따릉이 개인정보 중학생에게 털렸다…해킹 두 달 전 다른 업체 디도스 공격도

 서울시 공유자전거 따릉이 (사진 출처: 뉴시스)

  서울시 공유자전거 '따릉이' 가입자 개인정보 약 462만 건을 유출한 해킹범들이 범행 당시 중학생이었던 것으로 드러났습니다.

당시 중학생이었던 A군과 B군은 2024년 6월 이틀 간, 서울시설공단 따릉이 서버에 침입해 이용자 등록 아이디, 휴대번호, 주소, 체중 등 개인정보 약 462만 건을 빼냈습니다.

오늘(23일) 경찰은 현재 고등학생인 두 사람을 정보통신망법 위반 혐의로 검찰에 송치했습니다.

경찰 수사 결과 이들은 온라인에서 만난 사이로, A군이 B군에게 따릉이 서버 해킹을 제안한 걸로 파악됐습니다. 경찰은 당시 따릉이 서버는 가입자 인증 없이도 정보 조회가 가능했습니다. A군과 B군은 이 점을 이용해 서버를 해킹했습니다. 다만 경찰은 이들이 해킹한 개인정보가 제3자에게까지 넘어가지는 않은 것으로 보고 있습니다.

조사 결과 B군은 따릉이 서버 해킹 두 달 전에도, 다른 공유 이동장치 대여업체에 '디도스 공격'을 가한 전력도 확인됐습니다. 경찰은 대여업체의 진정을 접수받아 B군을 수사하던 중, 노트북에서 따릉이 서버에서 취득한 개인정보를 확인했습니다.

이후 경찰은 올해 1월 텔레그램 계정 분석을 통해 A군을 추가로 체포했습니다. A군은 진술을 완강히 거부한 것으로 전해졌습니다.

경찰은 A군에 대해 두 차례 구속영장을 신청했지만, 검찰은 만 19세 미만 '범죄소년'인 점을 감안해 영장을 청구하지 않았습니다.

한편 경찰은 서울시설공단 따릉이 담당자에 대해서 개인정보 유출에 대한 관리책임을 소홀히 했는지 확인하기 위해 입건 전 조사(내사)에 착수했습니다.