100만원 가상자산 요구…강남 성형외과 환자 사진 협박

서울 강남의 한 대형 성형외과 환자의 사진과 상담서가 협박 메시지에 첨부돼 환자 남자친구에게 전달됐다. 발신자는 이를 공개하지 않는 대가로 100만원 상당의 가상자산을 요구했다.

30대 직장인 A씨는 9월 이 병원에서 수술받았다. KBS는 이 사건을 10월 30일 단독 보도했다.

발신자는 얼굴과 상반신이 드러난 사진, 이름과 주소가 적힌 상담서를 보내며 병원에서 유출된 개인정보 일부라고 주장했다. 사진을 6일 뒤 사회관계망서비스(SNS)에 공개하겠다고 위협했다.

A씨는 KBS에 “식은땀이 갑자기 줄줄 났다”며 사진이 지인들에게 퍼졌을지 모른다는 두려움을 말했다. 협박범은 사진 당사자인 A씨가 아니라 남자친구에게 먼저 접근했다.

남자친구는 메시지를 받은 뒤 약 10분 만에 병원에 연락했다. 병원은 내부 서버에 악성코드가 삽입돼 개인정보 유출 정황이 있다며 사과문을 보냈다.

악성코드 삽입 정황이 발견된 날은 10월 11일이며, 병원은 이튿날 해킹 정황을 파악했다. A씨는 그로부터 약 2주 뒤 협박 연락을 받고서야 유출 사실을 알았다.

병원 측은 피해 규모와 유출 항목이 최종 확정되지 않았으며, 관계 기관에 신고하고 조사에 협조하고 있다고 밝혔다. A씨는 병원 측으로부터 “저희도 피해자 아닙니까”라는 말을 들었다고 전했다.

KBS 취재 결과 이 병원은 5월과 8월에도 개인정보 유출 사고를 관계 기관에 신고했다. 이번 사건에서는 유출 경위와 함께 환자에게 알린 시점과 방식도 쟁점이 됐다.

개정 개인정보 보호법은 2026년 9월 11일부터 시행됐다. 종전에는 개인정보가 실제로 유출된 사실이 확인돼야 정보주체에게 알릴 의무가 있었지만, 개정법은 일정한 요건에서 유출 가능성도 통지 대상에 포함했다.

개인정보보호위원회가 공개한 시행 자료에 따르면, 개인정보처리시스템에 불법 접근이 있었고 유출이 의심되지만 피해자를 특정하기 어려운 경우 유출 가능성을 통지해야 한다.

통지는 해당 정황을 안 때부터 72시간 안에 서면 등으로 해야 한다. 유출 항목을 모두 파악하지 못했더라도 확인된 내용을 먼저 알리고, 추가로 확인한 내용은 다시 통지해야 한다.

개인정보 보호법 시행령은 연락처를 알 수 없는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시해 개별 통지를 대신할 수 있도록 규정한다.

병원의 홈페이지 게시가 법령상 개별 통지를 대신할 수 있는 요건에 해당하는지는 관계 기관의 판단이 필요하다. 병원은 사과문이 홈페이지에 올라와 있었다고 밝혔지만, 피해 규모와 유출 항목은 최종 확정되지 않았다고 설명했다.

블록템포는 2017년 리투아니아 성형외과 체인 Grožio Chirurgija 해킹 사건에서 공격자가 병원에 비트코인(BTC) 300개를 요구했다가 거절당하자 환자에게 최대 2000유로를 요구했다고 전했다. 2018년 한국의 한 성형외과 웹사이트 해킹 사건에서도 환자들이 사진 유출 협박을 받고 0.02개의 비트코인을 요구받은 사례를 소개했다.

2020년 핀란드 심리치료기관 Vastaamo 사건에서는 해커가 약 3만3000명 고객의 자료를 확보한 뒤 기관에 비트코인 40개를 요구했다. 기관이 거절하자 환자들에게 200~500유로를 요구했다고 블록템포는 보도했다.

블록템포는 이 사건에서 법원이 협박 미수 2만건 이상과 기수 20건을 인정했고, 보안업체 Malwarebytes는 해커가 결국 자료를 공개했다고 전했다. 레볼루트 고객 정보 유출 의혹에서는 해커 집단이 회사 측을 상대로 모네로 6000개를 공개적으로 요구했다고 토큰포스트는 보도했다.