정보침해신고센터에 신고합니다.

자료

서울시설공단, 따릉이 회원정보 유출 관련 개인별 안내

서울특별시, 따릉이 개인정보 유출 안내와 후속 조치