중학생에 털린 따릉이 가입자 정보…462만건 정보 유출한 10대들

10대 2명, 따릉이 서버 침입…“호기심·과시욕으로 범행”
따릉이 외 다른 공유 모빌리티 대여업체 디도스 공격도

서울 시내의 한 따릉이 대여소에 따릉이가 세워져 있다. 뉴스1 

지난 2024년 서울 자전거 ‘따릉이’ 서버에 침입해 개인정보 약 462만 건을 유출한 혐의를 받는 10대 남성 2명이 경찰에 붙잡혔다.

서울경찰청 사이버수사과는 정보통신망법 위반 혐의를 받는 10대 남성 2명을 불구속 송치했다고 23일 밝혔다.

경찰에 따르면 현재 고등학생인 이들은 중학생 시절이던 지난 2024년 6월 28일부터 29일 사이 서울시설공단에서 운영하는 따릉이 서버에 침입해 가입자 정보인 아이디, 휴대전화 번호, 이메일 계정 주소, 주소지, 생년월일, 성별, 체중 등 개인정보 약 462만 건을 유출한 혐의를 받는다.

이 중 A군은 2024년 4월 9일부터 13일 사이 또 다른 공유 모빌리티 대여업체 서버에 47만여 회의 대량 신호를 보내 장애를 발생(디도스 공격)시키고 장비 대여 업무를 방해한 혐의도 있다.

경찰은 지난 2024년 4월 말 공유 모빌리티 대여업체의 디도스 공격 진정서를 접수해 수사에 착수한 뒤 지난해 7월 포렌식 분석을 통해 따릉이 개인정보로 보이는 파일을 확인해 공범 등에 대해 수사했다.

이후 압수물 정밀 분석을 통해 텔레그램 계정을 특정해 지난달 말 계정 사용자를 특정, 검거했다.

경찰 조사 결과 이들은 온라인 상으로 알게 된 사이였고, A군이 시설공단 사이트의 취약점을 발견해 B군과 함께 범행을 저지른 것으로 나타났다.

A군은 호기심과 과시욕으로 범행을 저질렀다는 취지로 진술한 반면 B군은 진술거부권을 행사 중이라고 전해졌다. 이들 모두 해킹 기법은 독학으로 습득한 것으로 조사됐다.

다만 이들이 개인 정보 유출로 취한 이득은 물론 추가 개인정보 유출에 대해선 현재까지 확인되지 않은 상태인 것으로 알려졌다.

경찰은 이들이 개인정보를 판매할 목적이 있는지 의심하고 추가 수사 중이다.

또 서울시에서 해당 개인정보유출에 대한 관리 책임에 대해 서울시설공단 관계자를 개인정보보호법 위반 등으로 수사 의뢰한 사건에 대해서는 현재 입건 전 조사가 진행 중이라고 밝혔다.

(서울=뉴스1)